Phishing er stadig den hyppigste vej ind i danske virksomheder

Center for Cybersikkerhed (CFCS), der hører under Forsvarets Efterretningstjeneste, peger år efter år på det samme mønster i sine trusselsvurderinger: den hyppigste vej ind i danske virksomheders it-systemer er ikke et avanceret hackerangreb mod en sårbarhed i softwaren, men en medarbejder, der klikker på et link eller åbner en vedhæftet fil i en mail, der ser legitim ud. Metoden kaldes phishing, og den er billig at udføre og svær helt at beskytte sig mod, fordi den angriber mennesker, ikke maskiner.

Sådan er de fleste phishing-mails skruet sammen

Klassisk phishing efterligner en afsender, modtageren stoler på: banken, Skattestyrelsen, en pakkeleverandør eller — i stigende grad — en kollega eller leder. Mailen skaber typisk et tidspres: en konto der lukkes, en pakke der skal godkendes, en faktura der forfalder i dag. Presset er bevidst, for det får modtageren til at handle først og tænke bagefter.

En mere målrettet variant hedder spear phishing, hvor angriberen har researchet modtageren eller virksomheden og skræddersyr mailen derefter — for eksempel ved at udgive sig for en konkret leverandør, virksomheden reelt handler med. CEO-fraud er en tredje variant, hvor angriberen udgiver sig for en direktør eller økonomichef og beder om en hastebetaling. Den slags mails indeholder sjældent tekniske spor, for de udnytter tillid og hierarki frem for en sårbarhed i systemet.

Tegn der afslører en phishing-mail

Nogle kendetegn går igen, selvom de bedste phishing-mails i dag er svære at kende fra ægte post. Afsenderadressen ligner den ægte, men er det ikke — et ekstra bogstav, en anden endelse eller et domæne, der minder om det rigtige. Linket i mailen peger, når man holder musen over det uden at klikke, på et andet domæne end det, mailen foregiver at komme fra.

Der er derudover typisk et kunstigt tidspres eller en trussel om konsekvens, hvis man ikke handler med det samme. Og anmodningen beder om noget, den legitime afsender aldrig ville bede om over mail — en adgangskode, et betalingskort eller en hastebetaling til en ny kontooplysning.

Hvad man gør, hvis man er i tvivl

Klik ikke på linket, og åbn ikke vedhæftede filer, hvis noget virker forkert. Kontakt i stedet den påståede afsender ad en anden kanal end mailen — ring til banken på det nummer, der står på bagsiden af betalingskortet, ikke det nummer, der står i mailen. Er mailen angiveligt fra en kollega, så spørg personen direkte, gerne mundtligt eller på en anden platform end mail.

Er man kommet til at klikke eller indtaste oplysninger, er det vigtigste at handle hurtigt: skift adgangskoden med det samme, og skift den også på andre tjenester, hvis samme kode er brugt der. Er det en arbejdsmail, skal it-afdelingen have besked øjeblikkeligt — jo hurtigere en mistænkt konto bliver spærret, jo mindre skade når en angriber at gøre.

Virksomheder kan ikke træne sig helt ud af problemet

Awareness-træning og simulerede phishing-tests reducerer, hvor mange der klikker, men reducerer det ikke til nul — det gør ingen organisation, uanset hvor meget de træner. Derfor anbefaler CFCS, at virksomheder supplerer træning med tekniske spærrer: totrinsgodkendelse på alle vigtige konti, så et stjålet kodeord alene ikke er nok til at logge ind, samt teknisk mailfiltrering, der fanger en stor del af phishing-mails, før de når indbakken.

Ingen af delene er en garanti. Men sammen reducerer de markant, hvor stor skaden bliver, den dag en medarbejder alligevel klikker — og det sker før eller siden i stort set enhver organisation, uanset størrelse.

Smishing og vishing — phishing uden for mailen

Phishing er ikke længere kun en mail-disciplin. Smishing er phishing via sms, ofte forklædt som en besked fra et pakkeleveringsfirma, banken eller MitID, med et link, der beder om login eller betalingsoplysninger. Vishing er den samme metode udført over telefon, hvor en person udgiver sig for at ringe fra banken, it-support eller politiet og skaber det samme tidspres som i en mail — ofte med et krav om at få oplyst en kode, der lige er sendt som sms.

Fælles for begge varianter er, at de udnytter kanaler, folk stoler mere på end mail, netop fordi de er mindre vante til at være mistænksomme over for en sms eller et opkald. Samme regel gælder her som ved mail: en bank eller offentlig myndighed beder aldrig om en fuld adgangskode eller en engangskode over telefonen, og et ægte link fra banken sender man normalt ikke uopfordret via sms.

Sådan anmelder du en phishing-mail

De fleste danske mailudbydere og virksomheders it-afdelinger har en indbygget "anmeld phishing"-funktion i mailklienten, som sender mailen videre til analyse og samtidig hjælper med at opdatere spamfiltrene for andre brugere. Er det en mail, der udgiver sig for at komme fra en offentlig myndighed som Skattestyrelsen eller MitID, kan den også anmeldes direkte til myndigheden selv, som typisk har en dedikeret side eller mailadresse til formålet.

Er der tale om et economisk tab — for eksempel fordi man nåede at overføre penge eller opgive betalingskortoplysninger — bør man både kontakte banken med det samme for at få spærret kortet eller kontoen, og anmelde forholdet til politiet. Jo hurtigere det sker, jo større er chancen for, at banken kan nå at stoppe en overførsel, inden pengene er ude af systemet.

Kilder

• Center for Cybersikkerhed (CFCS) — trusselsvurderinger og vejledning om phishing
• UK National Cyber Security Centre (NCSC) — vejledning om phishing og social engineering