Når en mailkonto er overtaget, skal adgangen lukkes, men på en måde, der ikke sletter sporene. Brug ti minutter på at sikre loggen, reglerne og de sendte mails, før I nulstiller og rydder op. Det er de spor, der senere viser, hvad angriberen har set, sendt og ændret.
Ofte begynder det med et opkald. En kunde spørger, hvorfor I har sendt en faktura med nyt kontonummer. En kollega undrer sig over en mail, ingen har skrevet. Eller IT ser et login fra et land, ingen i virksomheden har været i. Situationen er ny for de fleste, og derfor er siden bygget op som en række valg: hvis I ser det her, så gør det her.
Siden handler om den enkelte konto, der er misbrugt, og er hovedsiden for hackede mailkonti. Er flere systemer ramt, eller er der krypteret data, så start med bevissikring efter et cyberangreb.
Hvorfor sporene betyder noget
Det er fristende at skifte adgangskoden, slette de mærkelige mails og komme videre. Men I får brug for at kunne svare på nogle spørgsmål senere:
- Hvornår kom angriberen ind, og hvordan?
- Hvilke mails er sendt, læst eller slettet i perioden?
- Er der hentet kundedata eller persondata ud?
- Hvem har modtaget falske mails i jeres navn?
Svarene afgør, om I har et persondatabrud, der skal meldes, om en kunde har betalt til en forkert konto, og om forsikringen dækker. Uden spor bliver svaret et gæt, og et gæt holder dårligt over for en kunde, et forsikringsselskab eller en modpart i en tvist.
Tegn på, at kontoen er overtaget
Det er ikke altid tydeligt. Disse tegn går igen, og ét af dem er nok til, at I bør sikre sporene:
- Kunder får mails, ingen har skrevet · Kontoen bruges til at sende i jeres navn
- Svar fra kunder forsvinder · En regel flytter eller sletter dem
- Godkendelser på telefonen, ingen har bedt om · Nogen har koden og prøver at logge ind
- Login fra et ukendt land eller en ukendt enhed · Adgangen er brugt udefra
- Mails ligger som læst, uden at nogen har åbnet dem · Nogen læser med
Sikr først og spørg bagefter. Viser det sig at være falsk alarm, har I kun brugt lidt tid.
De første ti minutter
Uanset hvordan I opdagede det, er de første skridt de samme. Gør dem i den rækkefølge, I kan nå. Er I i tvivl, så luk adgangen først og ring derefter.
- Stop den aktive adgang uden at slette. Bed IT spærre login for kontoen eller tvinge en ny adgangskode igennem, og log brugeren ud af alle sessioner. Et nyt kodeord alene lukker ikke altid adgangen, hvis angriberen stadig har en gyldig session på en telefon eller i en app.
- Notér tidspunktet. Skriv ned, hvornår I opdagede det, hvem der opdagede det, og hvornår adgangen blev lukket. Brug uret på jeres computer, og angiv tidszone.
- Fotografér eller eksportér reglerne. Angribere opretter ofte regler, der flytter eller sletter svar fra kunder. Reglerne skal dokumenteres, før de fjernes. → Videresendelsesregler i mailen
- Bed IT eksportere loggen. I Microsoft 365 hedder den revisionsloggen (Unified Audit Log). Den viser login, regler og mailhandlinger, men den gemmes kun en begrænset periode, og omfanget afhænger af licensen. → Bevissikring af mail i Microsoft 365
- Sæt postkassen på hold. Så kan slettede mails ikke forsvinde helt, mens I undersøger.
- Saml de falske mails. Bed modtagerne videresende dem som vedhæftet fil, ikke som almindelig videresendelse, så mail-headeren følger med. → Mail-headere
Bruger I Google Workspace, er princippet det samme, men loggene hedder noget andet og ligger andre steder. → Bevissikring af Gmail og Google Workspace
Hvis … så: hvad I ser, og hvad I gør
De første ti minutter er ens for alle. Derefter afhænger det af, hvad I har set. Gå listen igennem, og tag de punkter, der passer på jeres situation. Flere kan passe på én gang.
Hvis en kunde har fået en falsk faktura fra jer
Så er kontoen sandsynligvis brugt til at sende mails i jeres navn. Bed kunden gemme mailen som fil og ikke betale. Ring til de kunder, der kan være ramt, på et kendt nummer, og gem en kopi af jeres advarsel. Gennemgå mappen “Sendt” og den slettede post, men slet intet. → Jeres kunder har fået falske fakturaer fra “jer”
Hvis I selv har betalt noget
Så skal banken have besked før alt andet. Ring til erhvervsbanken med det samme, og følg derefter rækkefølgen på siden om den betalte falske faktura.
