Nätfiske är ett av de största hoten som den enskilde och organisationer står inför, men vet du vad de består av, hur de ser ut och var du ska titta efter dem?
Nätfiske är i stort sett alla försök att posera som en betrodd källa för att få människor att lämna över personuppgifter. Nätfiske tar vanligtvis formen av en masspost som skickas till hundratusentals människor, brottslingar kan använda andra former av kommunikation eller skapa mera nyanserade attacker.
Vi har listat de vanligaste formerna av nätfiske här tillsammans med exempel för att hjälpa dig med att upptäcka dessa attacker.
E-postfiske
De flesta människor är åtminstone svagt medvetna vad e-postfiske ser ut som. De är slarvigt skrivna och oväntade meddelanden som försöker skrämma dig att tro att någonting har blivit fel. Du kan till exempel få veta att ditt konto har hackats, att du måste bekräfta en kortbetalning, eller att ditt bankkonto har komprometterats.
Vilken form dessa meddelanden än tar, innehåller de en begäran om information, en bilaga som ska öppnas (ofta en .zip fil) eller en länk man ska klicka på.
Om en e-post inte är adresserad till dig personligen innehåller misstänkta bilagor eller länkar eller skickas från en falsk e-post-adress är det förmodligen en nätfiskebluff.
Harpunfiske
Det finns två andra, mer sofistikerade, typer av nätfiske med epost. Det första, harpunfiske, beskriver skadliga epostmeddelanden som skickas till en specifik person. Brottslingar som gör detta har redan några av följande uppgifter: Offrets namn, anställingsplats, befattning, e-post-adress och specifik information om arbetet.
Ett av de mest berömda databedrägerierna i den senaste tidens historia är hackningen av den demokratiska nationella kommittén som gjordes med hjälp av harpunfiske. Den första attacken består av epost som innehåller skadliga bilagor till mer än 1000 e-post-adresser. Dess framgång ledde till ytterligare en kampanj som lurade medlemmar i kommittén att dela sina lösenord.
”Whaling”
”Whaling”-attacker är ännu mer målinriktade, tar sikte på ledande befattningshavare. Även om slutmålet för ”Whaling” är detsamma som för alla andra slag av nätfiskeattacker tenderar tekniken att vara mycket subtilare. Trick som falska länkar och skadliga URLs går inte att använda i det är fallet när brottslingar försöker att imitera ledande befattningshavare.
Bluffar som involverar falsk skatteåterbäring är i ökande omfattning en vanlig variant av ”whaling”. Skatteblanketter har ett högt värde bland brottslingar eftersom de innehåller en mängd värdefull information: Namn, adresser, personnummer och bankkontoinformation.
”Smishing” och ”vishing”
Med både ”smishing” och ”vishing” där telefoner ersätts e-post som metod för kommunikation. ”Smishing” involverar brottslingar som skickar textmeddelande (innehållet liknar i mycket samma som för nätfiske) och ”vishing” innebär ett telefonsamtal.
En vanlig ”vishing”-bluff involverar en kriminell som föreställer en bedrägeriundersökare (antingen från kontokortsföretaget eller från banken) som talar om för offret att hans konto har varit utsatt för överträdelse. Den kriminelle ber sedan offret att lämna betalningskortsuppgifter för att verifiera sin identitet eller för att för över pengar på ett ”säkert” konto – vilket är detsamma som den brottslingens konto.
Socialt media-nätfiske
En relativt ny attack vektor, sociala medier erbjuder ett antal sätt för brottslingar att lura människor. Falska webbadresser; klonade webbsajter, inlägg och tweets; och snabbmeddelanden (vilket i allt väsentligt är de samma som smishing)kan alla användas för att övertala människor att avslöja känslig information eller för att ladda ner skadlig kod.
Alternativt kan brottslingar använda de uppgifter som människor villigt postar på sociala medier för att skapa mycket riktade attacker.
Under 2016 mottog tusentals Facebook användare meddelanden som talade om för dem att de omnämnts i ett inlägg. Meddelandet hade initierats av brottslingar och släpptes i en två-stegsattack. I första steget laddades en Trojan ner innehållande ett skadligt Chrome webbläsartillägg på användarens dator.
När användaren nästa gång loggade in på Facebook, med den komprometterade webbläsaren, kunde brottslingen kapa användarens konto. De kunde ändra sekretessinställningarna, stjäla data och sprida infektionen till alla Facebook vännerna.
Dina anställda är din sista försvarslinje
Organisationer kan mildra risken för nätfiske med tekniska hjälpmedel som tex. Spam-filter men dessa har ständigt visat sig vara opålitliga. Skadlig e-post kommer fortfarande igenom regelbundet och när detta händer är det enda som hindrar din organisation att utsättas för en överträdelse är dina anställdas förmåga att upptäcka brottslingarnas bedrägliga natur och svara på lämpligt sätt.
Vår Personalkurs i Nätfiskemedvetenhet hjälper anställda att göra precis detta samt förklara vad som händer när människor blir offer och hur de kan mildra hotet från en attack.
Om du kopplar ihop denna kurs med vår kurs i Simulerad Nätfiskeattack, kan du se hur mycket information som dina anställda har inhämta. Vi skickar en nätfiskeattack till din organisation (uppenbarligen utan den skadliga lasten) och ger dig en oberoende bedömning av dina anställdas mottaglighet för en attack. Den utgör även utgångsläge för dina säkerhetskampanjer i medvetenhet och hjälper dig att:
- Tillfredsställer efterlevnad och förordningskrav;
- Anpassa kommande tester till områden och anställda som är utsatta för största risk; och
- Minska antalet klickar från anställda på skadliga epostmeddelanden.
Du kanske även är intresserad av vår Informativa Grafik om nätfiske. Den här guiden beskriver de olika former som nätfiskeattacker kan ta, förklarar den skada de kan orsaka och ger annoterade exempel på bluff-epost och visar på vad du ska vara på utkik efter.
