Hackat e-postkonto: dolda regler för vidarebefordran och återställning¶

Ditt primära e-postkonto är skelettet till hela din digitala, finansiella och juridiska identitet. Till skillnad från en komprometterad profil på sociala medier eller strömmande inloggning, ger ett hackat Gmail-, Microsoft Outlook-/Microsoft 365-, Yahoo-, Apple iCloud Mail- eller ProtonMail-konto en angripare möjligheten att klicka på "Glömt lösenord" på dina bankkonton, kryptovalutabörser, pensionsmäklare, skatteportaler och molnenheter. Det farligaste är att att bara ändra ditt e-postlösenord och aktivera tvåfaktorsautentisering (2FA) sällan sparkar en sofistikerad angripare ut ur en hackad inkorg. Inom 30 sekunder efter att de har brutit sig in på ett e-postkonto, planterar moderna angripare fem lager av tyst ihärdighet bakdörrar: dolda inkorgen för inkorgen och vidarebefordran ., .., or [Blank] that silently move password-reset emails straight to the Trash eller RSS Feeds mapp så att du aldrig ser dem), Tredjeparts OAuth Application Grants (eM Client, Thunderbird, or fake Google Docs apps that retain full API read/write access without needing your password), Delegated Mailbox Permissions, App Passwords (IMAP/SMTP), and Recovery Email / Phone Number swaps.

If an email compromise involves immediate threats of physical violence, stalking, domestic abuse, or extortion against a minor, call your local emergency number (911 in the United States and Canada, 112 across the European Union, 999 in the United Kingdom) or consult our directory of international nödnummer right away. For all consumer and corporate inbox takeovers, execute the 6-step eradication sequence below in exact order.

Gör det här nu¶

1. Do NOT change your password from the same Windows PC or Mac if you suspect an Infostealer virus: If your email was hacked even though you already had Two-Factor Authentication (2FA) turned on, your computer likely has an Infostealer malware infection (such as Lumma Stealer, RedLine, or Atomic macOS Stealer) or a malicious Chrome/Edge extension that steals live authenticated browser session cookies (SAPISID/SID on Google or ESTSAUTH on Microsoft). Pick up a clean smartphone (iOS or Android) to perform your password change and security cleanup right now.
2. Audit and revert your Account Recovery Email, Recovery Phone Number, and MFA Authenticator devices BEFORE changing your password (or within 30 seconds after): Attackers immediately add their own burner phone number, disposable email address, or rogue Authenticator app to your security settings. If you change your password without deleting the attacker's recovery phone or rogue passkey, the attacker will simply click "Forgot Password" 10 seconds later and lock you out permanently.
3. Force-terminate all active login sessions, persistent browser cookies, and App Passwords globally: Changing a password does not always immediately kill existing mobile IMAP tokens or active web session cookies. Explicitly click "Sign out of all devices / Revoke all sessions" in your Google, Microsoft, Yahoo, or Apple security dashboard, and delete every 16-character App Password on the account.
4. Open a desktop web browser (not a mobile mail app) and delete all hidden Inbox Rules, Filters, Auto-Forwarders, and Sweep Rules: Mobile mail apps (Gmail eller Outlook på iOS/Android) döljer ofta avancerade routingregler på serversidan. Öppna dina webbmailinställningar i en datorwebbläsare och inspektera Filter och blockerade adresser, Vidarebefordran och POP/IMAP och Regler/svep. Ta bort alla regler som vidarebefordrar e-post externt eller automatiskt flyttar e-postmeddelanden som innehåller ord som "bank", "code", "reset", "security", "wire", "invoice", or "crypto" in i Trash, Archive, or RSS Feeds mapp.
5. Återkalla alla tredjeparts OAuth-anslutna appar och postlådedelegater: Navigera till ditt kontos Tredjepartsappar och tjänster (Google) eller Appar och tjänster som du har gett åtkomst (Microsoft/Yahoo) och återkalla varje enskild app med Mail.Read, Mail.ReadWrite, or Gmail API behörigheter, plus markera Ge åtkomst till ditt konto (delegering) så att angriparen inte kan läsa din inkorg genom en OAuth-token som helt ignorerar lösenordsändringar.
6. Kontrollera din Trash (Bin), Sent, och Spam mappar omedelbart för att se vilka finansiella konton eller kryptokonton som angriparen redan har återställt: Angripare tar bort inkommande säkerhetsvarningar från din bank, Coinbase/Binance, Amazon, PayPal eller Steam sekunder efter att ha fått den 6-siffriga verifieringskoden. Öppna din Trash och Sent mappar just nu: alla e-postmeddelanden för återställning av lösenord som finns i din Trash är ett konto som angriparen redan har brutit mot eller försökt göra intrång.

