Er min Microsoft 365-konto hacket? Tjek login-aktiviteten

Din telefon bipper med en anmodning fra Microsoft Authenticator, selvom du ikke er ved at logge ind. Eller en kollega spørger, hvorfor du har sendt en underlig mail med et link. Så melder spørgsmålet sig hurtigt: Er min Microsoft 365-konto blevet hacket?

Det gode er, at du selv kan tjekke det på få minutter. Microsoft gemmer en log over alle login-forsøg på din arbejdskonto – både dem, der lykkedes, og dem, der fejlede. Her er, hvordan du læser den, og hvad du gør, hvis noget ser forkert ud.

Tegn på at kontoen kan være kompromitteret

• Du får MFA-anmodninger, du ikke selv har sat i gang.
• Kolleger eller kunder modtager mails fra dig, som du ikke har sendt.
• Der ligger mails i Sendt post eller Slettet post, du ikke kender.
• Du får returmails for mails, du aldrig har sendt.
• Du kan pludselig ikke sende mails, fordi kontoen er spærret (se Fejl 550 5.1.8 Access denied, bad outbound sender).

Som bruger: Tjek din egen login-aktivitet

Alle med en arbejds- eller skolekonto i Microsoft 365 kan se deres egne logins. Det kræver ingen administratorrettigheder.

1. Gå til https://mysignins.microsoft.com og log ind med din arbejdskonto. Du kan også gå til https://myaccount.microsoft.com og vælge Seneste aktivitet (Recent Activity) i menuen til venstre.
2. Du ser nu en liste over de seneste logins. Fold hvert login ud for at se detaljerne.
3. Gennemgå især placering, browser, operativsystem og hvilken app der er logget ind på.
4. Vil du kun se de mislykkede forsøg, så skriv Unsuccessful i søgefeltet (eller det tilsvarende danske ord, hvis siden vises på dansk).
5. Hold øje med, om Microsoft har markeret noget som usædvanlig aktivitet øverst på siden.

Sådan læser du listen

Placeringen er omtrentlig. Den beregnes ud fra IP-adressen, og mobilnetværk kan sende trafikken via en by langt fra, hvor du er. Et login fra "Hamborg" eller "Stockholm" er derfor ikke nødvendigvis et angreb, hvis browser, styresystem og app passer med din egen telefon. Bruger du VPN, vil du også se VPN-tjenestens placering.

Mistænkeligt er det til gengæld, hvis du ser et lykkedes login fra et land, du ikke har været i, på en enhed eller browser, du ikke bruger.

Mislykkede forsøg

Mange mislykkede logins betyder som regel bare, at nogen kender din mailadresse og forsøger at gætte adgangskoden. Det sker for de fleste offentlige mailadresser og er ikke i sig selv et indbrud.

Der er dog én vigtig undtagelse: Står der, at yderligere bekræftelse mislykkedes (fx "Additional verification failed, invalid code"), så var adgangskoden korrekt, og det var kun MFA, der stoppede angriberen. Så kender en anden din adgangskode, og du skal skifte den med det samme.

Hvad gør jeg, hvis jeg ser et login, der ikke er mit?

1. Skift din adgangskode med det samme. Vælg en ny, lang adgangskode, du ikke bruger andre steder.
2. Tjek dine sikkerhedsoplysninger på https://mysignins.microsoft.com/security-info. Fjern telefonnumre, mailadresser eller Authenticator-apps, du ikke selv har tilføjet.
3. Kig efter indbakkeregler, du ikke har oprettet. I Outlook på nettet finder du dem under Indstillinger > Mail > Regler. Angribere laver ofte regler, der flytter eller sletter svar, så du ikke opdager noget.
4. Giv din IT-ansvarlige besked. De kan logge dig ud af alle enheder og tjekke resten af kontoen.

Bliv aldrig i tvivl om at sige det højt. Det er langt bedre at melde en falsk alarm end at lade en angriber sende phishing i dit navn i en uge.

Som administrator: Login-loggen i Microsoft Entra

Som administrator kan du se login-loggen for alle brugere og grave længere ned i det enkelte login.

1. Log ind på https://entra.microsoft.com med mindst rollen Reports Reader.
2. Gå til Entra ID > Monitoring & health > Sign-in logs.
3. Filtrér på brugeren og en passende periode.
4. Klik på et login for at åbne detaljerne. Under Location og Device info ser du IP-adresse, placering, browser og styresystem. Under Authentication Details ser du, om MFA blev brugt og bestået, og under Conditional Access hvilke politikker der blev anvendt.

Du kan også gå til brugeren under Users og vælge loggen derfra.

Vær opmærksom på, hvor langt tilbage du kan se. Med Microsoft Entra ID Free (som følger med fx Microsoft 365 Business Basic og Standard) gemmes login-loggen kun i 7 dage. Med Entra ID P1 eller P2 (fx i Microsoft 365 Business Premium) gemmes den i 30 dage. Opgraderer du licensen, får du ikke ældre data tilbage, så tjek loggen hurtigt, når mistanken opstår.

Luk alle aktive sessioner

Har en angriber været inde, er det ikke nok at skifte adgangskoden – en allerede åben session kan fortsætte. Log derfor brugeren ud overalt. I Microsoft 365 Admin Center gøres det under Brugere > Aktive brugere > vælg brugeren > Log af alle sessioner. Med Microsoft Graph PowerShell ser det sådan ud:

Connect-MgGraph -Scopes "User.RevokeSessions.All"

# Ugyldiggør alle refresh tokens og sessionscookies for brugeren
Revoke-MgUserSignInSession -UserId anna@firma.dk

Brugeren skal derefter logge ind igen på alle enheder. Har brugeren mistet telefonen, eller er du i tvivl om MFA-metoderne, så se Nulstil MFA for en bruger i Microsoft 365.

Problemer?

• Jeg kan ikke åbne mysignins.microsoft.com: Siden virker kun med arbejds- og skolekonti. Har du en privat Microsoft-konto (Outlook.com, Hotmail), ligger aktiviteten et andet sted på account.microsoft.com.
• Logins fra hele landet, men det er bare mig: Det skyldes typisk mobilnettet. Sammenlign enhed og browser med din egen.
• Jeg får stadig MFA-anmodninger efter skift af adgangskode: Afvis dem altid, og kontakt IT. Nogen kan have haft din gamle adgangskode, eller der kan være en ældre session, som skal lukkes.

Kort sagt

Gå til https://mysignins.microsoft.com, gennemgå de seneste logins, og reagér på lykkedes logins, du ikke genkender, eller på fejlet MFA med korrekt adgangskode. Skift adgangskode, ryd op i sikkerhedsoplysninger og regler, og få IT til at lukke alle sessioner.

Er du i tvivl om, hvorvidt en konto er kompromitteret, hjælper Todo-IT gerne med at gennemgå loggen.