Phishing-bedrägerier kan få stora konsekvenser

Vi har levt med e-post länge nu, det har varit konstanten som stått stadigt trots en uppsjö av andra digitala kommunikationsverktyg. Många har dock en kluven relation till e-post, det är billigt, snabbt och familjärt – men kommer också med en del saker vi gärna hade varit utan. Anblicken av en överfull inkorg kan göra en alldeles matt och ibland känns det hopplöst att hitta rätt i snåriga mappsystem och ändlösa mejltrådar. Men framförallt finns det alltid ett överhängande hot – mer än 90% av alla cyberangrepp börjar med ett mejl.

Vad är phishing?

Phishing (nätfiske på svenska) är en form av bedrägeri där någon försöker lura dig att avslöja känslig information. Phishing-kampanjer kan komma i olika skepnader men ofta med en direkt uppmaning. Det kan se ut som paketaviseringar, fakturor eller olika former av ”Måste godkännas nu!”. Inom detta område har “vd-bedrägeriet” visat sig särskilt effektivt. Det innebär att phishing-försöket maskeras i form av en direkt uppmaning från chefen, exempelvis genom att ”beordra” snabba utbetalningar eller överföring av känsliga uppgifter. Det är lätt att tro att “detta kommer inte att hända oss” eller “det skulle jag ju upptäcka”. Men så enkelt är det inte, phishing är en mångmiljardindustri och kostar varje år företag mer än alla ransomware-krav tillsammans.

Så lättlurade är vi

Förra året skickade Malmö stad ut ett fejkmejl till 3 500 anställda som ett internt phishing-test. Tidigare under året hade kommunen utsatts för flera IT-attacker och målet var att förbereda de anställda för kommande attacker. På lite mer än ett dygn hade nästan 33% klickat på länken i mejlet. Målet var < 5% och testet fick avbrytas för att skadorna, en lavin av supportärenden, oro och sänkt produktivitet, riskerade att bli dyrare än nyttan av testet. Detta gav två viktiga lärdomar som vi alla bör vara medvetna om:

1. Kunskap räcker inte. Kommunen hade påmint om ”tänk före du klickar” samma morgon – ändå trillade var tredje medarbetare dit och klickade.

2. Stress trumfar eftertanke. Mejlet var tidskritiskt formulerat och deadlines har visat sig vara en avgörande framgångsfaktor för phishing-attacker.

Tekniska åtgärder mot phishing

Exemplet ovan påvisar hur viktigt det är med utbildning, men vi kan aldrig helt komma ifrån den mänskliga faktorn och därmed kommer det alltid finnas viss sårbarhet. Så vad kan vi mer göra? Till att börja med kan vi använda oss av olika tekniska funktioner för att höja e-postsäkerheten, funktioner som redan finns tillgängliga och som många företag redan betalar licensavgift för men inte använder korrekt eller i värsta fall inte alls. Vi vill framförallt lyfta fram tre av dessa skyddsåtgärder:

1. Identitetsstyrd multifaktors- och villkorsstyrd åtkomst

Vad det är: Tjänsten kopplar varje inloggning till risknivåer utifrån faktorer som plats, enhet och användarbeteende. Vid avvikelser krävs extra bekräftelse för att få tillgång (app-push, FIDO-nyckel, biometrisk inloggning).

Varför det spelar roll: Genom länkar kan lösenord stjälas vid Phishing-bedrägeri men det räcker inte för att komma åt en fysisk hårdvarunyckel eller mobilapplikation. Samma princip kan blockera inloggningar från anonyma VPN:er eller konton från andra länder där ni inte har verksamhet.

Affärsnytta: Eliminerar majoriteten av kontokapningarna, minskar supportfrågor om exempelvis lösenordsåterställning och uppfyller flera regulatoriska krav i ett svep.

2. Molnbaserad realtidsskanning av länkar och bilagor

Vad det är: Såväl externa som interna mejl passerar ett filter där skadliga länkar eller bilagor med misstänkt innehåll kan upptäckas innan användaren öppnar innehållet.

Varför det spelar roll: Phishing-sajter lever i snitt bara några timmar, vilket gör det svårt för traditionella signaturfilter att hinna identifiera dem. Dynamisk analys kan fånga upp skadligt innehåll innan antivirusleverantören har hunnit göra uppdateringar.

Affärsnytta: Minskar sårbarheten kring den mänskliga faktorn genom att stoppa skadliga klick redan innan exponeringen.

3. Automatiserad domän- och dataskyddspolicy

Vad det är: Autentiseringsprotokollen DMARC, SPF och DKIM, i kombination med säkerhetsstrategin DLP för utgående e-post, skapar ett robust skydd mot både inkommande och utgående e-posthot.

Varför det spelar roll: När medarbetaren ser att ett mejl ”från vd:n” i själva verket kommer från en gratisdomän är det större chans att det uppmärksammas – eller tvärtom, när externa mottagare ser huruvida det kommer från en autentisk signatur – sänks bluffens träffyta dramatiskt.

Affärsnytta: Underlättar för medarbetaren och kan bevisa e-postens äkthet vid tvister.

Ökad trygghet för alla

Phishing och vd-bedrägerier handlar ytterst om att manipulera mottagaren att tro på avsändaren och äktheten av innehållet. Det finns inte en hundraprocentig universallösning på detta problem men det betyder inte att vi står försvarslösa. Om du kombinerar kontinuerlig utbildning med tekniska åtgärder skapar du ett ekosystem där:

Medarbetaren – reflexmässigt är uppmärksam mot mejl som inte är autentiska.
Tekniken – fångar upp hot och skadligt innehåll innan skadan är skedd.
Ledningen – kan fokusera på preventivt arbete istället för att släcka bränder.