Beslutsträd: återta kontrollen och rensa uthålliga bakdörrar¶

Följ detta steg-för-steg triageträd oavsett om du fortfarande har tillgång till din inkorg eller har blivit helt utelåst av angriparen:

flowchart TD
    A["Misstänkt eller bekräftat intrång i e-postkontot"] --> B{"Kan du fortfarande logga in på ditt e-postkonto just nu?"}
    B -->|"Ja: Jag har fortfarande tillgång"| C["Byt till en ren smartphone (undvik potentiellt infekterad dator)"]
    C --> D["1. Ta bort angriparens återställningstelefon, återställnings-e-post och falska MFA-lösenord"]
    D --> E["2. Ändra lösenordet till Unique 20+ Char-lösenfras och aktivera phishing-resistant 2FA"]
    E --> F["3. Klicka på 'Logga ut från alla enheter' och ta bort alla 16-teckens applösenord"]
    F --> G["4. Öppna skrivbordswebbpost: Rensa dolda vidarebefordran, filter, svepregler och delegater"]
    G --> H["5. Återkalla OAuth-appar från tredje part och inspektera papperskorgen/skickade mappar för intrång i externa konton"]
    B -->|"Nej: Angriparen ändrade lösenord och återställningstelefon/MFA"| I{"Vilken typ av e-postkonto är låst?"}
    I -->|"Arbete / Skola / Företagsdomän (@company.com)"| J["Kontakta IT-administratören omedelbart: Admin kan återställa MFA, återkalla tokens och återställa åtkomst på 60 sekunder via administratörskonsolen"]
    I -->|"Personlig Gmail / Outlook.com / Yahoo / iCloud"| K["Kör formulär för automatisk kontoåterställning från din historiska hem Wi-Fi IP och bekant webbläsare/telefon"]
    K --> L["Ring omedelbart dina banker, mobiloperatörer och kryptobörser per telefon för att frysa konton kopplade till den e-posten"]

Phase 1: Deep-clean persistence audit by email provider (Gmail, Outlook/M365, Yahoo, iCloud)¶

Every major email provider stores forwarding rules, filters, OAuth tokens, and mailbox delegates in slightly different menus. Even if you use Apple Mail or Outlook Desktop on your computer, you must log into the provider's official webmail interface in a desktop browser (or request the "Desktop Site" in your mobile browser) to see these server-side settings.

Detailed Walkthrough 1: Purging a Hacked Google / Gmail Account¶

When cleaning a compromised Gmail or Google Workspace account, work through these exact seven tabs without skipping a single one:

1. Audit Security & Passkeys (myaccount.google.com/security):
   • Click Passkeys and security keys: Attackers immediately register a synced passkey or virtual authenticator on their own browser so they can log back in with zero password and zero SMS prompt. Delete any passkey you do not recognize with 100 percent certainty.
   • Click 2-Step Verification -> check Authenticator, Google Prompt devices, Recovery phone, and Backup codes. Click Generate new codes to immediately invalidate any 8-digit backup codes the attacker screenshotted.
2. Destroy Active App Passwords (myaccount.google.com/apppasswords):
   • An App Password is a 16-letter passcode that lets an IMAP mail client (like Thunderbird or a hacker's Python script) download your entire inbox forever while completely bypassing 2-Step Verification. Delete every App Password listed.
3. Revoke Third-Party OAuth Connections (myaccount.google.com/connections):
   • Look for any application granted access to Gmail, Google Drive, or Google Contacts (attackers often use legitimate-looking mail clients like eM Client, Newton Mail, Cleanfox, or custom OAuth scripts). Click the app -> Delete all connections you have with [App Name].
4. Check Gmail Accounts and Import Tab (Mail Delegation & Reply-To Hijacking):
   • In Gmail on a desktop computer, click the Gear icon -> See all settings -> Accounts and Import.
   • Under Grant access to your account, verify that ZERO email addresses are listed. A delegated user can read, send, and delete your emails without knowing your password.
   • Under Send mail as, click edit info next to your own name and verify the attacker did not insert a secret Specify a different "reply-to" address (for example, setting your Reply-To to yourname.company@gmail.com or an attacker lookalike domain so that whenever someone replies to your legitimate emails, their reply goes to the hacker instead of you).
5. Check Gmail Filters and Blocked Addresses Tab:
   • Titta noga på varje filter. Angripare skapar ofta filter som matchar from:(a|e|i|o|u) eller size > 0 eller has:attachment eller nyckelord som invoice, wire, bank, security, alert, code med handlingen Skip the Inbox (Archive it), Mark as read, Delete it, or Forward it to:. Delete every unfamiliar filter.
6. Check Gmail Forwarding and POP/IMAP Tab:
   • Verify Forwarding is set to Disable forwarding, remove any unrecognized forwarding address from the dropdown list, and set IMAP access to Disable IMAP (unless you specifically use a secure desktop client).
7. Check Google Drive Trash & Google Takeout History:
   • Attackers frequently trigger a Google Takeout (takeout.google.com) archive to download a .zip of all your emails, Google Photos, and Google Drive documents, including tax returns and password lists. Visit takeout.google.com right now: if you see an active or completed export you did not request, click Cancel export and see exactly which data categories were packaged.

