Adgangskoder og en misbrugt mailadresse: hacket eller forfalsket?

Modul 3: Administration af din mailboks · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du beskytte din mailboks ordentligt, kende forskellen mellem en forfalsket afsender og en overtaget mailboks, og tage de rigtige skridt i begge tilfælde.

Nøglebegreber: stærk adgangskode, kodesætning, adgangskodemanager, genbrug, datalæk, brute force, IP-blokering, totrinsbekræftelse, app-adgangskode, phishing, spoofing (forfalsket afsender), backscatter, overtaget mailboks, mistænkelige regler og videresendelser, afsendelsesgrænse

To slags "min adresse sender spam"

Næsten enhver administrator oplever det på et tidspunkt: "der går spam ud fra min adresse". Der er to meget forskellige årsager, og fremgangsmåden er forskellig.

1. Forfalskning (spoofing): ingen var inde i din mailboks

En afsenderadresse er bare tekst. Alle kan sende en mail med Fra: info@example.com, via deres egen server, uden nogensinde at komme ind i din mailboks. Det kaldes spoofing.

Sådan genkender du det:

• Du modtager pludselig snesevis eller hundredvis af bounces om mails, du aldrig har sendt, ofte til ukendte adresser. Det er backscatter: modtagerne afviste den forfalskede mail og sendte fejlmeddelelsen til den adresse, der stod i den, altså til dig.
• Din egen Sendt-mappe er tom.
• I logfilerne for din mailserver (i mange kontrolpaneler en funktion som "e-mailsporing") ser du ikke disse beskeder som udgående mail.
• I headerne for en sådan returneret mail (lektion 1.5) finder du en Received-linje fra en server, der ikke er din.

Det hjælper ikke at skifte din adgangskode: ingen havde den. Det, der hjælper, er DMARC (lektion 4.4). Med p=quarantine eller p=reject fortæller du modtagere, at de skal lægge mail, der ikke består din SPF eller DKIM, i karantæne eller afvise den. Så kommer den forfalskede mail sjældnere igennem, og der bliver også snydt færre mennesker med dit navn. Bounces stopper som regel af sig selv efter nogle dage; du kan bare slette dem.

2. En overtaget mailboks: nogen har din adgangskode

Har nogen din adgangskode, logger de ind på din server og sender spam reelt via din mailboks. Det er langt mere alvorligt: spammen kommer fra en betroet server med din gyldige SPF og DKIM, så den kommer ofte igennem. Og serveren mister sit gode omdømme (lektion 5.2).

Sådan genkender du det:

• I serverens logfil ser du udgående mail, som du ikke har sendt, ofte i store mængder.
• Antallet af sendte beskeder fra din mailboks er langt højere end normalt, eller du rammer pludselig afsendelsesgrænsen.
• Din udbyder giver besked, eller blokerer afsendelsen.
• I din mailboks finder du ting, du ikke genkender: en videresendelsesregel til en ukendt adresse, et filter, der straks flytter bestemt mail (for eksempel fra din bank eller din udbyder) til papirkurven, en anden svaradresse (Reply-To) i dine indstillinger, eller en autosvarbesked.

Disse regler er et velkendt trick. En angriber, der overtager din mailboks, vil ofte gerne læse med i det skjulte i lang tid, for eksempel for at sende en falsk faktura med et andet kontonummer på det rigtige tidspunkt. En videresendelsesregel til angriberens egen adresse bliver ved med at virke, selv efter du har skiftet adgangskode.

Hvordan får nogen fat i din adgangskode?

• Phishing: en falsk mail med et link til en efterlignet loginside ("din mailboks er fuld, log ind her"). Den mest almindelige årsag.
• Genbrug: du bruger den samme adgangskode til en webshop eller et forum, og den bliver hacket. De stjålne kombinationer af mailadresse og adgangskode bliver derefter automatisk afprøvet på mailservere. Med tjenester som Have I Been Pwned kan du slå op, om din adresse indgår i et kendt datalæk.
• Gætning: korte eller oplagte adgangskoder (Welkom2026!, firmaets navn) gættes med brute force: tusindvis af forsøg i træk.
• Malware på din computer, der opsnapper adgangskoder eller henter dem fra din browser.

Beskyt din mailboks ordentligt

1. En lang, unik adgangskode per mailboks. Længde tæller mere end mærkelige tegn. En kodesætning på fire eller fem enkelte ord er stærk og nem at huske. Brug den ingen andre steder.
2. En adgangskodemanager. Så behøver du ikke huske alle de adgangskoder, og genbrug er ikke nødvendigt længere.
3. Totrinsbekræftelse hvor det er muligt. Ved erhvervscloudmail (Microsoft 365, Google Workspace) og i din udbyders kundepanel er det som regel muligt. Ved en almindelig IMAP-mailboks er det ofte ikke muligt for selve IMAP og SMTP, fordi mailprogrammer kun sender en adgangskode. Nogle tjenester bruger i stedet app-adgangskoder: en separat, lang adgangskode per program, som du kan tilbagekalde uden at skifte din hovedadgangskode.
4. Vær forsigtig med, hvor du logger ind. Indtast kun din adgangskode i dit eget mailprogram eller på den rigtige adresse til din webmail. En udbyder spørger aldrig om din adgangskode via mail.
5. Kend sikkerheden på din server. Mange servere blokerer en IP-adresse efter et antal mislykkede loginforsøg. Det beskytter mod brute force, men det betyder også, at en gammel enhed med en forkert adgangskode (en gammel tablet, en printer der scanner til mail) kan få hele dit kontornetværk blokeret.

