Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
En phishinghændelse efterlader tre ting, der skal sikres: selve mailen med fuld header og vedhæftninger, de links, mailen indeholder, og den landingsside, linkene førte til. Mailen ligger stabilt i postkassen, men landingssiden kan være væk efter få timer, og den kan vise forskelligt indhold afhængigt af, hvem der besøger den. Sikringen skal derfor ske hurtigt, fra et isoleret miljø og uden at bruge modtagerens personlige link på en måde, der advarer afsenderen eller lækker oplysninger.
Haster det? Landingssiden kan være væk efter få timer, og klik- og loginlogs har kort opbevaring. Se akut forensisk sikring; hastesager koster ekstra.
Den menneskelige side, herunder hvordan virksomheden taler med den medarbejder, der klikkede, står på Medarbejderen klikkede på phishing. Her er den tekniske sikring.
Rækkefølgen
Tidspresset er størst for landingssiden og for logs med kort opbevaring, mens mailen som regel kan vente nogle timer, så længe den ikke slettes. En praktisk rækkefølge er derfor: Stop sletning af mailen hos modtagerne, sikr landingssiden, eksportér de korte logs, og sikr derefter mailen og vedhæftningerne i ro. Er der tegn på, at en konto allerede er kompromitteret, går lukning af adgangen forud for alt andet, men eksporten af loginloggen tages før og efter.
Hold også øje med sletning udført af virksomhedens egne værktøjer. Mange mailsystemer kan fjerne en phishingmail fra alle postkasser med ét klik. Det er nyttigt for driften, men gør det, før mindst ét eksemplar er sikret med header, mister undersøgelsen sit vigtigste materiale. Aftal med den, der håndterer hændelsen, at et eksemplar sikres først.
Mailen
Sikr mailen fra modtagerens postkasse som fil, ikke som videresendelse. Den bedste metode er en administrativ eksport eller en søgning og eksport via platformens værktøjer, som bevarer den oprindelige header og mailens interne struktur. Gem den i et format, der bevarer MIME-strukturen, typisk EML. → Mailformater i forensics: EML, MSG og MBOX
Notér for mailen:
- hvilken postkasse og mappe den er hentet fra, af hvem og hvornår,
- Message-ID, modtagelsestidspunkt og afsenderfelter,
- hashværdi af den gemte fil.
Er mailen allerede flyttet til karantæne af et filter, kan den ofte hentes derfra med samme metode. Notér, hvis den er hentet fra karantæne, fordi den så kan mangle i brugerens postkasse. Analyse af headeren er beskrevet i Mail-headere, SPF, DKIM og DMARC.
Vedhæftninger
Træk vedhæftninger ud af den gemte mailfil, og beregn hashværdier, før de analyseres. Åbn dem aldrig på en almindelig arbejdsstation. Hashværdien kan søges i virksomhedens egne systemer, fx EDR og mailfilter, for at finde andre modtagere og eventuelle åbninger. Hvad der skal sikres på en computer, hvor vedhæftningen er åbnet, er beskrevet i Ondsindede vedhæftninger: hvad der sikres på endpointet.
Links
Udtræk alle links fra mailens HTML- og tekstdel. Vær opmærksom på:
- Omskrevne links. Linkbeskyttelse i mailsystemet erstatter ofte det oprindelige link med en adresse hos sikkerhedstjenesten. Det oprindelige link står typisk kodet i den omskrevne adresse og skal afkodes og dokumenteres. Microsofts Safe Links omskriver til en adresse under
safelinks.protection.outlook.com, hvor den oprindelige adresse står URL-kodet som en parameter. Andre leverandører bruger egne formater, som kan kræve leverandørens eget værktøj at afkode. Bemærk også, at ikke alle links omskrives: Safe Links kan være sat op til kun at kontrollere ved klik, og links til SharePoint og OneDrive omskrives ikke. - Viste og faktiske adresser. Teksten i et link kan vise én adresse, mens linket peger på en anden. Dokumentér begge.
- Personlige tokens. Mange phishinglinks indeholder et id eller modtagerens mailadresse, ofte kodet. Et besøg med det link kan registreres hos afsenderen som et klik fra netop den modtager.
- Omdirigeringskæder. Det første link fører ofte gennem flere led, fx en legitim tjeneste med åben omdirigering, før landingssiden nås.
- Skjulte links. Et link kan ligge i et QR-billede eller inde i et delt dokument og ikke i selve mailen. Se QR-koder og delte dokumenter som phishing.
Skriv links i rapporten i en uskadeliggjort form, fx hxxps og [.] i stedet for punktum, så ingen kommer til at klikke på dem.
