Logg inn på Office 365 trygt – og kjenn igjen falske innloggingssider

Office 365 inngår nå i Microsoft 365, men påloggingen er den samme. Du kommer til e-post, Teams, dokumenter og de andre appene via Microsofts offisielle domener – og det er nettopp her svindlerne prøver å komme seg inn: med falske innloggingssider som ser ut som den ekte, men som stjeler passordet ditt i det øyeblikket du taster det inn.

Denne veiledningen viser deg den riktige adressen, forskjellen på jobb-/skolekonto og personlig konto, hvordan du leser adressefeltet for å avsløre en falsk side – og hva du konkret gjør hvis uhellet allerede har skjedd.

Den riktige adressen for å logge på Office 365

Microsoft har flere offisielle domener som alle fører til samme pålogging:

• office.com – hovedportalen for Office-appene på nettet
• microsoft365.com – velg «Logg på» herfra
• login.microsoftonline.com – Microsofts påloggingstjeneste for jobb- og skolekontoer

Når du er inne i påloggingsflyten, skal adressen i adressefeltet vise login.microsoftonline.com eller et annet av Microsofts offisielle domener. Er du i tvil, er det dette du skal se etter.

Jobb- og skolekonto eller personlig Microsoft-konto?

Mange blander sammen to ulike kontotyper, og det skaper både påloggingsproblemer og sikkerhetsrisiko:

En jobb- eller skolekonto administreres av organisasjonens IT-administrator. Det har to praktiske konsekvenser: IT kan kreve tofaktorautentisering, og IT kan tilbakestille passordet ditt hvis du mister det. Har du problemer med en jobb- eller skolekonto, er IT-avdelingen veien å gå – ikke Microsofts vanlige støtte for personlige kontoer.

Passordet til en personlig Microsoft-konto endrer du selv på account.live.com/password/change.

Slik gjenkjenner du en falsk Microsoft-innloggingsside

Falske innloggingssider kopierer utseendet til Microsofts pålogging nesten perfekt – logo, farger, felt for e-post og passord. Det som avslører dem, er domenet i adressefeltet.

Les domenet – ikke logoen

Å lese domenet er det viktigste grepet. Det som står rett før den første skråstreken, er domenet. Ekte pålogging viser login.microsoftonline.com. En falsk side kan vise noe som «microsoft-login-verify.com» eller «office365-sikker.info» – ordene «microsoft» og «office» i domenet beviser ingenting.

Typisk mønster i svindelmeldinger

Den falske siden kommer sjelden alene. Den leveres vanligvis via en e-post eller SMS som skaper tidspress:

Microsoft ber aldri om passordet ditt i e-post, SMS eller telefonsamtale. Slike henvendelser er per definisjon svindel – det samme gjelder «IT-ansatte» som ringer og ber deg lese opp en engangskode. Se også våre gjennomganger av svindel på e-post og phishing generelt.

Tofaktorautentisering – beskyttelsen som gjør passordtyveri mindre farlig

Tofaktorautentisering (MFA) betyr at du trenger mer enn passordet for å logge på. Men vær oppmerksom: Angripere bruker i økende grad såkalte mellommann-angrep, der en falsk side videresender påloggingen din til den ekte Microsoft-siden i sanntid og stjeler den godkjente økten – da hjelper verken passord eller tradisjonell MFA. Den sterkeste beskyttelsen er phishingresistent autentisering som passnøkler (FIDO2) eller Windows Hello for Business – Nasjonal sikkerhetsmyndighet (NSM) anbefaler phishingresistent autentisering som erstatning for passord og tradisjonell MFA, særlig for økonomiansvarlige, ledere og administratorer. Alternativt kan du bruke Microsoft Authenticator-appen; kode per SMS eller telefonsamtale er den svakeste metoden og bør unngås, siden den lett kan avlyttes og forbigås.

• På jobb- og skolekontoer kan IT kreve MFA – følg organisasjonens rutiner
• Sikkerhetsinformasjonen din (MFA-metoder og kontaktinfo) administrerer du på mysignins.microsoft.com/security-info
• Godkjenn aldri en MFA-forespørsel i appen som du ikke selv har utløst ved pålogging – det er et kjent triks der svindlerne prøver å slite deg ut med gjentatte varsler i appen
• Gi aldri engangskoder eller MFA-koder videre til noen, heller ikke til noen som sier de er fra IT-avdelingen eller Microsoft

Har du totrinnskontroll på en personlig Microsoft-konto og mister kontaktmetoden din, kan gjenoppretting ta opptil 30 dager. Registrer derfor en backup-metode i sikkerhetsinformasjonen med én gang. Vil du ha mer om metodene, har vi en egen guide om tofaktorautentisering.

Hva gjør du hvis du tastet passordet på en falsk side?

Først det viktigste: Du er ikke den første det går galt for, og det finnes en tydelig rekkefølge å følge. Jo raskere du handler, jo mindre skade får angriperen gjort.

1. Bytt passord umiddelbart. Personlig konto: bruk account.live.com/password/change. Jobb-/skolekonto: følg organisasjonens rutine eller kontakt IT. Bytt også passordet andre steder der du har brukt det samme – gjenbrukte passord er en av de vanligste feilene, se våre råd om sterke passord.
2. Varsle IT-avdelingen. Gjelder det en jobb- eller skolekonto, må IT vite om det med én gang. De kan tilbakestille passordet ditt, kreve ny pålogging og undersøke om andre er rammet.
3. Se over sikkerhetsinformasjonen. Gå til mysignins.microsoft.com/security-info og sjekk at ingen ukjente e-postadresser eller telefonnummer er lagt inn på kontoen din – det er angriperes måte å holde seg inne etter et passordbytte.
4. Sjekk innloggingsaktiviteten. På mysignins.microsoft.com ser du siste påloggingsaktivitet. Ser du pålogginger fra steder du ikke har vært, er det et varsel om at kontoen er misbrukt.
5. Anmeld og varsle. Nettsvindel og phishing kan anmeldes til politiet. Den falske siden kan rapporteres til Microsoft via skjemaet for usikre nettsteder, og NorCERT i Nasjonal sikkerhetsmyndighet mottar varsler om phishing-kampanjer mot norske interesser.

Meldingsplikt til Datatilsynet – hvorfor varsling til IT haster

Er du ansatt og svindelen kan ha åpnet for innsyn i personopplysninger om andre, har arbeidsgiveren et eget ansvar: Virksomheter skal melde brudd på personopplysningssikkerheten til Datatilsynet innen 72 timer. Det er ikke ditt ansvar som privatperson, men det er enda en grunn til å varsle IT raskt – jo tidligere de vet om det, jo lettere er det å vurdere om det er meldeplikt.

Sjekkliste før du taster passordet

• Har du skrevet adressen selv (office.com eller microsoft365.com), eller kom du via en lenke i e-post/SMS?
• Viser adressefeltet login.microsoftonline.com eller et annet av Microsofts offisielle domener?
• Står domenet rett før den første skråstreken – ikke bare et sted midt i en lang adresse?
• Er du på riktig kontotype – jobb-/skolekonto eller personlig konto?
• Er tofaktorautentisering slått på?
• Godkjenner du bare MFA-forespørsler du selv har utløst?

Hvis alle punktene er på plass, er du langt tryggere enn de fleste. Har du først blitt utsatt, er de samme grepene veien tilbake – og har du mistet kontrollen helt, har vi en egen guide om hva du gjør når kontoen er hacket.