Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: Oftest ikke. De fleste typiske tegn, som hurtigt batteriforbrug, varme, pop-ups og mærkelige beskeder, har almindelige forklaringer. En teknisk undersøgelse kan derimod finde konkrete spor: ukendte apps med vidtgående tilladelser, konfigurationsprofiler, fremmed fjernadministration og adgang til kontoen fra andre enheder. Den kan ikke altid udelukke avanceret spyware.
Langt de fleste sager, hvor nogen ser ud til at vide for meget, handler ikke om en hacket telefon, men om en delt konto, en tilknyttet enhed eller en app, der er installeret med adgang til telefonen. Undersøgelsen bør derfor dække både telefonen og kontiene. Artiklen gælder egne telefoner, eller hvor der er lovligt grundlag, fx virksomhedens egne firmatelefoner. Er du udsat for digital stalking, kan Nielco IT hjælpe med at sikre spor og lukke adgange: hjælp ved digital stalking.
Tegn og bevis er to forskellige ting
- Batteriet aflades hurtigt · Hvad det typisk skyldes: Ældre batteri, baggrundsapps, opdateringer · Hvad en undersøgelse ser efter i stedet: Apps med uforklaret energiforbrug over tid
- Telefonen bliver varm · Hvad det typisk skyldes: Opladning, spil, dårlig dækning · Hvad en undersøgelse ser efter i stedet: Processer og apps, der kører konstant
- Pop-ups og reklamer · Hvad det typisk skyldes: Reklamefinansierede apps, browsernotifikationer · Hvad en undersøgelse ser efter i stedet: Apps og websteder med notifikationstilladelse
- Mærkelige sms’er eller opkald · Hvad det typisk skyldes: Phishing, der rammer mange · Hvad en undersøgelse ser efter i stedet: Om beskeder er sendt fra telefonen eller kontoen
- Nogen kender indholdet af beskeder · Hvad det typisk skyldes: Delt konto, tilknyttet enhed, backup · Hvad en undersøgelse ser efter i stedet: Enhedslister, sessioner, cloudadgang
- Nogen ved, hvor telefonen er · Hvad det typisk skyldes: Delt lokation, familiedeling, tracker · Hvad en undersøgelse ser efter i stedet: Delingsindstillinger, Find-funktioner, ukendte trackere
Tegnene er grund til at undersøge, ikke dokumentation. Det, der kan bruges som bevis, er konkrete og daterbare artefakter. Er du privatperson, er der en ikke-teknisk vejledning om tegn på en overvåget telefon og de første skridt.
Hvad en teknisk undersøgelse leder efter
På Android:
- installerede apps, også apps med skjult ikon eller neutrale navne, med installationstidspunkt og kilde,
- apps med tilgængelighedstjenester, enhedsadministrator, notifikationsadgang eller rettighed til at vise over andre apps,
- apps installeret uden for Play Butik,
- arbejdsprofiler og MDM-administration, som brugeren ikke kender,
- Play Protects advarsler og indstillinger.
På iPhone:
- konfigurationsprofiler og fjernadministration (MDM), der ikke hører til en kendt arbejdsgiver,
- tegn på jailbreak, som fjerner styresystemets begrænsninger,
- apps med adgang til lokation, kamera, mikrofon og lokalt netværk,
- delinger og adgange samlet i sikkerhedstjekket (Safety Check).
På kontiene:
- tilknyttede enheder og aktive sessioner i Apple-ID, Google-konto, Microsoft-konto og beskedapps,
- tofaktor-metoder og gendannelsesoplysninger, som brugeren ikke selv har sat op,
- delt lokation, familiegruppe og delte album,
- mailregler og videresendelse.
Detaljerne om sporene er beskrevet i stalkerware og fjernadgang: tekniske spor og i delt konto som overvågning.
Avanceret spyware
Kommerciel spyware, der installeres uden brugerens medvirken, findes, men bruges typisk mod udvalgte personer som journalister, aktivister og politikere. Den efterlader få spor i de dele af telefonen, brugeren kan se. Opdagelse kræver analyse af systemlogs, diagnosedata og backup mod offentliggjorte indikatorer, og selv da kan et negativt resultat ikke garantere, at telefonen er ren. Det skal stå klart i en rapport. For de fleste privatpersoner og virksomheder er den mest sandsynlige forklaring en af de mere jordnære adgangsveje ovenfor.
Når forklaringen ligger uden for telefonen
Er telefonen og kontiene gennemgået uden fund, bør undersøgelsen udvides til omgivelserne. Lokation kan komme fra en Bluetooth-tracker i tasken eller bilen, fra bilens app, der viser kørsler, eller fra en delt router, hvor den anden part kan se tilsluttede enheder. Indhold kan komme fra en fælles computer, hvor beskedappen eller mailen stadig er logget ind, eller fra en tablet, der deler Apple-ID. Disse kilder er beskrevet i bil, router og smart home, og tegnene på en kompromitteret computer i Er computeren hacket?.
