Hvad er phishing, smishing og vishing?

Mekanikken bag et angreb

Grundmekanikken er den samme på tværs af varianter. Angriberen bygger en troværdig facade med en kendt afsender, et velkendt logo og en realistisk anledning. Så lægger han tidspres eller autoritet oveni. Din konto lukkes. Direktøren beder om en hastebetaling. Og til sidst giver han modtageren én nem handling. Klik på linket, åbn filen, godkend login-anmodningen.

Moderne phishing er ofte velskrevet og målrettet. Forestillingen om, at man kan kende en phishingmail på dårligt sprog, holder ikke længere. Angriberne bruger AI til at skrive fejlfrie, personaliserede mails, og de er blevet gode til det.

De fem varianter, I møder

• Bred phishing. Masseudsendte mails, der efterligner banker, fragtfirmaer eller offentlige myndigheder. Lav træfprocent, men enorme mængder.
• Spear phishing. Målrettet mod en bestemt person eller virksomhed, med research bag. Navne, projekter og relationer, der gør mailen troværdig.
• CEO-fraud. Angriberen udgiver sig for direktøren eller en leverandør og beder økonomifunktionen om en betaling eller en ændring af kontonummer. Her går der direkte penge tabt.
• Smishing og vishing. Samme svindel over sms og telefon. Se Hvad er smishing? og Hvad er vishing? herunder.
• Domæne-spoofing. Angriberen sender mails, der ser ud til at komme fra jeres eget domæne, rettet mod jeres kunder eller medarbejdere.

Hvad er smishing?

Smishing er phishing sendt som sms. Ordet er sat sammen af “sms” og “phishing”. Beskeden er kort, kommer fra et nummer eller et afsendernavn, I ikke kan slå op, og indeholder et link. Politiet modtog 7.822 anmeldelser om smishing i 2023, mere end dobbelt så mange som året før. De tre anledninger, vi ser oftest i Danmark:

• Pakken. “Din pakke kunne ikke leveres. Betal 19 kr. i told for at få den frigivet.” Linket fører til en kopi af PostNords eller GLS’ side, hvor kortoplysninger tastes ind.
• Banken eller MitID. “Vi har registreret et mistænkeligt login. Bekræft din identitet her.” Siden efterligner bankens login og beder om MitID-godkendelse. Godkender man, har svindleren adgang.
• Chefen. “Hej, er du på kontoret? Jeg sidder i et møde og har brug for en hurtig tjeneste.” Intet link, bare en samtale, der ender med gavekort eller en overførsel. Det er CEO-fraud over sms.

Smishing virker, fordi vi læser sms’er på telefonen, hvor afsenderen er svær at kontrollere, og hvor vi er vant til at handle hurtigt. I kan ikke holde musen over et link i en sms og se, hvor det fører hen, som I kan på en pc.

Sådan genkender I den: Afsenderen passer ikke til indholdet (banken skriver fra et almindeligt mobilnummer), linket er en forkortet eller mærkelig adresse, og beskeden presser på med tid eller penge. Banker og myndigheder beder aldrig uopfordret om kortoplysninger eller MitID-godkendelse via en sms. Får I besked om told, så åbn selv fragtfirmaets app eller hjemmeside.

Sådan reagerer I: Klik ikke på linket. Åbn i stedet selv appen, eller skriv adressen i browseren. Er I i tvivl, så ring til afsenderen på et nummer, I selv har fundet. Slet beskeden, og meld den til jeres IT eller til den, der håndterer sikkerhed hos jer.

Hvad er vishing?

Vishing er phishing over telefon. Ordet er sat sammen af “voice” og “phishing”. Her er der intet link og ingen fil, kun en stemme, der lyder troværdig, og en situation, der kræver hurtig handling. Typisk ringer “banken”, “Microsoft support”, “politiet” eller “jeres it-leverandør”. Politiet modtog 4.340 anmeldelser om vishing i 2023 mod 3.200 året før.

