Phishing, så ser de mejl ut som faktiskt lurar folk
Bilden av phishing sitter fast i 2010: en nigeriansk prins, stavfel, en avsändare som uppenbart inte är banken. Den sortens mejl finns kvar, och de fångar nästan ingen.
De som fungerar ser ut som arbete.
Så ser ett bra angrepp ut
Ett mejl från en kollega, med rätt signatur, som skriver "kan du kolla den här innan mötet" och bifogar en länk. En påminnelse om en faktura hos en leverantör ni faktiskt använder. Ett meddelande från Microsoft om att lösenordet går ut, med korrekt logotyp, som landar en tisdagsmorgon när inkorgen är full.
Det finns inga stavfel. Det finns ingen konstig ton. Det som avslöjar dem är sammanhanget, inte språket, och sammanhang är svårare att kontrollera när man har bråttom.
En sak går igen i nästan alla: de skapar en anledning att agera nu. Kontot stängs imorgon, fakturan förfaller idag, chefen sitter i möte och behöver svar direkt. Tidspressen är inte en detalj, den är själva metoden.
Varför AI gjorde dem svårare
Det råd som gällde i tio år, leta efter dålig svenska, är i praktiken dött.
Språkmodeller skriver felfri svenska på sekunder, i vilken ton som helst. Det betyder inte att angreppen blivit mer avancerade tekniskt, bara att det sista lätta kännetecknet försvann. Det som återstår att lita på är sammanhanget: väntade jag mig det här, från den här personen, just nu?
Riktade angrepp mot små företag
Det farligaste är inte massutskicken. Det är breven som är skrivna för just er.
En vanlig variant: någon kommer in i en leverantörs mejl, läser tråden om ett pågående projekt, och svarar mitt i konversationen med nya bankuppgifter. Rätt personer, rätt ärendenummer, rätt belopp, rätt ton. Enda skillnaden är kontonumret.
Vi har sett det hos en kund i byggbranschen. Fakturan var på 180 000 kronor och betalades utan att någon reagerade, eftersom allt annat stämde. Det upptäcktes tre veckor senare när den riktiga leverantören ringde och undrade var pengarna var. Angriparen hade suttit i leverantörens inkorg i flera veckor och läst sig till projektets språkbruk.
Notera att inbrottet skedde hos leverantören, inte hos kunden. Er egen säkerhet skyddar er inte mot att någon annans mejl blir kapat, och det är därför rutinen nedan behövs.
Vad som faktiskt hjälper
En regel om betalningar. Ändrade bankuppgifter verifieras alltid via telefon, på ett nummer ni redan har, aldrig ett nummer ur mejlet. Undantagslöst, oavsett vem som ber om det. Poängen med en regel är att den inte kräver att någon gör en bedömning under press.
Att det är okej att fråga. De flesta som klickar hade en känsla av att något var konstigt, men ville inte vara den som störde. Ett företag där det är enkelt att gå fram och fråga "ser det här rätt ut?" fångar fler angrepp än något tekniskt filter.
MFA påslaget, så att ett läckt lösenord inte räcker.
SPF, DKIM och DMARC på er domän, så att ingen kan skicka mejl som ser ut att komma från er. Det skyddar inte er inkorg, det skyddar era kunder från att bli lurade i ert namn.
Vd-bedrägeriet, den enklaste varianten
Den kräver ingen teknik alls och drabbar små företag oftare än stora.
Ett kort mejl från ägaren till den som sköter ekonomin: "Sitter i möte, kan du ordna en brådskande betalning, återkommer med detaljer." Ingen länk, ingen bilaga, ingenting för ett filter att fastna på. Bara en avsändaradress som liknar den riktiga och en ton som gör att man vill vara hjälpsam.
Den fungerar för att den utnyttjar hierarki och tidspress samtidigt. Den som får mejlet vill inte vara långsam mot chefen.
Motmedlet är samma regel som ovan: alla betalningar utanför det vanliga verifieras muntligt, och det gäller även när det är ägaren som ber. Säg det till era ekonomiansvariga så att de vet att de har mandat att fråga.
Det tekniska som är värt att göra
Slå på varningsbanner för extern avsändare i Microsoft 365. En liten rad högst upp som säger att mejlet kommer utifrån gör mer nytta än man tror, särskilt mot varianten där någon utger sig för att vara en kollega.
Kontrollera också att ingen har lagt in en vidarebefordringsregel som ni inte känner till. Det är det första en angripare gör efter att ha kommit in i en inkorg, eftersom det ger dem fortsatt insyn även efter ett lösenordsbyte.
Öva istället för att informera
En genomgång på ett möte glöms på en vecka. Det som fastnar är att ha sett ett riktigt exempel.
Spara de phishing-mejl ni faktiskt får och visa dem för personalen, med avsändaradressen synlig. Egna exempel slår alltid generella, eftersom de handlar om leverantörer och system som alla känner igen.
Simulerade phishing-tester finns som tjänst och fungerar, men bara om resultatet används för att lära och inte för att peka ut. Ett test där den som klickar får skäll gör mer skada än nytta, av exakt det skäl som står i nästa avsnitt.
Det viktigaste av allt
Skäll inte på den som klickar.
Ett företag där man blir utskälld är ett företag där folk döljer att de klickat, och de timmarna mellan klicket och anmälan är precis de timmar som avgör hur illa det blir. Den som berättar direkt gör er en tjänst, även om de gjorde fel.
Säg det högt, i förväg, medan ingenting har hänt. Då tror folk på det när det väl gäller.
Nästa del: misstänkt länk, hur ni kontrollerar den utan att klicka.
Andra delar i den här serien:
- 3-2-1-backup
- Lösenordshanterare
- MFA
- Phishing (den här artikeln)
- Misstänkt länk
- Gamla användarkonton
- När en anställd slutar
- Admin-konton