Detailed Walkthrough 2: Purging a Hacked Microsoft Outlook.com / Hotmail / Microsoft 365 Account¶

Microsoft accounts (@outlook.com, @hotmail.com, @live.com, @msn.com, and corporate Microsoft 365 Exchange Online mailboxes) have several unique hiding spots that attackers exploit during Business Email Compromise (BEC) and consumer hacks:

1. The Hidden RSS Feeds och Conversation History Folder Trap:
   • In Outlook, attackers rarely route suppressed emails into the main Deleted Items folder because users check Deleted Items. Instead, they create an Outlook Rule named . eller 1 that moves incoming emails into the RSS Feeds, Archive, or Conversation History folder and marks them as read. Check every folder in your left sidebar, especially RSS Feeds, right now.
2. Audit Both Rules AND Sweep in Outlook Web (outlook.live.com eller outlook.office.com):
   • Click the Settings Gear (top right) -> Mail -> Rules. Delete any rule you did not create.
   • Notice the checkbox at the bottom of an attacker's rule: Stop processing more rules. Attackers check this box on their top rule so none of your legitimate rules run.
   • Next, click Mail -> Sweep and Mail -> Junk email -> Blocked senders and domains. Attackers routinely add @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, och @coinbase.com to your Blocked Senders and Domains list so security alerts bounce or go silently to Junk. Clear your Blocked Senders list of any legitimate companies.
3. Check Mail -> Forwarding and IMAP:
   • Ensure Enable forwarding is unchecked. If an attacker's email address is sitting in the box with "Keep a copy of forwarded messages" unchecked, every email sent to you was being forwarded to the hacker and deleted from your mailbox before it ever hit your Inbox.
4. For Corporate Microsoft 365 Administrators: Run PowerShell to Uncover Hidden MAPI / Corrupt Inbox Rules (MFCMAPI):
   • Sophisticated BEC threat actors use the Exchange Web Services (EWS) API or MFCMAPI to create hidden corrupted Inbox rules (by stripping the PR_RULE_MSG_NAME och PR_RULE_MSG_PROVIDER MAPI properties) that do not show up at all in the Outlook Web GUI or standard Exchange Admin Center.
   • An IT Administrator should connect to Exchange Online PowerShell and run:

     Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
     

   • Lägger till -IncludeHidden flag exposes stealth MAPI rules hiding in the mailbox's Associated Contents table (FAI), which can then be purged via Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" or by launching outlook.exe /cleanrules.
   • Also inspect Tenant-Level Exchange Transport Rules (Mail Flow Rules) via Get-TransportRule: if the attacker compromised an Exchange Administrator account, they may have created a global organization-wide mail flow rule rather than an individual mailbox rule.

Fas 2: Vad du ska göra om du är helt utelåst (Angriparen ändrade lösenord & 2FA)¶

Om angriparen redan har ändrat ditt lösenord, ersatt ditt återställningstelefonnummer med sitt eget och aktiverat sin egen Authenticator-app eller hårdvarunyckel, räknas varje minut eftersom angriparen aktivt plundrar dina länkade konton medan du är utelåst.

