Fejl 550 5.1.8 Access denied, bad outbound sender i Microsoft 365

En medarbejder ringer og siger, at ingen af hendes mails kommer frem. Hver gang hun sender noget, får hun straks en returmail fra Microsoft 365 med denne tekst:

Your message couldn't be delivered because you weren't recognized as a valid sender.
The most common reason for this is that your email address is suspected of sending spam
and it's no longer allowed to send email.
Remote Server returned '550 5.1.8 Access denied, bad outbound sender'

Hun kan stadig modtage mails, men hun kan ikke sende noget som helst. Det er ikke en fejl i Outlook, og det hjælper ikke at genstarte. Kontoen er blevet spærret for udgående mail.

Hvorfor sker det?

Microsoft 365 holder øje med, hvor meget og hvad hver bruger sender. Hvis en konto overskrider Exchange Onlines sendegrænser eller sender noget, der ligner spam, flytter Microsoft automatisk brugeren til listen Restricted entities i Microsoft Defender. Derefter bliver alle udgående mails fra kontoen afvist med 5.1.8.

I de fleste tilfælde, vi ser hos små virksomheder, er årsagen, at kontoen er kompromitteret: En angriber har fået fat i adgangskoden (typisk via en phishing-mail) og bruger postkassen til at sende phishing eller spam til hele adressebogen. Sjældnere er det en legitim masseudsendelse, fx et nyhedsbrev sendt direkte fra Outlook til mange modtagere.

Derfor er rækkefølgen vigtig: Sikr kontoen først, og fjern blokeringen bagefter. Ellers bliver den bare spærret igen, og i mellemtiden sender angriberen videre i jeres navn.

Trin 1: Sikr kontoen

Gør dette, selvom du tror, det var en fejl. Det tager få minutter.

1. Nulstil adgangskoden i Microsoft 365 Admin Center under Brugere > Aktive brugere > vælg brugeren > Nulstil adgangskode.
2. Log brugeren ud overalt. På samme brugerside under Konto finder du Log af alle sessioner (Sign out of all sessions). Så mister angriberen også en eventuel aktiv session.
3. Slå MFA til, hvis det ikke allerede er gjort. Har brugeren fået ny telefon eller er MFA-metoden i tvivl, kan du nulstille den som beskrevet i Nulstil MFA for en bruger i Microsoft 365.
4. Tjek for skjulte regler og videresendelse. Angribere opretter ofte en indbakkeregel, der flytter eller sletter svar, eller sender alle mails videre ud af huset.

Det sidste punkt klares nemmest i Exchange Online PowerShell. Har du ikke forbindelsen sat op, så se Sådan forbinder du sikkert til Exchange Online PowerShell.

Connect-ExchangeOnline

# Vis alle indbakkeregler for brugeren
Get-InboxRule -Mailbox anna@firma.dk | Format-List Name,Enabled,Description

# Tjek om postkassen videresender til en anden adresse
Get-Mailbox anna@firma.dk | Format-List ForwardingSmtpAddress,ForwardingAddress,DeliverToMailboxAndForward

Ser du regler med mærkelige navne (fx bare . eller ..), regler der flytter mails til RSS-feeds eller Arkiv, eller videresendelse til en ukendt adresse, så fjern dem. En regel fjernes med Remove-InboxRule -Mailbox anna@firma.dk -Identity "Regelnavn".

Kig også i brugerens mappe Sendt post for at se, hvad der faktisk er blevet sendt. Har der gået phishing ud til kunder eller leverandører, er det en god idé at advare dem.

Trin 2: Fjern blokeringen i Microsoft Defender

Når kontoen er sikret, kan du låse den op igen. Det kræver, at du er Global Administrator eller Security Administrator (eller medlem af rollegruppen Organization Management i Exchange Online).

1. Gå til Microsoft Defender-portalen på https://security.microsoft.com/restrictedentities. Du finder også siden under Email & collaboration > Review > Restricted entities.
2. Find brugeren på listen. Entiteten vises som Mailbox. Brug evt. søgefeltet.
3. Markér brugeren og klik Unblock.
4. Læs Overview og Recommendations i panelet, og klik Next.
5. Bekræft, at MFA er slået til, og at adgangskoden er nulstillet, og klik Submit.
6. Bekræft advarslen med Yes.

Microsoft skriver, at blokeringen normalt er fjernet inden for en time. Ved tekniske forsinkelser kan det tage op til 24 timer.

Alternativt med PowerShell

Det samme kan gøres i Exchange Online PowerShell:

# Vis alle brugere, der er spærret for at sende
Get-BlockedSenderAddress

# Se detaljer for én bruger
Get-BlockedSenderAddress -SenderAddress anna@firma.dk | Format-List

# Fjern blokeringen
Remove-BlockedSenderAddress -SenderAddress anna@firma.dk

Brug brugerens UPN (loginnavnet) som -SenderAddress. Det er ikke altid det samme som den primære mailadresse.

Problemer?

• Brugeren kan stadig ikke sende efter en time: Kør Get-BlockedSenderAddress igen og se, om brugeren stadig står der. Vent op til 24 timer, før du går videre til Microsoft-support.
• Brugeren bliver spærret igen kort efter: Så er angriberen sandsynligvis stadig inde, eller der ligger en regel eller en app med adgang tilbage. Gennemgå trin 1 igen, og tjek brugerens login-log i Microsoft Entra for logins fra ukendte lande.
• Det var en legitim masseudsendelse: Outlook er ikke beregnet til nyhedsbreve. Brug en dedikeret tjeneste til udsendelser, så brugerens postkasse ikke rammer grænserne igen.
• Kommer fejlen fra en printer eller et system? Så er det den konto, enheden sender med, der er spærret. Se også Sådan får du dit udstyr til at sende mails med Office 365.

Få besked næste gang

Microsoft 365 har en indbygget advarselspolitik, User restricted from sending email, som sender en mail til jeres globale administratorer, når en bruger bliver spærret. Tjek under Email & collaboration > Policies & rules > Alert policy i Defender-portalen, at politikken er slået til, og at advarslerne går til en postkasse, nogen faktisk læser. Så opdager I en kompromitteret konto, før kunderne gør. 🔒

Kort sagt

Fejlen 550 5.1.8 betyder, at Microsoft 365 har spærret brugeren for udgående mail, oftest fordi kontoen er misbrugt til spam. Nulstil adgangskoden, log brugeren ud, slå MFA til og fjern mistænkelige regler. Fjern derefter blokeringen under Restricted entities i Defender eller med Remove-BlockedSenderAddress.

Er I i tvivl om, hvorvidt en konto er kompromitteret, hjælper Todo-IT gerne med at gennemgå den.