Microsoft 365 samlar e-post, dokument och kontakter i en tjänst som många företag använder varje dag. Om en angripare tar över ett mejlkonto kan falska meddelanden skickas i en redan betrodd konversation. Skydd mot nätfiske handlar därför om både inloggningar, kontobehörigheter och rutiner för att upptäcka misstänkta meddelanden.

CERT-SE publicerade den 19 mars 2026 rekommendationer om säkerhet i e-post och uppdaterade den 7 maj sin särskilda vägledning för Microsoft 365. Den här guiden sammanför myndighetens råd till en konkret arbetsordning för mindre företag. Det handlar om förebyggande säkerhetsarbete, inte en ny enskild cyberincident.

Kontrollera vilka konton som har höga behörigheter

Börja med att identifiera administratörskonton, delade brevlådor, konton inom ekonomi och personer som har åtkomst till kundinformation. Dokumentera vilka rättigheter som faktiskt behövs. Om alla användare har större behörighet än arbetsuppgifterna kräver kan skadan efter ett kapat konto bli större. Testa ändringar stegvis, behåll en dokumenterad återställningsväg och se till att någon har tydligt ansvar för behörighetsgranskningen.

Inför stark multifaktorautentisering

Ett lösenord som stulits genom en falsk inloggningssida bör inte ensamt räcka för att ta över ett konto. CERT-SE rekommenderar multifaktorautentisering och nämner nätfiskeresistent MFA för särskilt skyddsvärda konton. För administratörer kan exempelvis säkerhetsnycklar vara aktuella. Gå samtidigt igenom hur användare registrerar nya autentiseringsmetoder och får tillbaka åtkomst. Ett bra inloggningsskydd kan undermineras om återställningsrutinen är för enkel att manipulera.

Kontrollera SPF, DKIM och DMARC

En mejladress kan se ut att komma från en kollega fast avsändaren är falsk. Inventera därför vilka externa system som skickar e-post för företagets domän. SPF hjälper mottagare att bedöma behöriga avsändande servrar, DKIM möjliggör signering av meddelanden och DMARC anger hur misslyckad autentisering ska hanteras. CERT-SE förespråkar att DMARC först används för övervakning och att man analyserar rapporterna innan en striktare policy införs. Kontrollera också vilande domäner som inte ska skicka någon e-post.

Skapa en enkel regel för oväntade mejl

Be medarbetare att kontrollera ovanliga förfrågningar via en annan kontaktväg än den som finns i meddelandet. Det gäller särskilt när någon vill ändra betalningsuppgifter, dela en engångskod, öppna en oväntad bilaga eller logga in omedelbart. En tidigare känd telefonkontakt är säkrare för kontroll än att svara på ett misstänkt mejl. Märk gärna externa meddelanden och gör det tydligt var personalen ska vidarebefordra misstänkta försök utan att klicka på länkar.

Planera även för när ett konto redan är kapat

Om någon har lämnat sina uppgifter på en misstänkt webbplats behöver IT-ansvarig bedöma kontots tillstånd. Relevanta kontroller kan vara inloggningsloggar, aktiva sessioner, nya autentiseringsmetoder, vidarebefordringsregler och nya appbehörigheter. Ett lösenordsbyte behöver inte ensamt undanröja alla följder av ett intrång. Bevara loggar och annan dokumentation för utredningen och följ organisationens incidentrutin. CERT-SE har dessutom publicerat ett särskilt dokument om hantering av övertagna Microsoft 365-konton som sprider nätfiske.

Öva på ett realistiskt scenario

Föreställ er att en medarbetare fått ett falskt mötesmeddelande och skrivit in sina inloggningsuppgifter. Vem tar emot rapporten? Vem får begränsa kontot? Vem kontaktar personer som kan ha fått följdmejl? Och var dokumenteras vad som hände? Svaren bör finnas innan ett skarpt larm. En kort gemensam övning gör det möjligt att upptäcka oklara ansvarsområden utan att behöva invänta en verklig incident.

Prioritera en hanterbar förbättringsplan

Börja med en förteckning över privilegierade konton och kontroll av MFA, fortsätt med domänens mejlautentisering och skapa sedan en rapporterings- och incidentrutin. Utse ansvariga och boka in återkommande uppföljning när nya konton eller tjänster ansluts. Det förebyggande arbetet behöver vara anpassat till företagets storlek och risker; ingen enskild inställning gör e-post helt säker.

Vid misstänkt brott bör företag dokumentera händelsen och kontakta Polisen. CERT-SE ger också stöd vid cybersäkerhetsincidenter. Skyldigheter kring formell incidentrapportering behöver bedömas utifrån verksamhetens regelverk.

Källor