Lösenord och en missbrukad mejladress: hackad eller förfalskad?

Modul 3: Hantera din e-postlåda · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du skydda din brevlåda ordentligt, känna igen skillnaden mellan en förfalskad avsändare och en övertagen brevlåda, och vidta rätt åtgärder i båda fallen.

Nyckelbegrepp: starkt lösenord, lösenfras, lösenordshanterare, återanvändning, dataintrång, brute force, IP-blockering, tvåstegsverifiering, app-lösenord, phishing, spoofing (förfalskad avsändare), backscatter, övertagen brevlåda, misstänkta regler och vidarebefordringar, sändgräns

Två sorters "mitt adress skickar skräppost"

Nästan varje administratör får höra det förr eller senare: "det skickas skräppost från min adress". Det finns två helt olika orsaker, och åtgärderna skiljer sig åt.

1. Förfalskning (spoofing): ingen har varit i din brevlåda

En avsändaradress är bara text. Vem som helst kan skicka ett mejl med Från: info@example.com, via sin egen server, utan att någonsin ta sig in i din brevlåda. Det kallas spoofing.

Så här känner du igen det:

• Du får plötsligt tiotals eller hundratals bounces om mejl du aldrig har skickat, ofta till okända adresser. Det är backscatter: mottagarna vägrade ta emot det förfalskade mejlet och skickade felmeddelandet till adressen som stod i det, alltså till dig.
• I din egen Skickat-mapp finns inget.
• I loggarna för din mejlserver (i många paneler: en funktion som "e-postspårning") ser du inte dessa meddelanden som utgående post.
• I rubrikraderna för ett sådant returnerat mejl (lektion 1.5) finns en Received-rad från en server som inte är din.

Att byta lösenord hjälper inte här: ingen hade det. Det som hjälper är DMARC (lektion 4.4). Med p=quarantine eller p=reject talar du om för mottagare att de ska lägga undan eller avvisa mejl som inte klarar din SPF eller DKIM. Då kommer det förfalskade mejlet fram mer sällan, och färre personer blir lurade i ditt namn. Bounces upphör oftast av sig själva efter några dagar; du kan radera dem.

2. En övertagen brevlåda: någon har ditt lösenord

Om någon har ditt lösenord loggar personen in på din server och skickar skräppost verkligen via din brevlåda. Det är mycket allvarligare: skräpposten kommer från en betrodd server med din giltiga SPF och DKIM, så den kommer ofta fram. Och servern förlorar sitt goda rykte (lektion 5.2).

Så här känner du igen det:

• I serverns logg ser du utgående mejl som du inte har skickat, ofta i stora mängder.
• Antalet skickade meddelanden från din brevlåda är mycket högre än normalt, eller du når plötsligt sändgränsen.
• Din leverantör meddelar det, eller blockerar utskick.
• I din brevlåda finns saker du inte känner igen: en vidarebefordringsregel till en okänd adress, ett filter som flyttar vissa mejl (till exempel från din bank eller din leverantör) direkt till papperskorgen, en annan svarsadress (Reply-To) i dina inställningar, eller ett frånvaromeddelande.

Dessa regler är ett vanligt trick. En angripare som tar över din brevlåda vill ofta läsa med länge utan att synas, till exempel för att vid rätt tillfälle skicka en falsk faktura med ett annat kontonummer. En vidarebefordringsregel till angriparens egen adress fortsätter fungera även om du har bytt lösenord.

Hur kommer någon över ditt lösenord?

• Phishing: ett falskt mejl med en länk till en efterapad inloggningssida ("din brevlåda är full, logga in här"). Den vanligaste orsaken.
• Återanvändning: du använder samma lösenord även hos en webbutik eller ett forum, och den tjänsten hackas. De stulna kombinationerna av mejladress och lösenord provas sedan automatiskt på mejlservrar. Med tjänster som Have I Been Pwned kan du söka om din adress finns med i ett känt dataintrång.
• Gissning: korta eller uppenbara lösenord (Valkommen2026!, företagets namn) gissas med brute force: tusentals försök efter varandra.
• Skadlig kod på din dator som fångar upp lösenord eller hämtar dem från din webbläsare.

