Incidenter · · 6 min läsning
Företagets e-postadresser finns i en dataläcka – vad gör ni nu?
En praktisk checklista för de första timmarna och dagarna efter att adresser på er domän dykt upp i en läcka.
Värn
Redaktionen
Att e-postadresser på er domän dyker upp i en dataläcka betyder sällan att ni har blivit hackade. Oftast är det en tjänst där en anställd registrerat sig med jobbadressen – ett forum, en webbutik, ett konferensverktyg – som har läckt sin användardatabas. Men konsekvenserna kan ändå landa hos er.
Varför det spelar roll
- Återanvända lösenord. Har den anställda använt samma lösenord på jobbet kan angripare logga in direkt (så kallad credential stuffing).
- Trovärdigt nätfiske. Med namn, titel och vilka tjänster personen använder blir ett riktat bedrägerimejl betydligt mer övertygande.
- Kartläggning. Listor över giltiga adresser gör det lättare att gissa andra adresser och angripa organisationen bredare.
De första timmarna
- Ta reda på vad som läckt. Gäller det bara e-postadresser, eller även lösenord, telefonnummer och adresser? Det avgör brådskan.
- Byt lösenord för berörda konton om lösenord ingick – och för alla andra tjänster där samma lösenord använts.
- Kontrollera tvåstegsverifiering för berörda personers e-post och administratörskonton. Saknas det – aktivera nu.
- Granska inloggningsloggar i er e-posttjänst efter ovanliga inloggningar, nya vidarebefordringsregler eller nya appbehörigheter.
De närmaste dagarna
- Informera berörda medarbetare. Förklara vad som läckt, att det inte är deras fel och vilka mejl de ska vara extra misstänksamma mot.
- Avsluta onödiga konton. Om tjänsten inte används längre – stäng kontot.
- Bedöm om det är en personuppgiftsincident. Har er organisation drabbats – eller enbart en tredjepartstjänst? Om era egna system eller data påverkats kan det finnas skyldighet att anmäla till Integritetsskyddsmyndigheten (IMY) inom 72 timmar enligt GDPR. Läs IMY:s vägledning eller rådfråga ert dataskyddsombud.
Ladda aldrig ner läckan själva
Läckta databaser cirkulerar på forum. Att ladda ner dem för att "se vad som finns" innebär att ni själva behandlar andras personuppgifter – och riskerar skadlig kod. Använd etablerade tjänster som redovisar vilka konton som berörs utan att sprida innehållet.
Långsiktigt skydd
- Lösenordshanterare gör unika lösenord realistiska.
- Tvåstegsverifiering gör läckta lösenord betydligt mindre användbara.
- Policy för jobbadresser – vilka tjänster får anställda registrera sig på med sin jobbadress?
- Kontinuerlig bevakning så att ni får veta när nya läckor publiceras, i stället för att upptäcka det efter en incident.
Så hjälper Värn
Värn bevakar era verifierade domäner mot Have I Been Pwned och visar vilka läckor som berör er, vilka konton som påverkas och vilka typer av uppgifter som exponerats. Vi lagrar aldrig lösenord eller innehåll från läckorna – bara det ni behöver för att kunna agera.