Landingssiden
Landingssiden er det mest flygtige spor og det, der oftest sikres forkert. Gør det sådan:
- Brug et isoleret miljø: en virtuel maskine eller dedikeret computer uden adgang til virksomhedens netværk og konti, med en udgående forbindelse, der ikke peger tilbage på virksomheden.
- Overvej, hvilket link der bruges. Fjern eller erstat modtagerens personlige id, hvis siden kan nås uden. Kræver siden id’et, så notér, at besøget kan være registreret som et klik, og at det er sket som led i sikringen.
- Optag hele forløbet: netværkstrafik som HAR-fil eller i et arkivformat, der bevarer svar og headers, skærmbilleder af hver side og den fulde omdirigeringskæde. → Webarkivering i forensisk kvalitet
- Indtast aldrig rigtige oplysninger. Indtast heller ikke opdigtede loginoplysninger uden et klart formål, fordi det kan ændre sidens adfærd og blive tolket som et kompromitteret login.
- Dokumentér infrastrukturen: DNS-opslag, IP-adresser, TLS-certifikat og registreringsdata for domænet. → Lookalike-domæner: registreringsdata og certifikatlogs
- Beregn hashværdier af alle filer, og notér tidspunkt i UTC og den udgående IP-adresse, sikringen er foretaget fra.
Når siden viser forskelligt indhold
Phishingsider bruger ofte filtrering, så de kun viser det falske indhold for bestemte besøgende: fra bestemte lande, med en bestemt browser eller kun én gang pr. link. Andre bliver sendt videre til en harmløs side. Det betyder, at en sikring, der viser en tom eller legitim side, ikke beviser, at siden var harmløs, da medarbejderen klikkede. Dokumentér, hvilken browser, hvilket land og hvilket link der blev brugt, og prøv om nødvendigt med en profil, der ligner modtagerens.
Offentlige analysetjenester
Det er fristende at indsende linket eller vedhæftningen til en offentlig scannings- eller sandkassetjeneste. Mange af dem gør indsendelser offentligt søgbare, og et link med modtagerens mailadresse eller et dokument med interne oplysninger bliver så tilgængeligt for andre. Brug private analysemuligheder, eller fjern personlige oplysninger først, og notér i arbejdsnoterne, hvad der er indsendt hvorhen.
Sikring af logs omkring hændelsen
Sideløbende med mailen og siden skal de logs, der viser, hvem der modtog og klikkede, sikres, før de roterer. Det er beskrevet i Hvem modtog og klikkede? Omfanget af en phishingkampagne.
Kæde af ansvar (chain of custody) for det sikrede
Mailfiler, vedhæftninger, arkivfiler og skærmbilleder bør samles i én sagsmappe med en log over, hvad hver fil er, hvor den kommer fra, hvem der har sikret den, hvornår og med hvilken hashværdi. Vedhæftninger med skadeligt indhold opbevares krypteret eller pakket med adgangskode, så de ikke åbnes ved et uheld eller fjernes af antivirus.
Fejlkilder
- Videresendt mail som eneste kopi.
- Siden er sikret fra en virksomhedsmaskine, som efterlader spor i virksomhedens egne logs, der senere kan forveksles med medarbejderens klik.
- Automatiske linkscannere har besøgt siden før alle andre og kan stå i loggen som første besøg.
- Manglende tidspunkt: En sikring uden præcis tid kan ikke sammenholdes med loginloggen.
Hvad sikringen kan og ikke kan vise
En korrekt sikring kan vise, hvad mailen indeholdt, hvor linkene førte hen, og hvordan landingssiden så ud og opførte sig på sikringstidspunktet. Den kan ikke med sikkerhed vise, hvordan siden så ud for medarbejderen tidligere, og den identificerer ikke afsenderen. Sammen med loginlogs kan den underbygge, hvordan en konto blev kompromitteret.
Dokumentation
Rapporten bør indeholde mailfilen med hashværdi, de uskadeliggjorte links med afkodede originaler, omdirigeringskæden, sikringen af landingssiden med tidspunkt, miljø og udgående adresse, og en beskrivelse af, hvilke tjenester der eventuelt er brugt til analyse.
Kilder og versioner
- Microsoft Learn: Complete Safe Links overview
- RFC 5322: Internet Message Format
- ISO 28500: WARC-filformatet til webarkivering
Senest gennemgået: oktober 2026.
Næste skridt
- Sessioner og tokens: når adgangen fortsætter efter skift af adgangskode
- BEC-undersøgelse i Microsoft 365 trin for trin
- Fakturasvindel: hvilken af parterne var kompromitteret?
Del af: Undersøgelse efter et hackerangreb
Læs også: Ændret kontonummer i PDF-fakturaen: teknisk sammenligning med originalen · Hvem modtog og klikkede? Omfanget af en phishingkampagne
→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
