Hendelseshåndtering: når e-postmiljøet er kompromittert
En postboks sender plutselig phishing, kunder mottar forfalskede betalingsanmodninger, det ligger en ukjent fil på Exchange-serveren, eller leverandøren av e-postgatewayen melder om en utnyttet sårbarhet. I slike situasjoner bistår jeg med begrensning, analyse og opprydding, med vekt på e-post- og identitetsnivået.
Rådgivningen foregår på tysk eller engelsk.
- Hendelseshåndtering
- Business Email Compromise
- Microsoft 365
- Exchange Server
- E-postgatewayer
- Meldeplikt
Typiske tilfeller
- Kompromittert postboks (BEC)Ukjente pålogginger, skjulte innboksregler, ekstern videresending, stjålne sesjonstokener og betalingssvindel via ekte kontoer.
- Angrepet Exchange-serverUtnyttede sårbarheter i lokal Exchange: Webshells, manipulert konfigurasjon, nye kontoer eller rettigheter, utlekking av postboksinnhold.
- Sårbarhet i e-postgatewayenZero-days i gatewayer som FortiMail eller Kiteworks: gjennomføre workaround, kontrollere for kompromittering, planlegge gjenoppstart.
- Misbruk av eget domeneForfalsket e-post i virksomhetens navn, tap av omdømme og blokkeringslister: avklare opprinnelsen, tette hullene i autentiseringen, be om fjerning fra listene.
Fremgangsmåte ved en hendelse
- BegrenseTilbakekalle sesjoner og tokener, tilbakestille passord og MFA, fjerne skadelige regler og videresendinger, isolere berørte systemer uten å ødelegge spor.
- Sikre sporSikre Unified Audit Log, påloggingslogger, Message Trace, server- og gatewaylogger før oppbevaringsfristene sletter dem.
- AnalysereRekonstruere inngangspunkt, tidsrom, berørte kontoer og meldinger som er lest, sendt eller lekket ut.
- Rydde opp og herdeFjerne årsaken, rydde i konfigurasjonen, utvide overvåkingen; sluttrapport for ledelse, forsikringsselskap og myndigheter.
Meldeplikt i Sveits
Dersom en hendelse gjelder personopplysninger og sannsynligvis medfører høy risiko for de registrerte, krever den sveitsiske personvernloven melding til Sveits’ føderale personvern- og informasjonsombud (EDÖB) så raskt som mulig (art. 24 DSG). Siden 1. april 2025 må operatører av kritisk infrastruktur melde cyberangrep til Sveits’ føderale kontor for cybersikkerhet (BACS) innen 24 timer. Jeg leverer det tekniske grunnlaget for disse meldingene; den juridiske vurderingen ligger hos deg eller din juridiske rådgiver.
Eksempler fra praksis
- FortiMail zero-day CVE-2026-104286: workaround og kontroll for kompromittering.
- Kiteworks: leverandøren anbefaler avstengning: hva som må gjøres ved en utnyttet sårbarhet i en gateway.
- CVE-2026-62911: NTLM-relé i Exchange: angrepsvei og mottiltak for lokal Exchange.
- Analyse av meldingssporing i Exchange: verktøyene for å rekonstruere e-postflyten i etterkant.
- CVE-sporer: dagsaktuelle sårbarheter i e-post- og meldingsprodukter.
