Svara på ett komprometterat e-postkonto

Autentiseringsuppgifter styr åtkomsten till Microsoft 365-postlådor, data och andra tjänster. När någon stjäl dessa autentiseringsuppgifter anses det associerade kontot vara komprometterat.

När en angripare stjäl autentiseringsuppgifterna och får åtkomst till kontot kan de komma åt den associerade Microsoft 365-postlådan, SharePoint-mapparna eller filerna i användarens OneDrive. Angripare använder ofta den komprometterade postlådan för att skicka e-post som den ursprungliga användaren till mottagare inom och utanför organisationen. Angripare som använder e-post för att skicka data till externa mottagare kallas dataexfiltrering.

Den här artikeln beskriver symptomen på kontointrång och hur du återfår kontrollen över det komprometterade kontot.

Symptom på ett komprometterat Microsoft-e-postkonto

Användarna kan lägga märka till och rapportera ovanliga aktiviteter i sina Microsoft 365-postlådor. Till exempel:

• Misstänkt aktivitet, till exempel saknad eller borttagen e-post.
• Användare som får e-post från det komprometterade kontot utan motsvarande e-post i avsändarens mapp Skickat .
• Misstänkta inkorgsregler. Dessa regler kan automatiskt vidarebefordra e-post till okända adresser eller flytta meddelanden till mapparna Anteckningar, Skräppost Email eller RSS-prenumerationer.
• Användarens visningsnamn ändras i den globala adresslistan.
• Användarens postlåda hindras från att skicka e-post.
• Mapparna Skickat ellerBorttaget objekt i Microsoft Outlook eller Outlook på webben (kallades tidigare Outlook Web App) innehåller vanliga meddelanden för komprometterade konton (till exempel "Jag har fastnat i London, skicka pengar").).
• Ovanliga profiländringar. Till exempel namn, telefonnummer eller postnummeruppdateringar.
• Flera och frekventa lösenordsändringar.
• Vidarebefordran av extern e-post har nyligen lagts till.
• Ovanliga e-postsignaturer. Till exempel en falsk banksignatur eller en signatur för receptbelagda läkemedel.

Du måste omedelbart undersöka om en användare rapporterar dessa eller andra ovanliga symtom. Microsoft Defender-portalen och Azure Portal erbjuder följande verktyg som hjälper dig att undersöka misstänkt aktivitet på ett användarkonto:

• Enhetliga granskningsloggar i Microsoft Defender-portalen: Filtrera loggarna för aktivitet med ett datumintervall som startar omedelbart innan den misstänkta aktiviteten inträffade i dag. Filtrera inte på specifika aktiviteter under sökningen. Mer information finns i Sök i granskningsloggen.

• Microsoft Entra inloggningsloggar och andra riskrapporter i Microsoft Entra administrationscenter: Granska värdena i dessa kolumner:

  • Granska IP-adress
  • inloggningsplatser
  • inloggningstider
  • lyckad eller misslyckad inloggning

Skydda och återställa e-postfunktionen till ett komprometterat Microsoft 365-konto och en postlåda

Även när användaren har återfått åtkomsten till sitt konto kan angriparen lämna poster som kan återfå kontrollen över kontot.

Utför alla följande steg för att återfå kontrollen över kontot. Gå igenom stegen så snart du misstänker ett problem och så snabbt som möjligt för att se till att angriparen inte återfår kontrollen över kontot. De här stegen hjälper dig också att ta bort alla poster i bakdörren som angriparen har lagt till i kontot. När du har gjort de här stegen rekommenderar vi att du kör en virusgenomsökning för att se till att klientdatorn inte komprometteras.

Steg 1: Återställa användarens lösenord

Följ anvisningarna i återställa ett företags lösen ord för någon.

Steg 2: Ta bort misstänkta e-postadresser för vidarebefordran av e-post

1. I Administrationscenter för Microsoft 365 på https://admin.microsoft.comgår du till Användare>Aktiva användare. Om du vill gå direkt till sidan Aktiva användare använder du https://admin.microsoft.com/Adminportal/Home#/users.

