Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: Det kan som regel ses i sporene. Loginloggen viser logins fra ukendte IP-adresser, lande eller programmer. Indbakkeregler og videresendelse viser, om post omdirigeres eller skjules. Sendt post og slettet post viser, om kontoen er brugt til at skrive til andre. Sikr sporene, før adgangskoden nulstilles og reglerne slettes.
Haster det? Entra ID gemmer loginlogs i 7 dage uden betalt licens, og regler og videresendelse forsvinder, så snart kontoen ryddes op. Se akut forensisk sikring; hastesager koster ekstra.
Artiklen handler om egne mailkonti og konti, som virksomheden ejer og administrerer. Hvad ledelsen skal gøre i de første timer, er beskrevet på bevissikring-digitalt.dk. Her er fokus på de tekniske spor, og hvordan de læses.
De typiske tegn
- Logins fra ukendte lande, IP-adresser eller klienter · Loginlog (Entra ID, Google, udbyderens sikkerhedsside)
- Nye indbakkeregler, der flytter, sletter eller videresender · Postkassens regler og auditlog
- Videresendelse til ekstern adresse · Postkasseindstillinger og auditlog
- Mails i Sendt post, som brugeren ikke har skrevet · Postkassen og message trace
- Svar fra modtagere om mails, brugeren ikke kender · Indbakke, ofte skjult af en regel
- Ændret tofaktor, gendannelsesmail eller app-adgange · Kontoens sikkerhedsindstillinger og auditlog
- Ukendt app med adgang til postkassen · Samtykker til apps (OAuth)
Det mest sigende enkeltspor er ofte en indbakkeregel, som brugeren ikke selv har oprettet, med et kort eller meningsløst navn, der flytter mails fra bestemte afsendere eller med bestemte ord til en obskur mappe. Den slags regel bruges til at skjule korrespondance om betalinger og fakturaer. Se indbakkeregler og videresendelse.
Microsoft 365
I Microsoft 365 er der fire hovedkilder:
- Entra ID-loginlogs med IP-adresse, placering, klientapp, enhed, resultat og betingede adgangsregler. Ikke-interaktive logins skal med, fordi en stjålen session ofte viser sig netop dér. Se Entra ID-loginlogs.
- Unified Audit Log med oprettelse og ændring af indbakkeregler, ændret videresendelse, tilføjede postkasserettigheder, samtykke til apps og ændrede MFA-metoder.
- Postkassens auditlog, herunder
MailItemsAccessed, der kan vise, hvilke mails der blev åbnet eller synkroniseret, afhængigt af licens og konfiguration. Se MailItemsAccessed. - Message trace, der viser mails sendt fra kontoen i perioden, også selvom de er slettet fra Sendt post.
Microsofts egen vejledning til kompromitterede postkasser lister netop de samme symptomer: mistænkelige regler, ekstern videresendelse, usædvanlige mails i Sendt post og ændrede kontaktoplysninger. Opbevaringstiden for logs afhænger af licens. På tidspunktet for gennemgangen (oktober 2026) gemmer Entra ID loginlogs i 7 dage uden betalt Entra-licens og 30 dage med P1 eller P2, mens den samlede auditlog i Microsoft 365 som standard gemmes i 180 dage og op til et år for brugere med den udvidede auditlicens.
Google Workspace og Gmail
I Google Workspace viser login-auditloggen logins med IP og resultat, og Gmail-loggen viser sendte og modtagne mails samt ændringer i filtre og videresendelse. Auditloggen for brugerkonti viser ændringer i sikkerhedsindstillinger. Den tekniske gennemgang findes i overtaget Google Workspace-konto. For private Gmail-konti viser kontoens sikkerhedsside nylige hændelser og enheder, og Gmail har en oversigt over seneste kontoaktivitet med adgangstype og IP.
Mail hos webhoteller og andre udbydere
Mail hos et webhotel via IMAP har ofte færre spor for kunden. Udbyderen har typisk logins i serverlogs i en kort periode, men de er ikke altid tilgængelige i kundens kontrolpanel. Filtre og videresendelse kan være sat op på serveren eller i den enkelte mailklient. Opbevaringstiden er forskellig fra udbyder til udbyder og fremgår sjældent af kontrolpanelet. Bed udbyderen om at bevare logs med det samme, og notér, hvornår anmodningen er sendt. Selve sikringen af en IMAP-postkasse er beskrevet i IMAP-postkasser hos webhoteller, og en lokal Exchange-server har sine egne kilder, se Exchange Server lokalt og hybrid.
Det typiske forløb i sporene
Mange overtagelser af mailkonti følger et genkendeligt mønster, og det hjælper at kende det, når loggene læses:
- Første adgang: et vellykket login efter phishing, ofte fra en IP-adresse hos en hostingudbyder eller et VPN, eller brug af en stjålen session.
