Passord og en misbrukt e-postadresse: hacket eller forfalsket?

Modul 3: Administrere mailboksen din · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du sikre mailboksen din godt, kjenne igjen forskjellen mellom en forfalsket avsender og en overtatt mailboks, og ta de riktige stegene i begge tilfeller.

Nøkkelbegreper: sterkt passord, passordfrase, passordbehandler, gjenbruk, datalekkasje, brute force, IP-blokkering, tostegsbekreftelse, app-passord, phishing, spoofing (forfalsket avsender), backscatter, overtatt mailboks, mistenkelige regler og videresendinger, sendegrense

To typer "adressen min sender spam"

Nesten alle som administrerer en mailboks, hører det før eller siden: "det sendes spam fra adressen min". Det finnes to helt forskjellige årsaker, og tiltakene er ulike.

1. Forfalskning (spoofing): ingen har vært inne i mailboksen din

En avsenderadresse er bare tekst. Hvem som helst kan sende en e-post med Fra: info@example.com, via sin egen server, uten noen gang å komme inn i mailboksen din. Dette kalles spoofing.

Slik kjenner du det igjen:

• Du får plutselig titalls eller hundrevis av bounces om e-poster du aldri har sendt, ofte til ukjente adresser. Dette er backscatter: mottakerne avviste den forfalskede e-posten og sendte feilmeldingen til adressen som sto oppgitt, altså til deg.
• Det er ingenting i din egen Sent-mappe.
• I loggene til mailserveren din (i mange paneler: en funksjon som "E-mail Tracering") ser du ikke disse meldingene som utgående e-post.
• I headerne til en slik returnert e-post (leksjon 1.5) står det en Receivedheader fra en server som ikke er din.

Å endre passordet ditt hjelper ikke her: ingen hadde det. Det som derimot hjelper, er DMARC (leksjon 4.4). Med p=quarantine eller p=reject forteller du mottakere at de skal sette bort eller avvise e-post som ikke går gjennom din SPF eller DKIM. Da kommer den forfalskede e-posten fram sjeldnere, og færre blir lurt med navnet ditt. Bouncene stopper som regel av seg selv etter noen dager; du kan slette dem.

2. En overtatt mailboks: noen har passordet ditt

Hvis noen har passordet ditt, logger de inn på serveren din og sender spam virkelig via mailboksen din. Dette er mye alvorligere: spammen kommer fra en pålitelig server med din gyldige SPF og DKIM, så den kommer ofte fram. Og serveren mister det gode omdømmet sitt (leksjon 5.2).

Slik kjenner du det igjen:

• I serverloggen ser du utgående e-post du ikke har sendt, ofte i store mengder.
• Antall sendte meldinger fra mailboksen din er mye høyere enn normalt, eller du når plutselig sendegrensen.
• Leverandøren din melder fra om det, eller blokkerer sendingen.
• I mailboksen din finner du ting du ikke kjenner igjen: en videresendingsregel til en ukjent adresse, et filter som flytter bestemt e-post (for eksempel fra banken din eller leverandøren din) rett til papirkurven, en annen svaradresse (Reply-To) i innstillingene dine, eller et fraværssvar.

Slike regler er et kjent triks. En angriper som overtar mailboksen din, vil ofte lese med lenge uten å bli oppdaget, for eksempel for å sende en falsk faktura med et annet kontonummer på rett tidspunkt. En videresendingsregel til angriperens egen adresse fortsetter å virke, selv om du har endret passordet ditt.

Hvordan får noen tak i passordet ditt?

• Phishing: en falsk e-post med en lenke til en etterlignet innloggingsside ("mailboksen din er full, logg inn her"). Den vanligste årsaken.
• Gjenbruk: du bruker samme passord også hos en nettbutikk eller et forum, og den blir hacket. De stjålne kombinasjonene av e-postadresse og passord blir deretter automatisk prøvd ut mot mailservere. Med tjenester som Have I Been Pwned kan du sjekke om adressen din finnes i en kjent datalekkasje.
• Gjetting: korte eller opplagte passord (Welkom2026!, navnet på bedriften) blir gjettet med brute force: tusenvis av forsøk etter hverandre.
• Skadevare på datamaskinen din som fanger opp passord eller henter dem fra nettleseren din.

