E-postkontot är ofta den centrala knutpunkten i ett företags digitala miljö. Det beror inte bara på att inkorgen innehåller avtal, offerter och intern kommunikation, utan på att nästan alla externa system använder mejladressen för återställning av lösenord.
När en obehörig person kommer över inloggningsuppgifterna till en företagsmejl handlar det därför sällan enbart om tjuvläsning. Det är i regel startpunkten för att ta sig djupare in i verksamheten eller lura kunder och kollegor på pengar.
Vad angriparen gör i inkorgen
När någon tagit sig in i ett konto är det första målet oftast att kartlägga situationen utan att väcka uppmärksamhet. Genom att söka efter ord som faktura, betalning, bank, avtal och lösenord bildar sig angriparen snabbt en uppfattning om vilka roller personen har och vilka relationer som finns.
Ett vanligt tillvägagångssätt är att övervaka pågående affärsdiskussioner. När en kund väl ska betala en faktura kliver angriparen in mitt i mejltråden, skickar en redigerad PDF och meddelar att företaget har bytt betalningsuppgifter. Eftersom mejlet kommer från rätt adress och i en pågående dialog är risken stor att kunden genomför betalningen utan att ana oråd.
Ett kapat konto kan också användas för att skicka interna förfrågningar eller nätfiskemejl till externa kontakter.
De dolda spåren: regler och vidarebefordran
En angripare vill ofta behålla åtkomsten så länge som möjligt. Därför kan dolda regler skapas i e-postklienten eller webbmejlen.
Reglerna kan innebära att inkommande mejl automatiskt vidarebefordras till en extern adress eller att mejl från vissa kunder flyttas till papperskorgen eller markeras som lästa.
Första åtgärderna vid misstanke om intrång
Om du misstänker att någon har obehörig åtkomst till ett mejlkonto behöver du agera metodiskt och snabbt.
Avsluta alla aktiva sessioner. Att bara byta lösenord räcker inte alltid om angriparen redan har en aktiv inloggning.
Byt lösenord omedelbart. Välj ett långt och unikt lösenord som inte återanvänds någon annanstans.
Aktivera tvåfaktorsautentisering. Om kontot saknar tvåstegsverifiering ska detta slås på direkt.
Granska också regler och vidarebefordran samt vilka externa appar och integrationer som har åtkomst till kontot.
Begränsa följdskador
När den akuta åtkomsten är bruten börjar arbetet med att undersöka vad som faktiskt har hänt.
Kontrollera skickade mejl, papperskorgen och raderade objekt. Om angriparen har kommunicerat med kunder, leverantörer eller kollegor behöver de kontaktas och varnas för eventuella felaktiga betalningsinstruktioner.
Kartlägg också vilka andra system som kan nås via mejladressen. Om kontot har använts för att återställa lösenord till bokföring, CRM eller molnlagring bör även dessa ses över.
Förebyggande skydd
Tvåfaktorsautentisering är ett av de viktigaste skydden för ett företags mejlkonton.
Utöver tekniska spärrar behövs tydliga rutiner. Ändringar av betalningsuppgifter eller större överföringar bör inte godkännas enbart via mejl utan verifieras via en redan känd kontaktväg.
