Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
Når en Google Workspace-konto er overtaget af en uvedkommende, viser auditloggene i administrationskonsollen typisk tre slags spor: logins fra nye steder eller enheder, ændringer i kontoens indstillinger som Gmail-filtre, videresendelse og sikkerhedsindstillinger, og tredjepartsapps, der har fået adgang via OAuth. Sporene skal sikres, før kontoen ryddes op, fordi oprydningen selv ændrer tilstanden, og fordi loggene har en begrænset levetid. Rækkefølgen er: sikr, dokumentér, afhjælp.
Haster det? Google Workspace-loggene har en begrænset opbevaringstid, og en angriber kan nå at slette filtre og videresendelser, før de er dokumenteret. Kontakt os via akut forensisk sikring; hastesager koster ekstra.
Hvordan organisationen forbereder sig, er beskrevet på bevissikring-digitalt.dk i Bevisberedskab i Google Workspace. Den tilsvarende undersøgelse i Microsoft 365 står i BEC-undersøgelse i Microsoft 365, og reglerne der i Indbakkeregler og videresendelse i Microsoft 365.
Logkilderne
- Loginhændelser · Vellykkede og mislykkede logins, mistænkelige logins, login-udfordringer, IP-adresse
- Brugerhændelser · Ændret adgangskode, ændringer i totrinsbekræftelse og gendannelsesoplysninger
- Gmail-indstillinger · Oprettelse af filtre, videresendelse, delegering og ændrede indstillinger for IMAP og POP
- OAuth-tokens · Apps, der har fået eller mistet adgang, med app-id og tilladelser (scopes)
- Enheder · Nye mobile enheder og synkroniseringer
- Drive · Downloads og delinger i perioden
- Gmail-logsøgning · Udsendte og videresendte mails
Navnene på hændelserne og deres placering i konsollen ændres af Google. Søg derfor bredt på logkategori, konto og periode frem for på et bestemt hændelsesnavn, og notér de navne, konsollen eller Reports API’et viste ved eksporten. Loggenes opbevaring og generelle fortolkning er gennemgået i Google Vault og auditlogs i Google Workspace.
Logins
Loginhændelser viser tidspunkt, IP-adresse, loginmetode og eventuelle udfordringer, fx krav om ekstra bekræftelse. Google markerer nogle logins som mistænkelige ud fra sine egne kriterier. Markeringen er et pejlemærke, ikke et bevis. Mønstre, der ofte går igen i overtagne konti:
- et login fra et nyt land eller en ny udbyder kort efter en phishingmail,
- mange mislykkede forsøg efterfulgt af et vellykket,
- et login, der efterfølges af ændring af gendannelsesoplysninger eller totrinsbekræftelse.
IP-adressens placering er en vurdering fra en database og kan være forkert, især ved mobilnet, VPN og hostingudbydere. En adresse hos en hostingudbyder eller en kendt VPN-tjeneste er et stærkere tegn på, at det ikke var brugeren, end et login fra et uventet land, fordi mobilnet og rejser ofte forklarer det sidste. Notér for hver relevant adresse, hvilken database og hvilken dato placeringen er slået op med, fordi opslaget kan give et andet svar senere.
Vær opmærksom på, at en angriber med en gyldig session eller et token ikke nødvendigvis optræder med et nyt login. Aktiviteten kan fortsætte via en session, der blev oprettet tidligere. Sammenhængen mellem sessioner og logins er beskrevet i Sessioner, tokens og loginlogs.
Filtre, videresendelse og delegering
Det typiske mål med en overtaget postkasse er at følge med i korrespondancen eller at skjule svar. Det sker med:
- Filtre, der flytter, markerer som læst, arkiverer eller sletter mails med bestemte afsendere eller ord, fx fra en bank eller en bestemt kunde.
- Videresendelse til en ekstern adresse, enten for alle mails eller via et filter.
- Delegering, hvor en anden konto får adgang til at læse og sende fra postkassen.
- IMAP eller POP, der slås til, så en ekstern klient kan hente mails.
Auditloggen viser, hvornår indstillingen blev ændret, og fra hvilken konto. Selve filterets betingelser og handlinger kan fremgå af hændelsen eller skal læses i kontoens aktuelle indstillinger. Eksportér begge dele: hændelsen for dateringen og den aktuelle konfiguration for indholdet. Organisationens indstilling for, om videresendelse til eksterne adresser er tilladt, skal også noteres.
Apps med adgang
En app, der har fået OAuth-adgang til kontoen, kan læse mails og filer uden at kende adgangskoden og uden at logge ind på normal vis. Adgangen fortsætter, selvom adgangskoden ændres, indtil tokenet tilbagekaldes. OAuth-loggen viser, hvornår adgangen blev givet, hvilken app, hvilke tilladelser og fra hvilken IP. Undersøgelsen af app-samtykker er gennemgået i OAuth-apps og samtykke-phishing.