Hvis mailen ser ud til at komme fra direktøren
Så handler det måske slet ikke om en overtaget konto, men om en efterligning udefra. Det kan mail-headeren vise. Sikr mailen som fil, og tjek alligevel loggen for direktørens konto. → CEO-svindel: mail fra “direktøren” om en hasteoverførsel
Hvis IT har set et login fra et ukendt land
Så er det ikke sikkert, at kontoen er misbrugt endnu. Men loggen er det eneste, der kan vise det. Eksportér den, før I nulstiller. → Login fra et ukendt land: sikr loggen, før I nulstiller
Hvis I finder regler, ingen har oprettet
Så har angriberen sandsynligvis forsøgt at skjule noget, for eksempel svar fra kunder om betalinger. Dokumentér reglen med navn, betingelser og oprettelsestidspunkt, før den fjernes. Tjek også, om automatisk videresendelse ud af huset er slået til. → Blokér videresendelse til private adresser
Hvis kontoen er en delt postkasse
Så er det sværere at se, hvem der har gjort hvad, fordi flere har adgang. Loggen skal vise, hvilken bruger der var logget ind. → Delte postkasser: hvem skrev egentlig mailen fra info@?
Hvis kontoen tilhører en leder
Så kan angriberen have set følsomme oplysninger om økonomi, personale eller forhandlinger. Hold kredsen af kendere lille, og overvej tidligt en uafhængig undersøgelse. Er der mistanke om, at nogen internt læser med, er det en anden type sag. → Mistanke om, at nogen læser med i ledelsens mail
Hvis medarbejderen har godkendt et login på telefonen
Så har angriberen sandsynligvis fået koden og presset en godkendelse igennem. Bed medarbejderen om ikke at slette beskeder eller notifikationer på telefonen, og notér tidspunkterne. Bed IT tjekke, om der er tilføjet en ny telefon eller app til totrinslogin, og dokumentér den, før den fjernes.
Hvis det er jeres IT-leverandør, der skal undersøge
Så er det en god idé at aftale skriftligt, hvad der skal sikres, og at I får en kopi af loggen og reglerne. Er leverandøren selv en del af forklaringen, for eksempel fordi totrinslogin ikke var slået til, kan en uafhængig sikring være nødvendig. → Egen IT, IT-leverandør eller uvildig IT-sagkyndig?
Hvis postkassen indeholder persondata
Så kan det være et persondatabrud, som skal vurderes hurtigt. Fristen for at underrette Datatilsynet er kort. → Persondatabrud: dokumentationen inden for 72 timer
Hvem gør hvad
- Leder · Beslutter at bevare, holder kredsen lille, kontakter forsikring
- IT · Lukker adgangen, eksporterer log og regler, sætter hold
- Økonomi · Tjekker betalinger og kontaktede kunder
- Den ramte medarbejder · Fortæller, hvad der er klikket på, og hvornår
- IT-sagkyndig · Sikrer og vurderer, når sagen kan få betydning
Den ramte medarbejder skal ikke føle sig anklaget. Det er i de fleste tilfælde ikke skyld, men et angreb, der lykkedes. En medarbejder, der tør fortælle præcist, hvad der skete, er jeres bedste kilde. → Medarbejderen klikkede på phishing: dokumentation uden skyldsfokus
Det skal I lade være med
- Slet ikke kontoen. Så forsvinder postkassen og ofte også en del af sporene.
- Slet ikke de falske mails i “Sendt”. De viser, hvem der har modtaget hvad.
- Ryd ikke reglerne op, før de er dokumenteret. Reglen er ofte det bedste spor af, hvad angriberen ville.
- Skriv ikke ud til alle kunder fra den samme konto. Brug en anden kanal, og aftal ordlyden. → Kommunikation efter et cyberangreb
- Lad være med selv at logge ind fra mange enheder for at kigge. Det fylder loggen med jeres egne handlinger og gør den sværere at læse.
Hvor længe har angriberen været inde?
Det er sjældent, at overtagelsen bliver opdaget samme dag, den sker. Ofte har nogen været inde i dage eller uger og har læst med, før de sendte den første falske mail. Det er derfor, loggen er så vigtig. Den kan vise det første login fra en ukendt enhed eller et ukendt sted, og den kan vise, hvornår en regel blev oprettet.
