En regel i Outlook eller Gmail, som ingen kan forklare, er et af de tydeligste spor i en mailsag. Den kan sende kopier af alt til en ekstern adresse, flytte svar fra kunder til en skjult mappe eller slette bestemte mails, så snart de kommer ind. Det første, I skal gøre, er at dokumentere reglen præcist, som den er. Først derefter slår I den fra.
Hvorfor reglen er så vigtig
Reglen fortæller, hvad den, der oprettede den, ville. En regel, der sender alle mails med ordet “faktura” til en mappe, som ingen kigger i, peger på svindel med betalinger. En regel, der sender alt til en privat Gmail-adresse, peger på, at nogen vil have en kopi af postkassen. Reglen har også et tidspunkt for oprettelse i loggen, og det er ofte det bedste bud på, hvornår noget begyndte.
Når reglen slettes, er dens indhold væk fra postkassen. Loggen kan vise, at den fandtes, men ikke altid alle detaljer. Derfor skal reglen sikres, mens den stadig er der.
To typer regler
- Regler i selve postkassen. De oprettes i Outlook, i Outlook på nettet eller i Gmail, af brugeren eller af en, der har brugerens adgang.
- Videresendelse sat op af en administrator. I Microsoft 365 og Google Workspace kan en administrator sætte videresendelse op på kontoen uden om brugerens egne regler. Den slags vises ikke altid i brugerens egen liste.
Bed IT tjekke begge steder. Det sker, at en regel er fjernet i postkassen, mens videresendelsen på kontoen stadig kører.
Hvad gør I nu, i rækkefølge
- Tag skærmbilleder af reglen. Alle felter: navn, betingelser, handlinger og modtageradresse. Skriv dato og klokkeslæt ved hvert billede.
- Bed IT eksportere regler og videresendelser for kontoen. En administrator kan trække en liste ud, der viser reglerne, som systemet ser dem. Gem filen uændret.
- Bed IT eksportere revisionsloggen for perioden. Den kan vise, hvornår reglen blev oprettet eller ændret, og fra hvilken adresse. → Unified Audit Log i Microsoft 365
- Tjek, om andre postkasser har lignende regler. En angriber stopper sjældent ved én konto, og en medarbejder, der har sendt én postkasse videre, kan have gjort det med flere.
- Sæt postkassen på hold. Så forsvinder slettede mails ikke endeligt, mens I undersøger.
- Slå reglen fra, og notér hvornår. Først nu.
Medarbejder eller kompromitteret konto?
Det store spørgsmål er, hvem der har oprettet reglen. Svaret afgør, om I står med en sikkerhedshændelse eller en mulig personalesag.
- Regel oprettet fra en ukendt adresse eller et fremmed land · Kompromitteret konto
- Regel, der skjuler eller sletter svar om betalinger · Kompromitteret konto
- Videresendelse til medarbejderens private mail · Medarbejderen selv
- Regel oprettet kort efter en opsigelse · Medarbejderen selv
Tabellen er en tommelfingerregel, ikke en konklusion. En angriber kan logge ind fra Danmark, og en medarbejder kan have oprettet reglen for flere år siden for at kunne læse mail på ferie. Lad sporene tale, og drag ikke konklusionen for tidligt.
Peger sporene på en kompromitteret konto, så følg den vej. → Mailkontoen er overtaget
Peger de på medarbejderen, er det en anden sag. → Medarbejderen har sendt filer til sin private mail
Hvad reglen kan fortælle om omfanget
Når reglen er dokumenteret, kan den bruges til at afgrænse sagen. Står der i reglen, at kun mails fra bestemte kunder sendes videre, er det dem, I skal kigge på. Sendes alt videre, må I gå ud fra, at hele postkassen i perioden er kommet ud, og vurdere det som et muligt persondatabrud. Notér også, om reglen gemte en kopi i postkassen, eller om mails blev flyttet eller slettet. Det har betydning for, om modtagerne af jeres mails har fået svar fra jer, eller om svarene er forsvundet undervejs.
Hvem gør hvad
- IT dokumenterer reglen, eksporterer loggen og slår reglen fra.
- Lederen beslutter, hvem der skal vide det, og om sagen skal behandles som hændelse eller personalesag.
- HR inddrages, hvis sporene peger på en medarbejder, og forbereder en eventuel samtale.
- Advokaten inddrages, før I konfronterer en medarbejder eller kontakter modtageren af videresendte mails.
Det skal I lade være med
- Slet ikke reglen, før den er dokumenteret. Det er den mest almindelige fejl, og den kan ikke gøres om.
- Skriv ikke til den eksterne adresse. I ved ikke, hvem der sidder i den anden ende, og en mail kan advare dem.
- Konfrontér ikke medarbejderen med det samme. Har vedkommende sendt data ud, kan de nå at slette dem i den anden ende.
- Lad være med selv at læse alle de videresendte mails igennem. Gennemgang af en medarbejders postkasse kræver et sagligt formål og hensyn til persondata.
Hvis reglen allerede er slettet
Det sker ofte, at en IT-medarbejder har set reglen og fjernet den med det samme, før nogen tænkte på beviser. Det er ikke en katastrofe, men det gør arbejdet sværere. Gør følgende:
- Skriv ned, hvem der slettede reglen, hvornår, og hvad vedkommende husker om den: navn, modtageradresse og betingelser.
- Bed om eksport af revisionsloggen med det samme. Oprettelse, ændring og sletning af regler logges typisk, og loggen kan vise meget af det, der stod i reglen.
- Tjek sendte mails og leveringsrapporter. Mails, der er sendt automatisk videre, kan ofte findes i sporingen af mailtrafik, så længe den gemmes.
- Spørg modtagerne af vigtige mails i perioden, om de har fået noget mærkeligt.
Fortæl også advokaten og den IT-sagkyndige, at reglen er slettet. Det er sjældent et problem, når det er forklaret og dokumenteret. Det bliver et problem, hvis det kommer frem senere.
Bloker automatisk videresendelse fremover
Mange virksomheder har ikke brug for, at medarbejdere kan sende mail automatisk ud af huset. I både Microsoft 365 og Google Workspace kan en administrator blokere eller begrænse det. Det fjerner en stor del af risikoen og gør det lettere at opdage forsøg. Skriv beslutningen ned med dato. Hvis I senere får en sag, er det nyttigt at kunne vise, hvornår reglen kom på plads, og hvem der har haft undtagelser.
Hvornår skal I have hjælp udefra?
Kan I dokumentere reglen og hente loggen selv, er I godt på vej. Få hjælp fra en IT-sagkyndig, hvis reglen har sendt kundedata eller forretningshemmeligheder ud, hvis en medarbejder kan være involveret, og I forventer en tvist, eller hvis I ikke kan se, hvornår og fra hvor reglen blev oprettet. Haster det, fordi data stadig sendes ud, så luk først og ring derefter. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Læs også: Mistanke om, at nogen læser med i ledelsens mail · Medarbejderen klikkede på phishing: dokumentation uden skyldsfokus
→ Undersøgelse af en hacket mailkonto · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