Steg 1: Klipp av angriparens finansiella hävstång först (första 15 minuterna)¶

Tillbringa inte tre timmar med att slåss mot ett automatiskt formulär för återställning av e-post medan hackaren dränerar ditt bankkonto med din kapade inkorg:

1. Ring dina banker, kreditkortsutgivare och investeringsmäklare via telefon:
   • Berätta för bedrägeriavdelningen: "Min primära e-postadress [din@email.com] har äventyrats och jag är för närvarande utestängd från den. Placera ett omedelbart verbalt lösenord/säkerhetsfrysning på min profil, återkalla aktiva webb-/mobilsessioner och ta bort den e-postadressen från återställning av lösenord för självbetjäning."
2. Lås ditt mobiloperatörskonto mot ett påföljande SIM-byte:
   • Inuti din hackade inkorg kan angriparen läsa dina månatliga AT&T-, Verizon-, T-Mobile-, Rogers-, Vodafone- eller O2-räkningar och ge dem ditt mobilkontonummer och faktureringsadress. Ring din operatör omedelbart för att verifiera att din PIN-kod för nummeröverföring/portfrysning och kontolösenord är låsta.
3. Frys dina kryptovalutaväxlingskonton (Coinbase, Binance, Kraken, Gemini):
   • De flesta större börser tillhandahåller en ettklicks- eller nödtelefon Kontolås om din e-post har äventyrats (till exempel ringer Coinbase automatiskt nödlås på +1 (888) 908-7930 i USA/Internationella eller +44 808 168 4635 i Storbritannien).
4. Ändra den registrerade e-postadressen på alla konton du fortfarande kan logga in på:
   • Du är sannolikt fortfarande inloggad på Amazon, PayPal, Venmo, Steam, Discord, Apple ID och din lösenordshanterare på din smartphone-app just nu. Skapa ett helt nytt, rent e-postkonto för nödsituationer (till exempel på ProtonMail eller en ny Gmail säkrad med en hårdvarunyckel) och gå omedelbart in i appinställningarna för dina fortfarande inloggade appar för att byta bort deras kontaktmail från den hackade adressen innan angriparen återställer dem.

Steg 2: Hur man klarar de automatiska kontoåterställningsalgoritmerna (Google, Microsoft, Yahoo)¶

För gratis e-postkonton för konsumenter (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), är mänskliga supportagenter strängt förbjudna av tekniska kontroller att manuellt återställa lösenord eller kringgå 2FA via telefon (för att förhindra social ingenjörskonst). Återställningen styrs istället av en automatiserad Risk & Identity Scoring Engine. För att maximera din kryptografiska förtroendepoäng och utlösa den dolda "7-Day / 30-Day Security Hold Override":

1. KRITISK REGEL: Skicka in återställningsformuläret från din exakta historiska enhet, webbläsare och Wi-Fi-IP-adress för hemmet:
   • Spring aldrig accounts.google.com/signin/recovery eller account.live.com/acsr från ett helt nytt inkognito-webbläsarfönster på mobildata eller via ett VPN.
   • Använd exakt bärbar dator, stationär eller smartphone och exakt webbläsare (med intakta cookies/lokal lagring) där du har loggat in på det e-postkontot varje dag under det senaste året, medan du är ansluten till din vanliga Wi-Fi-router hem eller på kontoret (ASN och geolokaliseringsmatchning). Återställningsalgoritmen väger tungt enhetsfingeravtryckstoken (DeviceID) och historiska IP-undernät.
2. Google/Gmail-återställning (accounts.google.com/signin/recovery):
   • Även om angriparen ändrade din återställningstelefon och återställningsadress för några sekunder sedan, behåller Google ditt FÖREGÅENDE återställningstelefonnummer och FÖREGÅENDE återställnings-e-postadress som giltiga återställningsfaktorer i exakt 7 kalenderdagar (168 timmar) efter att en angripare har ändrat dem.
   • När du uppmanas under signin/recoveryklickar du på "Testa på ett annat sätt" tills den erbjuder dig att skicka en kod till ditt original telefonnummer eller original återställnings-e-postadress, eller frågar din tidigare registrerade Android-telefon/iPhone via Google Prompt.
   • Om du prenumererar på Google One (betald molnlagring) eller YouTube Premium/YouTube-kanal:
     • Betalda Google One-prenumeranter har tillgång till levande mänsklig Google One Support (one.google.com/support) som kan eskalera låsta konton internt.
     • Om ditt hackade Google-konto äger en YouTube-kanal, kontakta @TeamYouTube på X (tidigare Twitter) offentligt direkt. Till skillnad från standard Gmail, @TeamYouTube Creator Support tillhandahåller ett dedikerat Eskaleringsformulär för hackade konton piloterat av mänskliga Googles förtroende- och säkerhetsingenjörer som verifierar ditt original Channel ID (UC..), AdSense ID och ladda upp IP-historik för att fysiskt ta bort angriparens lösenord/MFA och återställa hela ditt Google/Gmail-konto inom 24 till 72 timmar.
3. Microsoft Outlook / Hotmail / Xbox-kontoåterställning (account.live.com/acsr):
   • Försök först att logga in och klicka på "Jag har inte några av dessa" på 2FA-skärmen: om du har en 25-teckens Microsoft-återställningskod sparad när du ursprungligen konfigurerade ditt konto, kan du genom att ange den ersätta angriparens säkerhetsinformation (med förbehåll för Microsofts obligatoriska **30-dagars säkerhetsinformation under vilken kontot kan ersättas under vilken vänteperioden för attacken kan ersättas).
   • När du fyller i Microsoft Account Recovery Form (account.live.com/acsr) från ditt hem Wi-Fi IP:
     • Ange de exakta ämnesraderna för 3 till 4 senaste e-postmeddelanden du skickade (be vänner eller familj att titta i sin egen inkorg och läsa exakt de tecken för tecken Ämnesrader för e-postmeddelanden du nyligen skickade till dem).
     • Ange de exakta e-postadresserna till kontakter som du nyligen skickat e-post till.
     • Tillhandahåll din Xbox-konsolhårdvara LiveDeviceID / Serienummer om du någonsin loggat in på en Xbox med det Microsoft-kontot, och de fyra sista siffrorna och utgångsdatumet för alla kreditkort som någonsin använts på Microsoft Store/Skype/Office 365.

