Phishing - hvad gør I?

Hvad er phishing?

Du kender det helt sikkert. At modtage en besked fra PostNord om, at din pakke ikke kan udleveres før de sidste detaljer er indtastet via et link, eller en mail om at din brugerkonto på et givent site, lukkes ned om lidt, hvis du ikke klikker på linket og foretager dig noget.

Det er phishing, og er årsagen til en stor del af de databrud der sker i organisationer, virksomheder og institutioner. Ifølge bureauet CyberPilot er phishing faktisk en del af 22% af alle databrud i dag.

Målet med phishing er at få fat i personlige oplysninger, placere malware i organisationer, lokke til at overføre penge, eller endda kræve løsesum for at få stjålne virksomhedsfiler tilbage.

Hvor møder vi phishing?

I eksemplerne herover er der nævnt e-mails og sms’er, hvilket er de mest brugte kanaler.
Afsenderen er oftest ”kendte” – dvs. fra firmaer og organisationer, som vi kender og benytter. Afsender kan udgive sig for at være fra MitID, GLS, PostNord eller måske din bank.

På sociale medier benytter svindler falske profiler til at få adgang til personlige oplysninger eller loginoplysninger. De udgiver sig for at være en af dine venner, og sender f.eks. en besked med et sjovt link eller minde, som de gerne vil have dig til at klikke på.

Ønsker man at holde sig ajour, og modtage de nyeste advarsler, kan man downloade app'en Mit Digitale Selvforsvar, som er en gratis app udviklet i et samarbejde mellem Forbrugerrådet Tænk og Trygfonden. 
Læs mere her: Sikkerdigital.dk - Mit digitale selvforsvar

Eksempel fra app'en Mit Digigtale Forsvar

Hvordan undgår vi at ”falde i?”

Der er mange faktorer, som skal sikres hvis man vil undgå phishingangreb i organisationen.

For skoler og institutioner er det ekstra vigtigt, at oplæring og oplysninger om phishing kommer HELT ud til brugerne, og de lærer at gennemskue hvornår nogle forsøger at få dem til at trykke på et skadeligt link eller sende oplysninger til svindlere.

Alle bør være skeptiske når de modtager beskeder og mails. Ser den troværdig ud, virker teksten maskinoversat og hvem er afsender.

Tjek afsenders mailadresse, hvis man er i tvivl. En mail fra en leder, som beder dig indtaste oplysninger, kan være afsendt fra en hacket mailkonto, som udgiver sig for at være en anden.

Ring evt. til vedkommende for at sikre dig, at beskeden er korrekt.

Organisationens ansvarlige for IT-sikkerhed bør have en plan for både oplysning/oplæring af brugere, samt en beredskabsplan, som medarbejdere kan forholde sig til. CyberPilot har skrevet om indholdet af en beredskabsplan: Sådan skriver du en phishing-beredskabsplan

Er anti-virus/anti-malware software og to-faktor nok?

Selv om organisationen har sørget for f.eks. anti-malware software, VPN og to-faktor på løsninger, kan der stadig være huller i sikkerheden.

CyberPilot har i deres blogindlæg om phishing gennemgået de tiltag, som ofte benyttes i kampen mod angreb, og beskriver hvorfor det ikke altid er nok. Husker de ansatte at opdatere pc'er, og er alle løsninger opsat med 2-faktorlogin? Hvorfor er phishing farligt?

Du kan læse mere om phishing på følgende sider: 

Sikker Digital om phishing - virksomhed
Sikker Digital om falske mails og sms'er - borger