2. På sidan Aktiva användare letar du upp användarkontot och markerar det genom att klicka någon annanstans på raden än kryssrutan bredvid namnet.

3. I den utfällbara menyn information som öppnas väljer du fliken E-post .

4. På fliken E-post anger värdet Som används i avsnittet Email vidarebefordring att vidarebefordran av e-post har konfigurerats för kontot. Gör följande för att ta bort den:

   • Välj Hantera vidarebefordran av e-post.
   • I den utfällbara menyn Hantera vidarebefordran av e-post som öppnas avmarkerar du kryssrutan Vidarebefordra alla e-postmeddelanden som skickas till den här postlådan och väljer sedan Spara ändringar.

Steg 3: Inaktivera misstänkta inkorgsregler

1. Logga in i användarens postlåda med hjälp av Outlook på webben.

2. Välj Inställningar (kugghjulsikon), ange "regler" i rutan Sökinställningar och välj sedan Inkorgsregler i resultatet.

3. I den utfällbara menyn Regler som öppnas granskar du de befintliga reglerna och inaktiverar eller tar bort eventuella misstänkta regler.

Steg 4: Avblockera användaren från att skicka e-post

Om kontot användes för att skicka skräppost eller en stor mängd e-post är det troligt att postlådan blockeras från att skicka e-post.

Om du vill avblockera en postlåda från att skicka e-post följer du procedurerna i Ta bort blockerade användare från sidan Begränsade entiteter.

Steg 5 valfritt: Blockera inloggning på användarkontot

1. Utför följande steg i Administrationscenter för Microsoft 365 på https://admin.microsoft.com:

   1. Gå till Användare>Aktiva användare. Om du vill gå direkt till sidan Aktiva användare använder du https://admin.microsoft.com/Adminportal/Home#/users.
   2. På sidan Aktiva användare letar du upp och väljer användarkontot i listan genom att utföra något av följande steg:
      • Markera användaren genom att klicka någonstans på raden förutom kryssrutan bredvid namnet. I den utfällbara menyn information som öppnas väljer du Blockera inloggning högst upp i den utfällbara menyn.
      • Markera användaren genom att markera kryssrutan bredvid namnet. Välj Fler åtgärder>Redigera inloggningsstatus.
   3. I den utfällbara menyn Blockera inloggning som öppnas läser du informationen, väljer Blockera den här användaren från att logga in, väljer Spara ändringar och väljer sedan Stäng överst i den utfällbara menyn.

2. Utför följande steg i Administrationscenter för Exchange (EAC) på https://admin.exchange.microsoft.com:

   1. Gå till Mottagares>postlådor. Om du vill gå direkt till sidan Postlådor använder du https://admin.exchange.microsoft.com/#/mailboxes.

   2. På sidan Hantera postlådor letar du upp och väljer användaren i listan genom att klicka någonstans på raden förutom den runda kryssrutan som visas bredvid namnet.

   3. Gör följande i den utfällbara menyn med information:

      1. Kontrollera att fliken Allmänt är markerad och välj sedan Hantera inställningar för e-postappar i avsnittet Email appar & mobila enheter.
      2. I den utfällbara menyn Hantera inställningar för e-postappar som öppnas inaktiverar du alla tillgängliga inställningar genom att ändra växlingsknapparna till Inaktiverad:
         • Outlook-skrivbordsversion (MAPI)
         • Exchange-webbtjänster
         • Mobil (Exchange ActiveSync)
         • IMAP
         • POP3
         • Outlook på webben

      När du är klar med den utfällbara menyn Hantera inställningar för e-postappar väljer du Spara och sedan Stäng överst i den utfällbara menyn.

Steg 6 Valfritt: Ta bort det misstänkt komprometterade kontot från alla administrativa roller

1. Gör följande steg i Administrationscenter för Microsoft 365 på https://admin.microsoft.com:

   1. Gå till Användare>Aktiva användare. Om du vill gå direkt till sidan Aktiva användare använder du https://admin.microsoft.com/Adminportal/Home#/users.