Phase 3: Damage control for secrets exposed inside your old emails¶

Once you have locked the attacker out and cleaned all rules and OAuth tokens, you must confront a sobering forensic reality: if the attacker had IMAP, OAuth, or web access to your mailbox for even 15 minutes, assume they ran an automated keyword search across your entire historical email archive.

Attackers do not read your 50,000 old emails manually. Their automated scripts immediately search your inbox for these exact ten high-value keywords and download every matching message and PDF attachment:

1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": If you ever emailed yourself a photo, text note, or encrypted zip of a cryptocurrency seed phrase or 2FA backup code, consider that wallet compromised immediately and move all funds to a brand-new hardware wallet.
2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Loan applications, apartment leases, and CPA emails inside your inbox almost certainly contain PDFs with your unredacted Social Security Number (or national ID), date of birth, and driver's license photo. Place an immediate Credit Freeze with Equifax, Experian, and TransUnion (see our guide on identity theft response).
3. "password", "login", "credentials", "welcome to", "backup codes": Search your own inbox right now for the words password och backup code, delete those dangerous plaintext emails after rotating every single password mentioned in them.
4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": If you are in the middle of buying a house, paying a contractor, or running a business, the attacker now has copies of your real invoices and banking routing details and will attempt to impersonate you or your title company to steal the wire transfer. Call your real estate title company, escrow officer, or clients on the telephone immediately to warn them.

Vanliga frågor¶

Källor kontrollerade¶

• Cybersecurity and Infrastructure Security Agency (CISA, United States): Protecting Against Business Email Compromise (BEC), OAuth Application Abuse, and Phishing-Resistant MFA Guidance (cisa.gov/MFA och cisa.gov).
• Microsoft Security Response Center & Defender Threat Intelligence (United States): Responding to a Compromised Email Account in Microsoft Defender for Office 365 (Hidden Inbox Rules -IncludeHidden, OAuth Consent Grants, and Session Revocation) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
• Google Account Security & Workspace Admin Help (United States): Secure a Hacked or Compromised Google Account, OAuth Third-Party Connections, and Advanced Protection Program (support.google.com/accounts/answer/6294825).
• National Cyber Security Centre (NCSC, United Kingdom): Recovering a Compromised Email Account and Mitigating Email Forwarding Rule Persistence (ncsc.gov.uk).
• Federal Trade Commission (FTC, United States): What To Do if Your Email Account Is Hacked (consumer.ftc.gov).
• Australian Cyber Security Centre (ACSC / ASD, Australia): Protecting Email Accounts and Detecting Unauthorized Inbox Rules (cyber.gov.au).

Relaterade guider¶

• Nätfiske och intrång i konton
• MFA phishing and adversary-in-the-middle bypass
• MFA-låsning och återställning av autentisering
• Data breach response and password leaks
• Malware, ransomware, and spyware infection
• SIM swapping