Hvad gør du ved en overtaget mailboks?

Gør dette med det samme, i denne rækkefølge:

1. Skift adgangskoden i din udbyders kontrolpanel (ikke via et link fra en mail). Vælg en ny, unik adgangskode.
2. Kontrollér videresendelsesregler, filtre, aliasser og autosvarbeskeden, både i webmailen og i kontrolpanelet. Fjern alt, du ikke selv har oprettet.
3. Tjek hvilke enheder og programmer der opretter forbindelse, og indtast den nye adgangskode overalt. En glemt enhed med den gamle adgangskode kan få din IP blokeret.
4. Scan din computer for malware, især hvis du ikke har klikket på et phishinglink.
5. Skift adgangskoden andre steder også, hvis du genbrugte den, og også adgangskoden til dit kundepanel, hvis den var den samme.
6. Giv besked til din udbyder. Den kan se, hvad der er blevet sendt, rydde op i køen og ophæve en blokering.
7. Advar dine kontakter, hvis der er sendt mail til dem, især ved falske fakturaer. Et datalæk med personoplysninger kan ifølge GDPR (databeskyttelsesforordningen) også kræve en anmeldelse til databeskyttelsesmyndigheden i dit land; undersøg dette, hvis du er i tvivl.

En overtaget mailboks kommer sjældent alene. Tjek også, om din hjemmeside ikke sender spam: en usikret kontaktformular eller et hacket plugin kan også sende mail i dit navn (lektion 7.3).

I praksis: sådan ser det ud i et kontrolpanel

I DirectAdmin ændrer du adgangskoden til en mailboks under E-mailkonti, via de tre prikker og Skift adgangskode/brugernavn; i kolonnen Sendt kan du se, hvor meget mail en mailboks har sendt i dag. Med E-mailsporing kan du se, om en besked reelt er sendt via serveren. Videresendelser finder du under Videresendere, autosvarbeskeder under Autosvarere, og i webmailen under Indstillinger. Andre kontrolpaneler har tilsvarende funktioner, ofte med navne som "beskedspor", "message trace" eller "mailboksregler".

Opsummering

• Bounces om mail, du ikke har sendt, uden noget i din Sendt-mappe: forfalskning. Her hjælper DMARC, ikke en ny adgangskode.
• Reel udgående spam i serverens logfil: overtaget mailboks. Skift adgangskode, kontrollér regler og videresendelser, opdater enheder, giv besked til udbyderen.
• Angribere opsætter ofte en videresendelsesregel eller et filter, så de kan blive ved med at læse med.
• Brug en lang, unik adgangskode per mailboks, en adgangskodemanager og, hvor det er muligt, totrinsbekræftelse eller app-adgangskoder.

Quiz

Opgave

Opgave O3.4: Sikkerhedstjek af din postkasse. Gennemgå din egen mailboks. Er adgangskoden unik og lang, og ligger den i en adgangskodemanager? Slå din adresse op hos en datalæktjeneste (som Have I Been Pwned) og noter, om den optræder i et læk. Kontrollér i webmailen eller kontrolpanelet alle videresendelsesregler, filtre, svaradressen og autosvarbeskeden. Noter, hvilke enheder der bruger mailboksen. Besvar derefter: hvis du i morgen modtager bounces om mail, du ikke har sendt, hvordan finder du så ud af, om det er spoofing eller et hack?

Videre læsning

Trinene i disse artikler gælder for WebOkés kontrolpaneler; hos andre udbydere fungerer det tilsvarende.

• DirectAdmin vejledning 9.6: Hvad gør du, hvis din e-mailadresse er blevet misbrugt
• DirectAdmin vejledning 7.2: Adgangskoden til en e-mailadresse ændre
• DirectAdmin vejledning 9.3: E-mailsporing: hvor er min mail blevet af?
• Skift adgangskode eller grænser for en e-mailadresse
• Overtaget mailboks eller spam fra din adresse: sådan rydder du op
• NCSC, råd om adgangskoder og totrinsbekræftelse (Holland): https://www.ncsc.nl
• Roundcube Webmail 10.5: Skift adgangskoden til din mailboks
• Roundcube Webmail 10.3: Slå totrinsbekræftelse til
• Thunderbird med din WebOké-mail og Nextcloud 2.3: Adgangskoder: skift, gemte adgangskoder og en primær adgangskode