- Rekognoscering: mange mails åbnes eller synkroniseres på kort tid, typisk med søgninger efter ord som faktura, betaling og kontonummer.
- Fastholdelse: en indbakkeregel, videresendelse, en ekstra MFA-metode eller et app-samtykke, der giver adgang, selvom adgangskoden skiftes.
- Udnyttelse: mails sendt til kunder, leverandører eller kolleger, ofte som svar i eksisterende tråde, og ofte efterfulgt af sletning fra Sendt post.
- Spredning: phishingmails fra den overtagne konto til adressebogen.
Er mistanken også rettet mod brugerens computer, fx fordi adgangen kan stamme fra skadelig software, er de tekniske tegn beskrevet i Er computeren hacket?.
Ikke alle trin findes i hver sag, men når flere af dem kan dateres, giver de en tidslinje, der viser både start, omfang og slutning. Det er netop den tidslinje, der senere bruges til at vurdere, hvilke data der kan være kompromitteret, og om andre konti er berørt.
Sessioner overlever nulstilling
Et skift af adgangskode lukker ikke nødvendigvis allerede aktive sessioner. En stjålen sessionscookie fra en phishingside, der står som mellemled, kan bruges uden adgangskode og uden at udløse tofaktor igen. Derfor skal sessioner tilbagekaldes aktivt, og loginloggen skal læses for logins, der fortsætter efter skiftet. Se sessioner og tokens.
Sikr før nulstilling
Nulstilling og oprydning ødelægger ikke loggen i tjenesten, men de fjerner regler, videresendelse og sessioner fra den synlige tilstand, og de lægger nye hændelser oven i de gamle. Rækkefølgen bør derfor være:
- Eksportér loginlogs for kontoen for hele den periode, der er tilgængelig.
- Eksportér auditlog for kontoen, med fokus på regler, videresendelse, rettigheder, MFA og app-samtykker.
- Dokumentér regler og videresendelse som de står, inklusive skjulte regler, før de slettes.
- Kør message trace for afsendte mails i perioden.
- Notér tidspunktet, hvor sikringen er afsluttet, så senere oprydning kan adskilles.
- Luk adgangen samlet: spær eller nulstil, tilbagekald sessioner, gennemgå MFA-metoder, fjern apps og regler.
Hash eksportfilerne, og beskriv, hvordan de er hentet, og af hvem. En tjekliste findes i tjekliste: logs at sikre i Microsoft 365.
Fortolkning og fejlkilder
- Rejser og VPN giver logins fra andre lande, som er legitime.
- Mobilnet og CGNAT placerer telefonens logins i forkerte byer.
- Mailapps og synkronisering logger ind via tjenesteservere og kan se ud som fremmede logins.
- Mislykkede logins fra udlandet er støj fra automatiserede angreb og viser ikke, at kontoen er overtaget. Det afgørende er vellykkede logins.
- Brugerens egne regler kan ligne angriberens. Klientapp, IP og tidspunkt for oprettelsen skiller dem ad.
- Spoofing kan få det til at se ud, som om kontoen har sendt mails, den aldrig har sendt. Message trace og headere afgør det.
Hvad sporene kan og ikke kan vise
Logs kan vise, at kontoen blev tilgået fra en bestemt IP-adresse med en bestemt klient på bestemte tidspunkter, at regler og videresendelse blev oprettet fra en bestemt session, og hvilke mails der blev sendt. Med den rette auditkonfiguration kan de også vise, hvilke mails der blev åbnet. De viser ikke, hvem der sad bag IP-adressen, og de kan ikke rekonstruere handlinger, der ikke blev logget. Hvor logningen manglede, skal rapporten sige det.
I rapporten
Angiv konto, tjenester, de logkilder og perioder, der er sikret, licensniveau og auditkonfiguration samt tidspunkt for sikring og for oprydning. Fremlæg tidslinjen fra første mistænkelige login til lukning af adgangen, med kilde for hver hændelse.
Angiv også, om andre konti i organisationen er undersøgt for de samme IP-adresser, klienter og regelmønstre. En overtaget konto er sjældent den eneste, og et negativt resultat for de øvrige konti er en vigtig oplysning, når omfanget af hændelsen skal vurderes.
Kilder og versioner
- Microsoft Learn: Respond to a compromised email account in Microsoft 365
- Microsoft Learn: What are Microsoft Entra sign-in logs?
- Microsoft Learn: Learn about auditing solutions in Microsoft Purview
- Microsoft Learn: Microsoft Entra data retention
Senest gennemgået: oktober 2026.
Næste skridt
- Phishing-analyse: sikring af mail, link og landingsside
- Hvem modtog og klikkede? Omfanget af en phishingkampagne
- Kompromitteret WordPress: webserverlogs, filændringer og databasen
Del af: Undersøgelse efter et hackerangreb
Læs også: Er telefonen hacket? Hvad en undersøgelse kan vise · Er computeren hacket? Tekniske tegn og hvad der sikres først
→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