Hvad kontoen er brugt til
Overtagelsen i sig selv er sjældent det, sagen handler om. Det er det, kontoen blev brugt til bagefter. Undersøg derfor også:
- Udsendte mails i perioden, især svar i eksisterende tråde med kunder eller leverandører, hvor betalingsoplysninger eller bankkonti er ændret. Gmail-logsøgningen viser forsendelserne; se Gmail-logsøgning.
- Slettede mails i Sendt og Papirkurv, som angriberen kan have fjernet for at skjule svar. De kan findes i Vault, hvis de var fastholdt.
- Drive-aktivitet med downloads eller delinger fra de samme IP-adresser som de mistænkelige logins.
- Kalender og kontakter, som kan være brugt til at finde nye mål.
Koblingen mellem de forskellige hændelser sker via kontoen, IP-adressen og tidspunktet. En hændelse, der deler IP-adresse med et mistænkeligt login, vejer tungere end en hændelse fra brugerens kendte adresse.
Sådan sikres sporene
- Eksportér loggene for kontoen og perioden, fra før det første mistænkelige login til nu: login, bruger, Gmail-indstillinger, OAuth, enheder og Drive.
- Dokumentér konfigurationen: filtre, videresendelsesadresser, delegeringer, IMAP/POP, gendannelsesoplysninger, totrinsbekræftelse og apps med adgang. Brug eksport eller API, og supplér med skærmbilleder med tidspunkt.
- Sikr udsendte mails via Gmail-logsøgning og Vault for perioden.
- Sæt fastholdelse i Vault, så mails, som angriberen har slettet, kan bevares fremadrettet.
- Hash alle eksporter, og registrér dem.
- Afhjælp derefter: nulstil adgangskode, log ud af alle sessioner, tilbagekald tokens, fjern filtre, videresendelse og delegering, og gennemgå gendannelsesoplysninger. Notér hvert indgreb med tidspunkt.
Er tiden knap, fordi angriberen stadig er aktiv, kan afhjælpning være nødvendig før en fuld sikring. Så skal de vigtigste eksporter tages først, og rækkefølgen dokumenteres.
Verifikation
Byg en tidslinje over login, ændringer, app-samtykker, udsendte mails og afhjælpning, og kontrollér den mod brugerens egen forklaring og kendte forhold, fx rejser, nye enheder og arbejdstider. Kontrollér også, at afhjælpningen virkede: Optræder der nye logins fra de samme adresser efter nulstilling, eller fortsætter en app med at hente data? Hændelser efter afhjælpningen kan vise, at en adgangsvej er overset.
Private Gmail-konti
En privat Gmail-konto har ingen administratorlog. Kontoejeren kan selv se seneste sikkerhedshændelser, tilsluttede enheder og apps med adgang i kontoens sikkerhedsindstillinger. De kan dokumenteres med ejerens samtykke og i ejerens nærvær. Er den ramte udsat for digital stalking, kan der hentes hjælp til at sikre spor og lukke adgange via Nielco IT’s stalkinghjælp.
Fejlkilder i fortolkningen
- Brugerens egne ændringer: Et filter kan være oprettet af brugeren selv for længe siden. Datering via auditloggen er afgørende.
- Mobilapps og synkronisering: Nye enheder kan være brugerens egen nye telefon.
- Tidszone: Konsollen viser administratorens tidszone, eksporter kan bruge UTC.
- Opbevaring: Logs har en begrænset levetid. Mangler de første hændelser, kan indgangen ikke fastlægges.
Hvad sporene kan og ikke kan bevise
Sporene kan vise, at kontoen blev tilgået fra bestemte adresser, at indstillinger blev ændret, og at apps fik adgang, på bestemte tidspunkter. De kan ikke alene identificere personen bag. Til gengæld kan de afgrænse, hvilke data der kan være tilgået, hvilket er centralt for vurderingen af et eventuelt brud på persondatasikkerheden.
Dokumentation til rapporten
Angiv logkilder, perioder og eksporttidspunkter, konfigurationen før afhjælpning, alle indgreb med tidspunkter, tidszone og hashværdier, samt en tidslinje, der forbinder login, ændringer og udsendte mails.
Kilder og versioner
- Google Workspace Admin Help: Audit and investigation, oversigt over logkilder
- Google for Developers: Reports API, activities.list
- Google Workspace Admin Help: OAuth log events
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Google Workspace-forensik
Læs også: Google Drive: revisioner, aktivitet og delingsspor · Private Google-konti: aktivitetsdata og placeringshistorik
→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