Vishing er blevet sværere at gennemskue af to grunde. Angriberne kan vise et falsk afsendernummer, så opkaldet ser ud til at komme fra bankens hovednummer. Og med stemmekloning kan en direktørs stemme efterlignes ud fra korte optagelser fra en video eller et podcast-klip, godt nok til et kort opkald om en hastebetaling.

Sådan foregår et typisk opkald: Den, der ringer, kender jeres navn, jeres firma og måske et projekt, I arbejder på. Der er et problem, som skal løses nu: en betaling, der er gået forkert, en konto, der er ved at blive lukket, en virus, der skal fjernes. Løsningen kræver, at I læser en kode op, godkender noget i MitID, installerer et program eller overfører penge til en “sikker konto”.

Sådan genkender I det: Opkaldet kommer uventet, det haster, og den, der ringer, beder om noget, en rigtig bank eller myndighed aldrig beder om over telefonen: koder, godkendelser, fjernadgang til jeres pc eller en overførsel.

Sådan reagerer I: Læg på. Ring selv tilbage på det nummer, der står på bankens hjemmeside eller i jeres kontrakt med leverandøren. En ægte henvendelse kan altid vente de to minutter, det tager. Og aftal internt, at ingen betaling eller ændring af kontonummer nogensinde godkendes alene på baggrund af et opkald.

Bliver der sendt phishing i jeres navn?

Det meste phishing udgiver sig for at være en kendt afsender, og jeres eget domæne kan være en af dem. Hvis jeres DNS ikke fortæller modtagende mailservere, hvad de skal gøre med post, der påstår at komme fra jer, kan enhver sende mails fra “bogholderi@jeresfirma.dk” til jeres kunder og kolleger. Det kaldes domæne-spoofing, og det er den variant, der rammer jeres omdømme hårdest.

Det kan I tjekke på et minut, uden login. Tjekket læser jeres SPF-, DKIM- og DMARC-records og fortæller, om andre kan sende i jeres navn, og hvad der skal rettes.

Tjek om nogen kan sende i jeres navn

Er svaret ja, er løsningen DMARC med en håndhævet politik. Det stopper ikke smishing eller vishing, men det lukker den kanal, hvor jeres eget navn bliver brugt mod jer. Vi gennemgår, hvad det kræver, under stop mailspoofing.

Hvordan beskytter I virksomheden?

Forsvaret skal være lagdelt, for intet enkelt tiltag stopper det hele.

1. Stop falske afsendere teknisk. Korrekt opsat SPF, DKIM og DMARC med håndhævet politik gør, at modtagende mailservere afviser mails, der misbruger jeres domæne. Det beskytter både jeres medarbejdere og jeres kunder.
2. Gør stjålne koder værdiløse. MFA, helst phishing-resistent som FIDO2 eller hardwarenøgler, betyder at en franarret adgangskode ikke rækker til at logge ind.
3. Begræns skaden. Adgangsstyring efter least privilege og overvågning af logins og mailregler via SIEM eller XDR, så et kompromitteret login bliver opdaget hurtigt.
4. Træn realistisk. Korte, løbende øvelser slår det årlige slideshow. Målet er ikke at fange medarbejdere i fejl. Det er at gøre det normalt at rapportere mistænkelige mails, for hurtig rapportering er jeres bedste alarmsystem.
5. Indfør faste procedurer for betalinger. Kontonummerændringer og hastebetalinger verificeres altid via en anden kanal. Den ene regel stopper de fleste forsøg på CEO-fraud.

Når nogen er hoppet på

Reager hurtigt og uden bebrejdelse. Skift den berørte adgangskode, log alle aktive sessioner ud, tjek for nyoprettede videresendelsesregler i postkassen, og find ud af, hvad kontoen har haft adgang til.

Er der godkendt en betaling, så ring til banken med det samme. De første timer afgør, om beløbet kan standses. Behandl derefter forløbet som en hændelse efter jeres incident response-plan.

Og lad være med at skælde ud. Den medarbejder, der tør sige det med det samme, er langt mere værd end den, der lader være af skam.