---
id: "phishing-020"
title: "Intern phishing: Hvad gør man, hvis en phishingmail kommer fra en kollegas konto?"
description: "Modtaget en mistænkelig mail fra en intern kollegas rigtige adresse? Lær de afgørende forholdsregler ved kontoovertagelse og intern phishing her."
canonical: https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/
slug: "intern-phishing-angreb-kompromitteret-mailkonto"
date: "2026-09-24"
category: "phishing"
product: "superphisher"
lang: da
author: "Brain Security · F&U Cyber & Den Menneskelige Faktor"
frameworks: "CFCS · D-mærket · NIS 2 · DORA · Datatilsynet · ISO 27001"
---

# Intern phishing: Hvad gør man, når den ondsindede mail kommer fra en kollegas rigtige konto?

Scenariet giver enhver CISO og IT-sikkerhedsansvarlig koldsved. En tirsdag morgen modtager snesevis af medarbejdere en mail med et loginlink eller en vedhæftet fil, der haster. Afsenderadressen indeholder ingen slåfejl, domænet matcher virksomhedens eget til punkt og prikke, og SPF, DKIM samt DMARC melder alle grønt lys. Årsagen er simpel: Angrebet kommer ikke udefra, men sendes direkte fra en legitim medarbejderkonto, hvor adgangsoplysningerne er blevet stjålet.

Når en trusselsaktør opnår uautoriseret adgang til Microsoft 365 eller Google Workspace, forsøger de sjældent at eksfiltrere data med det samme. Deres første skridt er ofte lateral bevægelse, hvor de udnytter den iboende tillid mellem kolleger. Over for denne type angreb er traditionelle perimeterforsvar og mailfiltre magtesløse. Detektionen hviler derfor udelukkende på medarbejdernes opmærksomhed og en hurtig, metodisk indsats.

---

## Hvordan reagerer man, når en mistænkelig mail sendes fra en intern kollegas adresse?

> **Kort sagt: Svar aldrig direkte på mailen for at verificere dens ægthed. Kontakt straks den formodede afsender via en uafhængig kanal (telefon eller fysisk fremmøde), og videresend advarslen til IT-sikkerhedsteamet eller CISO, så den kompromitterede konto omgående kan isoleres.**

Det mest almindelige instinkt hos en medarbejder er at klikke på "Svar" og spørge: "Er det virkelig dig, der har sendt denne fil?". Dette er en kritisk fejl. Hvis kontoen kontrolleres af en angriber, har vedkommende direkte adgang til indbakken og vil svare bekræftende inden for få sekunder for at fjerne enhver mistanke. Angriberen har ofte også opsat skjulte videresendelses- eller sletteregler for at skjule henvendelserne.

For at bryde angrebskæden skal reaktionen ske på to fronter:
- **Out-of-band verifikation:** Kontakt personen via en helt separat kanal. Ring til vedkommendes direkte arbejdsnummer, eller gå hen til kollegaens skrivebord, hvis I arbejder på samme lokation.
- **Straksindberetning til IT-sikkerhed:** Brug organisationens interne phishing-alarmknap i mailklienten, eller videresend mailen som en vedhæftet fil (.eml eller .msg) til sikkerhedsafdelingen, så de tekniske headere bevares uændrede.

---

## Hvilke tegn afslører et internt hackerangreb trods en legitim afsenderadresse?

> **Kort sagt: Detektionen afhænger af adfærdsanalyse af mailen: et pludseligt skift i sprog eller tonefald, usædvanligt tidspres, uventede links til eksterne fildelinger eller en generisk besked, der indsættes uden kontekst i en eksisterende tråd.**

Intern spoofing og kontoovertagelse (Account Takeover) bygger på tillidsmisbrug, men angribere efterlader næsten altid spor. Selvom en hacker har overtaget en aktiv session, kender vedkommende sjældent organisationens interne jargon, relationer eller den enkelte kollegas typiske skrivemåde.

Vær særligt opmærksom på disse advarselstegn:
- **Brud på kollegaens normale tonefald:** En kollega, man normalt taler uformelt med, skriver pludselig meget formelt, bruger maskinoversat dansk eller formulerer sig atypisk stift.
- **Ubegrundet hastværk og psykologisk pres:** Mailen omhandler en påstået ubetalt faktura, en lukning af adgange eller en fortrolig aftale, der skal underskrives inden for få minutter.
- **Uventet krav om login:** Linket fører til en loginside, der beder om brugeroplysninger for at vise et påstået dokument fra SharePoint, OneDrive eller Google Drev.
- **Kaprring af eksisterende mailtråde (Thread Hijacking):** Angriberen genoptager en ældre, afsluttet mailtråd og indsætter et ondsindet link uden reel sammenhæng med det tidligere emne.

---

## Hvorfor forstærker intern phishing lateral bevægelse i netværket?

Konto-til-konto phishing er en af de mest effektive angrebsvektorer til eskalering af rettigheder. Når en enkelt konto kompromitteres (ofte via sessions-tyveri eller Adversary-in-the-Middle angreb), får hackeren adgang til virksomhedens globale adresseliste.

Herfra kan angriberen udse sig strategiske mål som økonomiafdelingen, HR eller IT-administratorer. På kort tid kan målrettede angreb spredes til medarbejdere med høje privilegier. Fordi beskeden kommer indefra, udviser modtagerne sjældent den samme sunde skepsis, som de ville udvise over for eksterne afsendere.

Dette understreger, hvorfor tekniske kontroller skal suppleres med løbende, praktisk træning. Med vores simulationsværktøj [Super Phisher](/en-us/catalog/super-phisher/), der implementeres i samarbejde med vores rådgivere, kan I træne medarbejderne i realistiske scenarier med lateral spredning og identitetstyveri, så organisationens procedurer sidder fast, før et reelt angreb finder sted.