Skriv de tidspunkter ned, I allerede kender, og lad IT eller den IT-sagkyndige arbejde bagud derfra. Typiske spørgsmål er:
- Hvornår blev der første gang logget ind fra en ukendt adresse?
- Er der givet adgang til en app eller tilføjet en ny metode til totrinslogin?
- Er postkassen delt med en anden konto, eller er der givet fuld adgang?
- Har kontoen været brugt til at logge ind i andre systemer via fælles login?
Det sidste punkt bliver ofte overset. Bruger jeres virksomhed den samme konto til login i økonomisystem, CRM eller fildeling, kan angriberen også have været der. Bed IT tjekke loginloggen i de systemer, der er koblet på, før I lukker sagen.
Husk også at spørge den ramte medarbejder, om de har fået sms-koder eller godkendelser på telefonen, som de ikke selv har bedt om. Det kan vise, hvornår angrebet startede.
Spørgsmål, vi ofte får
Er det nok at skifte adgangskoden?
Nej, ikke altid. En angriber med en aktiv session eller en godkendt app kan stadig have adgang. Bed IT logge kontoen ud af alle sessioner og fjerne ukendte apps og metoder til totrinslogin, når de er dokumenteret.
Kan vi se, hvilke mails angriberen har læst?
Det afhænger af licens og opsætning. Nogle logs viser, hvilke mails der er åbnet, andre viser kun logins. Derfor er det vigtigt at eksportere loggen tidligt, før den udløber.
Skal vi melde det til Datatilsynet?
Det afhænger af, om der er persondata i postkassen, og hvad risikoen er for de berørte. Det er en vurdering, jeres advokat eller databeskyttelsesansvarlige skal træffe hurtigt.
Hvem bærer tabet, hvis en kunde har betalt til en falsk konto?
Det afgøres af jeres aftaler og af, hvad der kan dokumenteres om sikkerheden på begge sider. Bed kunden gemme den falske mail korrekt, og gem jeres egen log. Tal med jeres advokat, før I lover kunden noget. → Fakturasvindel via hacket mail: hvem bærer tabet?
Hvad hvis modparten siger, at deres konto var hacket?
Det er et argument, der kan dukke op i en tvist. Om det holder, afhænger af sporene på begge sider. → “Kontoen var hacket” som indsigelse
Dækker forsikringen?
Har I en cyberforsikring, så læs betingelserne nu. Mange policer kræver, at I giver besked hurtigt og bruger leverandører, selskabet har godkendt. Det er bedre at give besked tidligt end at have ryddet op på en måde, selskabet ikke kan se igennem. → Underret forsikringsselskabet
Hvornår skal I have hjælp udefra?
Kan jeres IT selv lukke adgangen og eksportere loggen, er I godt på vej. Få hjælp fra en uvildig IT-sagkyndig, hvis:
- en kunde eller leverandør har lidt et tab og vil have det erstattet,
- forsikringen beder om en uafhængig undersøgelse,
- I ikke kan se, hvordan angriberen kom ind,
- jeres egen IT-leverandør kan være en del af forklaringen,
- kontoen tilhører en leder med adgang til følsomme oplysninger.
Hvordan Nielco IT hjælper virksomheder efter en hacket mail eller svindel, står på siden hacket eller snydt. Haster det, fordi loggen er ved at udløbe, så sig det. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Efter sagen
Når kontoen er sikret og ryddet op, så skriv et kort notat: hvad skete, hvad blev sikret, hvem gjorde hvad, og hvad ændrer I. Typiske ændringer er totrinslogin for alle, blokering af automatisk videresendelse ud af huset og længere opbevaring af loggen. Notatet er også det, I viser, hvis spørgsmålet kommer igen om et år.
Bevar loggen, reglerne og de falske mails, indtil I er sikre på, at der ikke kommer krav fra kunder, leverandører eller forsikringen. Det kan tage måneder, før en kunde opdager, at en betaling gik til den forkerte konto. Gem materialet samlet i én mappe med begrænset adgang, sammen med jeres tidslinje og noter fra samtalerne med den ramte medarbejder. Sletter I for tidligt, står I uden dokumentation, når spørgsmålet kommer. → Bevisberedskab i Microsoft 365: indstillinger, I bør tjekke i dag
Læs også: CEO-svindel: mail fra “direktøren” om en hasteoverførsel · Login fra et ukendt land: sikr loggen, før I nulstiller
→ Undersøgelse af en hacket mailkonto · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