   2. På sidan Aktiva användare letar du upp och väljer användarkontot i listan genom att utföra något av följande steg:

      • Markera användaren genom att klicka någonstans på raden förutom kryssrutan bredvid namnet. I den utfällbara menyn med information som öppnas kontrollerar du att fliken Konto är markerad och väljer sedan Hantera roller i avsnittet Roller .
      • Markera användaren genom att markera kryssrutan bredvid namnet. Välj Fler åtgärder>Hantera roller.

   3. I den utfällbara menyn Hantera administratörsroller som öppnas gör du följande:

      • Registrera all information som du vill återställa senare.
      • Ta bort administratörsrollmedlemskap genom att välja Användare (ingen åtkomst till administrationscentret).

      När du är klar med den utfällbara menyn Hantera administratörsroller väljer du Spara ändringar.

2. Gör följande i Microsoft Defender-portalen påhttps://security.microsoft.com:

   1. Gå till Behörigheter>Email & samarbetsroller>Roller. Om du vill gå direkt till sidan Behörigheter använder du https://security.microsoft.com/emailandcollabpermissions.

   2. På sidan Behörigheter väljer du en rollgrupp i listan genom att markera kryssrutan bredvid namnet (till exempel Organisationshantering) och sedan välja Redigera åtgärd som visas.

   3. Granska listan över medlemmar på sidan Redigera medlemmar i rollgruppen som öppnas. Om rollgruppen innehåller användarkontot tar du bort användaren genom att markera kryssrutan bredvid namnet och sedan välja Ta bort medlemmar.

      När du är klar på sidan Redigera medlemmar i rollgruppen väljer du Nästa

   4. Granska informationen på sidan Granska rollgruppen och slutför och välj sedan Spara.

   5. Upprepa föregående steg för varje rollgrupp i listan.

3. Gör följande i administrationscentret för Exchange på https://admin.exchange.microsoft.com/:

   1. Gå till Roller>Admin roller. Om du vill gå direkt till sidan Admin roller använder du https://admin.exchange.microsoft.com/#/adminRoles.

   2. På sidan Admin roller markerar du en rollgrupp i listan genom att klicka någon annanstans på raden än den runda kryssrutan som visas bredvid namnet.

   3. I den utfällbara menyn Information som öppnas väljer du fliken Tilldelad och letar sedan efter användarkontot. Om rollgruppen innehåller användarkontot gör du följande steg:

      1. Markera användarkontot genom att markera den runda kryssrutan som visas bredvid namnet.
      2. Välj åtgärden Ta bort som visas, välj Ja, ta bort i varningsdialogrutan och välj sedan Stäng överst i den utfällbara menyn.

   4. Upprepa föregående steg för varje rollgrupp i listan.

Steg 7 Valfritt: Ytterligare försiktighetsåtgärder

1. Kontrollera innehållet i mappen Skickat objekt för kontot i Outlook eller Outlook på webben.

   Du kan behöva informera användarens kontakter om att kontot har komprometterats. Angriparen kan till exempel ha skickat meddelanden som bad kontakter om pengar, eller så kan angriparen ha skickat ett virus för att kapa sina datorer.

2. Andra tjänster som använder det här kontot som en alternativ e-postadress kan också komprometteras. När du har vidtagit stegen i den här artikeln för kontot i den här Microsoft 365-organisationen utför du motsvarande steg i de andra tjänsterna.

3. Kontrollera kontaktuppgifterna (till exempel telefonnummer och adresser) för kontot.

Se även

• Identifiera och reparera Outlook-regler och inmatningsattacker i anpassade formulär i Microsoft 365
• Identifiera och åtgärda otillåtna medgivandebidrag
• Klagomålscenter för brottslighet på Internet
• Tillsynsmyndigheten för värdepapper – Bedrägerier genom nätfiske
• Använd tillägget Rapportmeddelande för att rapportera skräppost direkt till Microsoft och/eller administratörer (beroende på hur användarrapporterade inställningar konfigureras).