Mejlsäkerhet
7 av 10 svenska bolag kan få mejl skickade i sitt namn.
Vi kontrollerade 853 svenska bolag med 25 till 500 anställda i augusti 2026. Nära alla hade SPF på plats. Bara 3 av 10 hade satt DMARC till att faktiskt blockera förfalskade mejl. Resten hade antingen ingenting eller en post som bara tittar på.
Vad mejlsäkerhet faktiskt är
Två olika saker blandas ofta ihop. Det ena är skyddet av er inkorg mot det som kommer in, alltså nätfiske, skadlig kod och bedrägeriförsök. Det sköter Microsoft Defender for Office 365 åt er. Det andra är att hindra andra från att skicka mejl som ser ut att komma från er. Det styrs inte i Microsoft 365 alls, utan av tre poster i er domäns DNS.
Den andra delen är den som glöms bort, eftersom den ligger hos domänleverantören och inte i något administratörsgränssnitt någon loggar in i till vardags. Det är också den som drabbar era kunder och leverantörer snarare än er själva, vilket gör att ingen internt märker att den saknas.
De tre posterna och var svenska bolag faktiskt fallerar
SPF: nära 100 procent har den
Listar vilka servrar som får skicka mejl för er domän. Nästan alla har den, men den kontrollerar bara kuvertets avsändare, inte adressen mottagaren ser. Den går att gå runt.
DKIM: 65 procent har den
Signerar utgående mejl så mottagaren kan verifiera att innehållet inte ändrats på vägen. Konfigureras i Microsoft 365, men måste kompletteras med poster i DNS.
DMARC: bara 31 procent blockerar
Binder ihop SPF och DKIM och talar om vad mottagaren ska göra när kontrollen misslyckas. 46 procent hade en post som bara övervakar. 23 procent saknade den helt.
Slutsatsen
93 procent av bolagen körde redan Microsoft 365. Skyddet fanns alltså tillgängligt för dem. Det var konfigurationen utanför Microsoft som saknades.
Siffrorna kommer ur vår egen genomgång av 853 svenska bolag i flera branscher. Hela studien med metod och utfall finns här. Skyddad kommunikation är också en kontroll i Annex A. Så hänger ISO 27001 ihop med Microsoft 365.
Vad Microsoft sköter och vad som är ert
Microsoft 365 gör detta åt er
Filtrerar inkommande nätfiske och skadlig kod via Defender for Office 365. Hjälper er slå på DKIM-signering för domänen. Ger er verktyg att granska vad som släppts igenom.
Det här måste ni göra själva
DMARC-posten läggs alltid upp hos er domänleverantör, inte i Microsoft 365. Det gäller även när ni skärper den från övervakning till blockering. SPF behöver ni själva hålla uppdaterad varje gång ni lägger till ett nytt utskicksverktyg.
Riskerna som inte syns i DNS
De tre posterna löser bara förfalskning utifrån. De vanligaste verkliga incidenterna börjar i stället inne i miljön, efter att någon kommit åt ett konto.
Dold vidarebefordran
En regel som tyst skickar kopior av inkommande mejl till en extern adress. Syns inte för användaren och överlever lösenordsbyte.
Läs mer →Nätfiske som tjänst
Färdiga verktygslådor som fångar inloggningen i realtid och tar sig förbi MFA genom att stjäla sessionen.
Läs mer →Falska röstmeddelanden
Mejl som ser ut som en missad röstbrevlåda och leder till en inloggningssida som inte är Microsofts.
Läs mer →Vishing via Teams
Någon ringer upp i Teams och utger sig för att vara IT-support. Mejlskyddet ser aldrig det samtalet.
Läs mer →Vanliga frågor
Vad är mejlsäkerhet i Microsoft 365?
Mejlsäkerhet handlar om två saker som ofta blandas ihop. Det ena är att skydda er inkorg mot det som kommer in, vilket Microsoft Defender for Office 365 gör. Det andra är att hindra andra från att skicka mejl i ert namn, vilket styrs av tre DNS-poster hos er domänleverantör: SPF, DKIM och DMARC. Microsoft 365 kan hjälpa er med DKIM och SPF, men DMARC är alltid något ni sätter upp själva utanför Microsoft.
Räcker det att ha SPF?
Nej. SPF säger vilka servrar som får skicka för er domän, men den kontrollen kringgås enkelt eftersom den bara tittar på kuvertets avsändare, inte på adressen mottagaren faktiskt ser. I vår studie av 853 svenska bolag hade nära 100 procent SPF på plats, men 7 av 10 kunde ändå få mejl skickade i sitt namn.
Vad är skillnaden mellan att övervaka och att blockera med DMARC?
En DMARC-post kan stå i tre lägen. I p=none övervakar den bara och rapporterar, utan att stoppa något. I p=quarantine hamnar förfalskade mejl i skräpposten. I p=reject avvisas de helt. I studien stod 46 procent kvar i övervakningsläge, vilket betyder att de har DMARC men att den inte skyddar någon. Bara 31 procent blockerade faktiskt.
Hur ofta behöver mejlsäkerheten kontrolleras?
DNS-posterna ändras sällan av sig själva, men de går sönder när något annat ändras: ett nytt utskicksverktyg läggs till, en leverantör byts, någon rensar i DNS. Dessutom ligger de vanligaste mejlriskerna inne i miljön snarare än i DNS, till exempel dolda vidarebefordringsregler. De behöver följas löpande, inte kontrolleras en gång.
Nästa steg
Utsidan är enkel att kolla. Insidan kräver en genomlysning.
DNS-posterna ser vem som helst utifrån. Dolda vidarebefordringsregler, svaga inloggningar och appar med för breda behörigheter syns bara inifrån miljön. En genomlysning visar båda delarna.
Börja med en genomlysning