Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
I en CEO-svindel er den tekniske analyse sjældent et spørgsmål om én mail. Det er en tråd: en første henvendelse, svar frem og tilbage og måske en “videresendt” historik fra en advokat eller revisor. Hver mail i tråden har sin egen header, og forskellene mellem dem, i afsenderadresse, svaradresse, tidszone, mailklient og Message-ID, viser typisk, om mailene kom fra direktørens rigtige konto, fra en efterligning udefra eller fra en overtaget konto. Analysen skal også dokumentere, hvad medarbejderen faktisk så på skærmen.
Virksomhedens praktiske skridt står på CEO-svindel: mail fra “direktøren” om en hasteoverførsel. Her er den tekniske analyse. Ægtheden af den enkelte mail vurderes efter Er mailen ægte?, og skelnen mellem efterligning og overtaget konto står i Kompromitteret konto, spoofing eller lookalike-domæne?. Her handler det om tråden som helhed.
Sikr hele tråden
Eksportér alle mails i tråden fra modtagerens postkasse som filer med fuld header, også de svar, medarbejderen selv sendte. Svarene viser, hvilken adresse medarbejderen faktisk svarede til, og det er ofte her, en forskel mellem visningsnavn og adresse bliver synlig. Sikr også direktørens rigtige postkasse for samme periode, så det kan vises, at mailene ikke findes dér. Skærmbilleder af mailene, som de så ud i medarbejderens klient, er et supplement, der viser oplevelsen, men erstatter ikke filerne.
Afsenderfelterne
En mail har flere afsenderfelter, og i CEO-svindel er forskellen mellem dem kernen:
- From: visningsnavn · Det navn, mailklienten viser, fx direktørens navn; kan sættes frit
- From: adresse · Den faktiske afsenderadresse, som mange klienter skjuler bag navnet
- Reply-To · Hvor svar sendes hen; kan være en anden adresse end From
- Return-Path · Adressen for fejlmeddelelser, sat af den afsendende server
- Sender · Bruges, når én konto sender på vegne af en anden
Det klassiske mønster er direktørens navn som visningsnavn, en gratis mailadresse eller et lookalike-domæne som adresse, og en Reply-To, der sender svarene til en helt tredje adresse. På mobilen ser medarbejderen ofte kun navnet. Et andet mønster er korrekt From-adresse på virksomhedens domæne, men forfalsket, så SPF, DKIM eller DMARC fejler. Det tredje er en mail fra direktørens rigtige konto, hvor alle kontroller består, fordi kontoen er overtaget. De tre kræver forskellige undersøgelser. → Kompromitteret konto, spoofing eller lookalike-domæne?
Tidszoner og tidspunkter
Date-feltet sættes af afsenderens klient og indeholder normalt en tidszoneforskydning, fx +0100 eller +0200 for dansk tid. En forskydning, der ikke passer med dansk tid på det pågældende tidspunkt, kan pege på en afsender i en anden tidszone, men kan også skyldes en webmailtjeneste, der bruger UTC. Sammenlign derfor Date med tidsstemplerne i Received-kæden. Svartider er også et spor: En “direktør”, der svarer på sekunder midt om natten dansk tid, eller som kun skriver i bestemte timer, kan give et mønster. Det er en indikation, ikke et bevis.
Mailklient og system
Flere felter afslører, hvilket system mailen kom fra:
- Message-ID har ofte et format, der er karakteristisk for den tjeneste eller klient, der skabte mailen.
- X-Mailer og User-Agent, hvis de findes, angiver klientprogrammet.
- Thread-Index og Thread-Topic skrives af Outlook og Exchange. Mangler de i en mail, der foregiver at komme fra en virksomhed på Microsoft 365, er det et spor.
- Sprog- og tegnsætfelter kan vise klientens sprogindstilling.
- X-Originating-IP og lignende felter findes hos nogle udbydere og viser klientens IP-adresse.
Hvilke felter der findes, afhænger af udbyderen, og felterne kan fjernes eller sættes af afsenderen. Flere store udbydere udelader i dag klientens IP-adresse af hensyn til privatlivet, så et manglende felt siger ikke noget i sig selv. Det stærkeste spor er en uoverensstemmelse: Direktørens rigtige mails har ét sæt kendetegn, og de falske et andet. Sammenlign derfor altid med et udsnit af direktørens ægte mails fra samme periode.