Det er også værd at spørge, hvilke oplysninger den anden part ser ud til at kende, og hvilke ikke. Kender vedkommende indholdet af beskeder i én app, men ikke i en anden, peger det på en bestemt adgangsvej frem for en hacket telefon. Den slags afgrænsning sparer tid og gør undersøgelsen mere præcis.
Firmatelefoner
På en firmatelefon kan virksomhedens egen administration ligne overvågning for brugeren: en MDM-profil, en arbejdsprofil, en VPN-app eller en sikkerhedsapp, der rapporterer til IT. Det er normalt og bør afklares med IT, før det tolkes som et angreb. Omvendt kan en ukendt profil på en firmatelefon være et reelt sikkerhedsproblem, som virksomheden selv bør undersøge og dokumentere, fordi den kan give adgang til mail, filer og forretningsdata.
Undersøgelse af en medarbejders firmatelefon kræver, at virksomheden har et lovligt grundlag og afgrænser undersøgelsen. Private data på telefonen skal håndteres særskilt, og medarbejderen bør som udgangspunkt være orienteret.
Sådan sikres telefonen før undersøgelsen
- Undlad at nulstille telefonen eller afinstallere mistænkelige apps, før sporene er sikret. Nulstilling fjerner netop de artefakter, der kan dokumentere adgangen.
- Dokumentér det synlige med skærmoptagelse: apps, tilladelser, profiler, enhedslister og delinger, med dato og klokkeslæt.
- Lav et udtræk eller en krypteret backup, så appdata, databaser og logs bevares. Krypteret iPhone-backup indeholder flere data end ukrypteret. Se udtræk fra mobiltelefoner.
- Overvej telefonens sikkerhed under forløbet: Hvis den anden part kan se lokation eller beskeder, bør planlægning af sagen foregå på en anden enhed.
- Luk adgange samlet efter sikringen: fjern ukendte apps og profiler, log ukendte sessioner ud, skift adgangskoder og gennemgå tofaktor.
Den tekniske tjekliste for stalking-ramte findes i sporsikring ved digital stalking.
Hvad undersøgelsen kan og ikke kan vise
En undersøgelse kan vise, at en bestemt app med bestemte tilladelser var installeret fra et bestemt tidspunkt, at en profil gav fjernadministration, eller at kontoen var tilgængelig fra en fremmed enhed. Den kan ofte vise, hvilke data adgangen gav mulighed for. Den kan sjældent vise præcist, hvilke data der blev læst, og den viser ikke uden videre, hvem der installerede appen. Den kobling kræver andre oplysninger, fx hvem der havde adgang til den ulåste telefon på installationstidspunktet.
Et negativt resultat betyder, at der ikke er fundet spor i de undersøgte kilder. Det er ikke det samme som, at telefonen er bevist ren. Se fravær af spor.
Hvad der ikke må gøres
Undersøgelsen omfatter den ramtes egne enheder og konti. Den mistænktes telefon eller konti må ikke tilgås uden lovligt grundlag, og der må ikke installeres noget på andres enheder for at “fange” dem. Det kan være ulovligt og ødelægge bevisværdien.
I rapporten
Angiv model, styresystem og version, sikringsmetode, værktøjer og versioner, hvilke kategorier af spor der er undersøgt, og hvad der ikke kunne undersøges. Formulér fund som observationer med tidspunkt og kilde, og angiv usikkerheden, især ved negative resultater.
Beskriv også, hvilke adgangsveje der er undersøgt, og hvilke der ikke er. En rapport, der kun har set på telefonen, bør ikke udtale sig om cloudkonti, og omvendt. Den ramte og en eventuel advokat skal kunne se, hvad der mangler for at få et fuldt billede, og hvad det vil kræve at undersøge det.
Kilder og versioner
- NIST SP 800-101 Rev. 1: Guidelines on Mobile Device Forensics
- Apple Personal Safety User Guide: How Safety Check works
- Google Play Help: Use Google Play Protect
Senest gennemgået: oktober 2026.
Næste skridt
- Sessioner og tokens: når adgangen fortsætter efter skift af adgangskode
- BEC-undersøgelse i Microsoft 365 trin for trin
- Fakturasvindel: hvilken af parterne var kompromitteret?
Del af: Undersøgelse efter et hackerangreb
Læs også: Hvem er logget ind på kontoen? Enheder og sessioner · Er mailen hacket? Tegn i loginlog, regler og sendt post
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