Sikre mailboksen din godt

1. Et langt, unikt passord per mailboks. Lengde teller mer enn rare tegn. En passordfrase på fire eller fem løse ord er sterk og lett å huske. Ikke bruk den noe annet sted.
2. En passordbehandler. Da slipper du å huske alle passordene, og gjenbruk er ikke lenger nødvendig.
3. Tostegsbekreftelse der det er mulig. Ved forretningsbasert sky-e-post (Microsoft 365, Google Workspace) og i kundepanelet til leverandøren din er dette som regel mulig. For en vanlig IMAP-mailboks fungerer dette ofte ikke for selve IMAP og SMTP, fordi e-postprogrammer bare sender et passord. Noen tjenester bruker i stedet app-passord: et eget, langt passord per program, som du kan trekke tilbake uten å endre hovedpassordet ditt.
4. Vær forsiktig med hvor du logger inn. Skriv passordet ditt kun inn i ditt eget e-postprogram eller på den ekte adressen til webmailen din. En leverandør spør aldri om passordet ditt på e-post.
5. Kjenn sikkerheten til serveren din. Mange servere blokkerer en IP-adresse etter et visst antall mislykkede innloggingsforsøk. Dette beskytter mot brute force, men det betyr også at en gammel enhet med feil passord (et gammelt nettbrett, en skriver som skanner til e-post) kan føre til at hele kontornettverket ditt blir blokkert.

Hva gjør du ved en overtatt mailboks?

Gjør dette med en gang, i denne rekkefølgen:

1. Endre passordet i panelet til leverandøren din (ikke via en lenke i en e-post). Velg et nytt, unikt passord.
2. Kontroller videresendingsregler, filtre, aliaser og fraværssvaret, både i webmailen og i panelet. Fjern alt du ikke har laget selv.
3. Se hvilke enheter og programmer som kobler til, og skriv inn det nye passordet overalt. En glemt enhet med det gamle passordet kan føre til at IP-adressen din blir blokkert.
4. Skann datamaskinen din for skadevare, særlig hvis du ikke har klikket på en phishinglenke.
5. Endre passordet også andre steder hvis du gjenbrukte det, og også passordet til kundepanelet ditt hvis det var det samme.
6. Meld fra til leverandøren din. De kan se hva som er sendt, rydde opp i køen og oppheve en blokkering.
7. Advar kontaktene dine hvis det er sendt e-post til dem, særlig ved falske fakturaer. En datalekkasje med personopplysninger kan også kreve en melding til personvernmyndigheten i landet ditt under GDPR (personvernforordningen); undersøk dette hvis du er i tvil.

En overtatt mailboks kommer sjelden alene. Sjekk også at ikke nettstedet ditt sender spam: et usikret kontaktskjema eller en hacket plugin kan også sende e-post i ditt navn (leksjon 7.3).

I praksis: slik ser det ut i et panel

I DirectAdmin endrer du passordet til en mailboks under E-mail Accounts, via de tre prikkene og Change Password/Username; i kolonnen Sent ser du hvor mye e-post en mailboks har sendt i dag. Med E-mail Tracking ser du om en melding virkelig er sendt via serveren. Videresendinger finner du under Forwarders, fraværssvar under Autoresponders, og i webmailen under Innstillinger. Andre paneler har tilsvarende funksjoner, ofte med navn som "meldingsspor", "message trace" eller "mailboksregler".

Oppsummering

• Bounces om e-post du ikke har sendt, uten noe i Sent-mappen: forfalskning. Der hjelper DMARC, ikke et nytt passord.
• Ekte utgående spam i serverloggen: overtatt mailboks. Endre passord, kontroller regler og videresendinger, oppdater enheter, informer leverandøren.
• Angripere setter ofte opp en videresendingsregel eller et filter slik at de kan fortsette å lese med.
• Bruk et langt, unikt passord per mailboks, en passordbehandler og tostegsbekreftelse eller app-passord der det er mulig.

Quiz

Oppgave

Oppgave O3.4: Sikkerhetssjekk av postboksen din. Gå gjennom din egen mailboks. Er passordet unikt og langt, og ligger det i en passordbehandler? Søk opp adressen din hos en datalekkasjetjeneste (som Have I Been Pwned) og noter om den finnes i en lekkasje. Kontroller i webmailen eller panelet alle videresendingsregler, filtre, svaradressen og fraværssvaret. Noter hvilke enheter som bruker mailboksen. Svar deretter på: hvis du i morgen får bounces om e-post du ikke har sendt, hvordan finner du ut om det er spoofing eller et hack?

Les mer

Stegene i disse artiklene gjelder for panelene til WebOké; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 9.6: Hva du skal gjøre hvis e-postadressen din misbrukes
• DirectAdmin-veiledning 7.2: Endre passordet til en e-postadresse
• DirectAdmin-veiledning 9.3: E-mail Tracking: hvor ble det av e-posten min?
• Hvordan endrer jeg passordet eller grensene for e-postadressen min?
• E-postkonto kapret eller spam fra din adresse: slik rydder du opp
• NCSC, råd om passord og tostegsbekreftelse (Nederland): https://www.ncsc.nl