Skydda din brevlåda ordentligt

1. Ett långt, unikt lösenord per brevlåda. Längd räknas mer än konstiga tecken. En lösenfras på fyra eller fem fristående ord är stark och lätt att minnas. Använd den ingen annanstans.
2. En lösenordshanterare. Då behöver du inte minnas alla lösenord, och återanvändning blir onödigt.
3. Tvåstegsverifiering där det går. Vid företagsmejl i molnet (Microsoft 365, Google Workspace) och i din leverantörs kundpanel går det oftast. Vid en vanlig IMAP-brevlåda går det ofta inte för själva IMAP och SMTP, eftersom mejlprogram bara skickar ett lösenord. Vissa tjänster använder då app-lösenord: ett separat, långt lösenord per program, som du kan återkalla utan att ändra ditt huvudlösenord.
4. Var försiktig med var du loggar in. Fyll bara i ditt lösenord i ditt eget mejlprogram eller på webbmejlens riktiga adress. En leverantör ber aldrig om ditt lösenord via mejl.
5. Känn till din servers säkerhet. Många servrar blockerar en IP-adress efter ett antal misslyckade inloggningsförsök. Det skyddar mot brute force, men det betyder också att en gammal enhet med fel lösenord (en gammal surfplatta, en skrivare som skannar till mejl) kan få hela ditt kontorsnätverk blockerat.

Vad gör du vid en övertagen brevlåda?

Gör detta direkt, i den här ordningen:

1. Byt lösenordet i din leverantörs panel (inte via en länk i ett mejl). Välj ett nytt, unikt lösenord.
2. Kontrollera vidarebefordringsregler, filter, alias och frånvaromeddelandet, både i webbmejlen och i panelen. Ta bort allt du inte själv har skapat.
3. Kontrollera vilka enheter och program som ansluter och fyll i det nya lösenordet överallt. En glömd enhet med det gamla lösenordet kan få ditt IP blockerat.
4. Skanna din dator efter skadlig kod, särskilt om du inte har klickat på en phishinglänk.
5. Byt lösenordet även på andra ställen om du återanvände det, och även lösenordet till din kundpanel om det var samma.
6. Meddela din leverantör. De kan se vad som har skickats, rensa kön och häva en blockering.
7. Varna dina kontakter om mejl har gått till dem, särskilt vid falska fakturor. Ett dataintrång med personuppgifter kan enligt GDPR (dataskyddsförordningen) även kräva en anmälan till tillsynsmyndigheten för dataskydd i ditt land; undersök det om du är osäker.

En övertagen brevlåda kommer sällan ensam. Kontrollera också att din webbplats inte skickar skräppost: ett osäkrat kontaktformulär eller ett hackat plugin kan också skicka mejl i ditt namn (lektion 7.3).

I praktiken: så här ser det ut i en panel

I DirectAdmin ändrar du lösenordet för en brevlåda under E-postkonton, via de tre punkterna och Ändra lösenord/användarnamn; i kolumnen Skickat ser du hur mycket mejl en brevlåda har skickat idag. Med E-postspårning ser du om ett meddelande verkligen har skickats via servern. Vidarebefordringar finns under Vidarebefordrare, frånvaromeddelanden under Autosvar och i webbmejlen under Inställningar. Andra paneler har liknande funktioner, ofta med namn som "meddelandespår", "message trace" eller "brevlådaregler".

Sammanfattning

• Bounces om mejl du inte skickade, utan något i din Skickat-mapp: förfalskning. Där hjälper DMARC, inte ett nytt lösenord.
• Riktig utgående skräppost i serverloggen: övertagen brevlåda. Byt lösenord, kontrollera regler och vidarebefordringar, uppdatera enheter, meddela leverantören.
• Angripare lägger ofta in en vidarebefordringsregel eller ett filter för att kunna fortsätta läsa med.
• Använd ett långt, unikt lösenord per brevlåda, en lösenordshanterare och, där det går, tvåstegsverifiering eller app-lösenord.

Quiz

Uppgift

Uppgift O3.4: Säkerhetskoll av din brevlåda. Gå igenom din egen brevlåda. Är lösenordet unikt och långt, och finns det i en lösenordshanterare? Sök upp din adress hos en dataintrångstjänst (som Have I Been Pwned) och notera om den förekommer i ett läckage. Kontrollera i webbmejlen eller panelen alla vidarebefordringsregler, filter, svarsadressen och frånvaromeddelandet. Notera vilka enheter som använder brevlådan. Svara sedan: om du i morgon får bounces om mejl du inte har skickat, hur tar du reda på om det är spoofing eller en hackning?

Läs mer

Stegen i de här artiklarna gäller för WebOkés paneler; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 9.6: Vad du ska göra om din e-postadress har missbrukats
• DirectAdmin-guide 7.2: Lösenordet för en e-postadress ändra
• DirectAdmin-guide 9.3: E-postspårning: vart tog mitt mejl vägen?
• Ändra lösenord eller gränser för en e-postadress
• Har någon tagit över din brevlåda eller skickas det skräppost från din adress? Så här städar du upp
• NCSC, råd om lösenord och tvåstegsverifiering (Nederländerna): https://www.ncsc.nl
• Roundcube Webmail 10.5: Ändra lösenordet för din e-postbrevlåda
• Roundcube Webmail 10.3: Aktivera tvåstegsverifiering
• Thunderbird med din WebOké-mejl och Nextcloud 2.3: Lösenord: ändra, sparade lösenord och ett huvudlösenord