Falske trådhistorikker
Mange CEO-svindelmails indeholder en “tidligere korrespondance”, fx en videresendt mail fra en advokat eller en bank, for at gøre anmodningen troværdig. Den historik er typisk skrevet ind i mailens brødtekst og er ikke en rigtig tråd. Tjek In-Reply-To og References: Peger de på Message-ID’er, der findes i virksomhedens systemer? Findes de citerede mails i nogen postkasse? Hvis ikke, er historikken konstrueret. → Mailtråde, Message-ID og familierelationer
Er direktørens konto overtaget?
Består alle kontroller, og stemmer klientkendetegnene med direktørens normale, skal kontoen undersøges som en mulig overtagelse: loginlogs, regler, der skjuler svar, og sendte mails, der er slettet. Det er en anden og større undersøgelse, beskrevet i BEC-undersøgelse i Microsoft 365. Det samme gælder, hvis angriberen kendte detaljer, som kun en læser af direktørens postkasse kunne kende.
Fik andre den samme mail?
CEO-svindel rammer sjældent kun én person. Søg i message trace efter den falske afsenderadresse, Reply-To-adressen, det afsendende domæne og emnelinjen i en periode før og efter. Fund hos andre modtagere i økonomi, løn eller ledelse udvider billedet og kan vise, om angriberen arbejdede ud fra en liste over bestemte roller. Søg også efter mails, hvor medarbejdere har svaret til Reply-To-adressen, fordi de viser, hvem der faktisk gik i dialog. → Message trace og transportlogs
Når samtalen fortsatte uden for mailen
Ofte flyttes samtalen til sms, en beskedapp eller et opkald, når den falske direktør vil presse på. Mailanalysen dækker ikke den del, men den skal sikres samtidig: beskeder og opkaldslister på medarbejderens telefon, telefonnumre og tidspunkter. Tidspunkterne kobles ind i samme tidslinje som mailene, så forløbet kan læses samlet. Sikr kun de relevante samtaler, og afgræns udtrækket, hvis telefonen også bruges privat.
Hvad medarbejderen så
I en tvist om tabet bliver det ofte relevant, hvad medarbejderen kunne se. Dokumentér derfor:
- hvordan mailen vises i den klient og på den enhed, medarbejderen brugte, herunder om den fulde adresse var synlig,
- om virksomhedens mailsystem tilføjede en advarsel om ekstern afsender, og om den kom med,
- hvordan svarene blev adresseret i medarbejderens sendte mails.
Gengiv visningen med skærmbilleder taget af den sagkyndige på samme klienttype, og beskriv, hvordan de er lavet. Det er en teknisk beskrivelse af, hvad der var synligt. Om det burde have vakt mistanke, er en vurdering, der ligger uden for den tekniske analyse.
Fejlkilder
- Videresendte kopier som materiale. Videresendelse erstatter headeren med den videresendende parts.
- Mobilklienter viser færre oplysninger end computerklienter, og visningen ændrer sig med opdateringer.
- Forfalskede felter. Alt, hvad afsenderens klient skriver, kan sættes frit. Felter, som modtagerens servere har tilføjet, er mere pålidelige.
- Tidszoner mellem header, portal og eksport.
Hvad analysen kan og ikke kan vise
Analysen kan typisk vise, om mailene kom fra direktørens rigtige konto eller udefra, hvilke adresser der faktisk blev brugt, og hvad der var synligt for modtageren. Den kan pege på tidszoner og systemer, men ikke identificere afsenderen. Bankens oplysninger om betalingen er en anden kilde, der ligger uden for mailanalysen.
I rapporten
Opstil tråden i en tabel med hver mails tidspunkt i UTC, From-navn, From-adresse, Reply-To, resultat af godkendelseskontroller og klientkendetegn. Sæt direktørens ægte mails ved siden af til sammenligning, og læg filerne med hashværdier i bilag.
Kilder og versioner
- RFC 5322: Internet Message Format (From, Sender, Reply-To, Date, Message-ID)
- RFC 7489: DMARC
- Microsoft Learn: Message trace in the new EAC
Senest gennemgået: oktober 2026.
Næste skridt
- Hvem er logget ind på kontoen? Enheder og sessioner
- Er telefonen hacket? Hvad en undersøgelse kan vise
- Er mailen hacket? Tegn i loginlog, regler og sendt post
Del af: Undersøgelse efter et hackerangreb
Læs også: Fakturasvindel: hvilken af parterne var kompromitteret? · Ændret kontonummer i PDF-fakturaen: teknisk sammenligning med originalen
→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
