Undersøgelse af en hacket mailkonto i virksomheden

Når en mailkonto i virksomheden har været overtaget, er det ikke nok at skifte adgangskoden. Ledelsen skal kunne svare på, hvad angriberen har læst, hvad der er sendt i jeres navn, og om andre konti er ramt. Svarene ligger i logs, der udløber, og i indstillinger, som forsvinder, når nogen rydder op. En uvildig undersøgelse sikrer sporene og giver jer et dokumenteret billede, som forsikring, bank, kunder og Datatilsynet kan bruge.

Situationen

Det starter typisk med et af disse tegn:

• en kunde spørger, hvorfor jeres kontonummer er ændret på den seneste faktura,
• Microsoft eller Google advarer om et login fra et land, ingen i virksomheden har været i,
• der ligger en regel i postkassen, som flytter eller videresender mails, og som ingen har oprettet,
• en medarbejder har indtastet sit login på en side, der lignede den rigtige,
• kolleger og samarbejdspartnere modtager mails, som kontoens ejer ikke har sendt.

Denne side handler om en konto, der er overtaget udefra. Skal en medarbejders postkasse gennemgås i en personalesag, er det en anden opgave. → Gennemgang af en medarbejders mailkonto

Det gør I nu

Er der aktiv skade, fx mails med betalingsanmodninger, der sendes lige nu, går det forud at lukke adgangen. Ellers er rækkefølgen vigtig:

• ☐ Notér, før I ændrer. Skriv ned eller tag skærmbilleder af regler, videresendelser, aktive sessioner og tilknyttede apps, før noget slettes.
• ☐ Slet ingen mails, heller ikke de falske, der er sendt ud. Flyt dem ikke rundt.
• ☐ Luk adgangen ved at skifte adgangskode, afslutte sessioner og slå to-trinsbekræftelse til. Notér klokkeslæt.
• ☐ Bed IT om at bevare loggen. Audit- og loginlogs gemmes kun i en begrænset periode, afhængigt af licens og opsætning.
• ☐ Ring til banken med det samme, hvis der er betalt til et forkert kontonummer.
• ☐ Underret forsikringsselskabet tidligt, og spørg, hvad de skal have dokumenteret.
• ☐ Vurdér fristen over for Datatilsynet. Et persondatabrud skal som udgangspunkt anmeldes inden for 72 timer.

→ Hacket mailkonto: sikr sporene, før I nulstiller og Persondatabrud: dokumentationen inden for 72 timer

Hvad undersøgelsen kan vise

Hvad der kan findes, afhænger af jeres licensniveau, og af om logningen var slået til, da det skete. Typisk kan en undersøgelse belyse:

• hvornår angriberen første gang loggede ind, og fra hvilke IP-adresser og enheder,
• hvordan adgangen blev opnået, fx via et phishinglink, et genbrugt kodeord eller en app, der fik samtykke,
• hvilke regler og videresendelser der blev oprettet, og hvornår,
• hvilke mails der er sendt fra kontoen, og til hvem,
• i hvilket omfang det kan ses, hvilke mails og filer der er åbnet eller hentet,
• om andre konti i virksomheden viser samme mønster.

Undersøgelsen svarer på, hvad data viser. Hvis loggen ikke dækker perioden, står det i rapporten. Det er også et resultat, fordi det afgør, hvad I kan sige til kunder og myndigheder. → Licensniveau og beviser

Hvad I får

• En sikring af logs, regler og relevante mails, lavet så det kan dokumenteres, hvad der er hentet, hvornår og hvordan.
• En tidslinje over angrebet, fra første login til lukning.
• En liste over berørte modtagere og data, som I kan bruge, når kunder og samarbejdspartnere skal orienteres.
• En rapport med metode, fund og forbehold, skrevet så ledelsen kan læse den, og så forsikring, bank og advokat kan bruge den.
• Konkrete huller, der skal lukkes, så det samme ikke sker igen.

Ender sagen i en tvist om, hvem der bærer tabet ved en betalt falsk faktura, er dokumentationen den samme. → Fakturasvindel via hacket mail: hvem bærer tabet?

Hvad påvirker prisen?

Prisen afhænger af omfanget, ikke af en fast pakke. Det, der især betyder noget, er:

• hvor mange konti og postkasser der skal undersøges,
• hvor lang en periode der skal dækkes,
• hvor mange kilder der indgår, fx mail, OneDrive, SharePoint og loginlogs,
• om sikringen kan laves på afstand, eller om udstyr skal sikres på stedet,
• om det haster (hastesager koster ekstra),
• hvilken rapportform I har brug for, og om der senere skal forklares i en sag.

Se, hvordan Nielco IT prissætter opgaverne. Nogle erhvervs- og cyberforsikringer kan dække dele af en undersøgelse, så spørg jeres forsikringsselskab tidligt. → Dækker forsikringen bevissikring og en IT-undersøgelse?

Hvem der står bag

Nielco IT er John Nielsen, IT-sagkyndig med retssagserfaring, selvstændig siden 2009 og med mere end 30 års erfaring med IT-sikkerhed, blandt andet fra finanssektoren. John Nielsen har været IT-sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Nielco IT sælger ingen produkter og har ingen leverandørpartnerskaber.

Logs i Microsoft 365 og Google Workspace kan ofte sikres på afstand. Sikringen kan begynde samme dag, hvis det praktisk kan nås. Hastesager koster ekstra.

Fortrolighed

En hacket konto kan indeholde forretningshemmeligheder og andres persondata. Nielco IT underskriver en fortrolighedsaftale (NDA) på forespørgsel. Alt IT-sagkyndigt arbejde er omfattet af tavshedspligt, medmindre det er domstolene, der kræver oplysningerne. → Diskretion og fortrolighed

Afgrænsning

Opgaven er at sikre og dokumentere virksomhedens egne spor til brug i civile forhold: forsikring, bank, kunder, myndigheder og eventuelle tvister. Politiets eventuelle del af sagen ligger uden for opgaven. Se afgrænsningen.

Ring 70 13 63 23, eller læs om digital bevissikring hos Nielco IT.