---

## Hvilke nødprocedurer bør IT-afdelingen iværksætte med det samme?

Så snart der rapporteres om intern phishing, tæller hvert minut for at begrænse hændelsen og beskytte resten af organisationens infrastruktur:

- **Øjeblikkelig tilbagekaldelse af sessioner:** IT-afdelingen skal nulstille adgangskoden og gennemtvinge udløb af samtlige aktive sessionstokens og godkendelser på tværs af alle enheder.
- **Audit af postkasseregler:** Angribere opretter næsten altid automatiske regler for at skjule deres spor (f.eks. automatisk videresendelse eller sletning af indgående mails indeholdende ord som "sikkerhed", "phishing" eller "kodeord"). Disse regler skal identificeres og slettes.
- **Central sletning af udsendte mails:** Ved hjælp af administrative søgeværktøjer i Microsoft 365 eller Google Workspace skal den ondsindede mail lokaliseres og slettes fra samtlige modtageres indbakker, inden flere når at interagere med den.
- **Undersøgelse af logfiler:** Gennemgang af IP-adresser, geografiske placeringer og brugeragenter gør det muligt at fastslå det præcise tidspunkt for kompromitteringen samt omfanget af den uautoriserede adgang.

Effektiv beskyttelse mod interne phishingangreb kræver et velfungerende samspil mellem tekniske forsvarslag og medarbejdernes adfærd. Hvis I ønsker at opbygge et skræddersyet træningsforløb mod avancerede cybertrusler, kan I [kontakte vores rådgivere](/en-us/book-a-demo/) for en gennemgang af jeres behov.

### Operational Review Checklist: Intern phishing: Hvad gør man, hvis en phishingmail kommer fra en kollegas konto?

| Ref. | Operational Control Point | Expected Outcome & Verification |
| --- | --- | --- |
| **CTRL-01** | Out-of-band verifikation | Kontakt personen via en helt separat kanal. Ring til vedkommendes direkte arbejdsnummer, eller gå hen til kollegaens skrivebord, hvis I arbejder på… |
| **CTRL-02** | Brud på kollegaens normale tonefald | En kollega, man normalt taler uformelt med, skriver pludselig meget formelt, bruger maskinoversat dansk eller formulerer sig atypisk stift. |
| **CTRL-03** | Øjeblikkelig tilbagekaldelse af sessioner | IT-afdelingen skal nulstille adgangskoden og gennemtvinge udløb af samtlige aktive sessionstokens og godkendelser på tværs af alle enheder. |
| **CTRL-04** | Straksindberetning til IT-sikkerhed | Brug organisationens interne phishing-alarmknap i mailklienten, eller videresend mailen som en vedhæftet fil (.eml eller .msg) til… |
| **CTRL-05** | Ubegrundet hastværk og psykologisk pres | Mailen omhandler en påstået ubetalt faktura, en lukning af adgange eller en fortrolig aftale, der skal underskrives inden for få minutter. |

---

## Læs videre: relaterede artikler og løsninger fra Brain Security

### Relaterede artikler om dette emne

- **[Hjemmearbejde, tog og hotel: 6 cybersikkerhedsfejl på farten der truer virksomheden](/da/cybersikkerhed/cybersikkerhed-paa-farten-mobile-medarbejdere-fejl/)** (Phishing & Social Engineering) : Styrk jeres mobile cybersikkerhed mod offentligt wi-fi og shoulder surfing. Lær hvordan VPN og gode digitale vaner beskytter jeres medarbejdere.
- **[Infostealers : Hvorfor lagring af arbejdsadgangskoder i uadministrerede browsere udgør en kritisk risiko](/da/cybersikkerhed/infostealers-adgangskoder-browser-sikkerhed-virksomhed/)** (Phishing & Social Engineering) : Lær hvordan infostealers stjæler loginoplysninger og session cookies i uadministrerede browsere for at infiltrere danske organisationer.
- **[Scareware og falske browseradvarsler: Laer medarbejderne at gennemskue webfaelder](/da/cybersikkerhed/scareware-falske-browseradvarsler-clickfix-it-sikkerhed/)** (Phishing & Social Engineering) : Bekaemp scareware og falske virusadvarsler. Forsta ClickFix taktikker og laer jeres medarbejdere at sikre browseren effektivt i hverdagen.
- **[Cybersikkerhed i HR og rekruttering: Spot inficerede CV'er og falske AI-kandidater](/da/cybersikkerhed/cybersikkerhed-hr-rekruttering-cv-deepfake-angreb/)** (Industries & Roles) : Lær hvordan I beskytter jeres HR-team mod ondsindede CV-vedhæftninger, falske profiler og deepfake-kandidater i videointerviews.

### Udforsk Brain Securitys løsninger på vores hjemmeside

- **Relateret løsning : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
- **[Se use cases efter sikkerhedsmål og branche](/en-us/use-cases/)**
- **[Sammenlign vores formater til cyber- og AI-bevidsthed](/en-us/compare/)**
- **[Udforsk hele det interaktive katalog fra Brain Security](/en-us/catalog/)**
- **[Tal med vores team om jeres behov (demo og opsætning)](/en-us/book-a-demo/)**

---

- https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/
- [Français](https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/)
- [Deutsch](https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/)
- [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/)
- [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/)
- [Español](https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/)
- [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/)
- [Nederlands](https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/)
- [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/)
- [日本語](https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/)
- [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/)
- [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/)
- [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/)
- [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/)
- [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/)
- [llms.txt](https://startbrain.io/llms.txt)