Her er et oppdiktet eksempel, skrevet for denne artikkelen. Adressene kan ikke nås, og det vises bare slik at du kan øve på å lese det.
Eksempel på phishing-melding, ikke en ekte en
Fra: "Mailbox Support" <helpdesk@mail-storage-notice.example>
Emne: Postkassen din er 98 % full, meldinger holdes tilbake
Kjære bruker, 14 innkommende meldinger kunne ikke leveres fordi lagringsplassen din er full. Bekreft kontoen din innen 24 timer for å frigi dem og unngå suspensjon.
[Frigi meldingene mine]
Det som avslører den, er avsenderens domene, som tilhører noen du ikke har noe med å gjøre, en hilsen som ikke kjenner navnet ditt, en frist koblet til en trussel og en knapp som vil at du skal logge inn. Ingenting her er feilstavet, og det er typisk nå for tiden. Du oppdager phishing-e-poster ved å sjekke den ekte avsenderadressen, lese hvor lenker faktisk peker, behandle uventede krav om passord, penger eller åpning av filer med mistenksomhet, og bekrefte alt viktig gjennom en vei du allerede stoler på, i stedet for gjennom selve meldingen.
Phishing er en melding som utgir seg for å være en pålitelig person eller organisasjon, slik at du gir fra deg påloggingsopplysninger, betaler penger, installerer skadevare eller avslører informasjon som kan brukes i et senere angrep. Råd bygget på dårlig grammatikk og klønete logoer har eldet dårlig, siden det er trivielt å kopiere et merkes design, og oversettelses- og skriveverktøy er tilgjengelige for alle. Det som fortsatt er pålitelig, er hva meldingen ber deg gjøre, og hva de tekniske bevisene sier om hvor den kom fra.
Hvilke signaler som fortjener oppmerksomheten din
Varselsignaler er ikke like viktige. Denne rangeringen er et skjønn basert på hvordan angrepene fungerer, ikke en målt statistikk, men den viser hvor du bør bruke de få sekundene du har.
| Signal | Hvor mye det forteller deg | Hvorfor |
|---|---|---|
| Lenken går til et domene som ikke tilhører organisasjonen det påstås å komme fra | Svært mye | Avviket er kjernen i phishing for påloggingsopplysninger |
| E-posten ber om passord, engangskode eller fullt kortnummer | Svært mye | Lovlige tjenester samler ikke inn dette på e-post |
| Betalingsopplysninger endret «hasteendring» på e-post | Svært mye | Standardmønsteret i svindel mot bedrifter via e-post |
| Avsenderdomenet stemmer ikke med organisasjonen | Mye | Avsendere med lignende domener og gratis e-posttjenester er vanlige |
| Uventet arkiv, HTML-fil eller dokument med makroer | Mye | Vanlige måter å levere skadevare eller en falsk innloggingsside på |
| DMARC feiler for det oppgitte domenet | Mye | Sterkt bevis på forfalskning, selv om en bestått kontroll beviser lite |
| Sterkt hastverk eller trusler | Middels | Vanlig i phishing, men ekte sikkerhetsvarsler kan også haste |
| Generisk hilsen | Middels | Massekampanjer bruker den, mens målrettede bruker navnet ditt |
| Stave- og grammatikkfeil | Lite til middels | Moderne phishing er ofte velskrevet, og ekte e-post har skrivefeil |
| Logo eller layout ser rar ut | Lite | Det tar minutter å kopiere et merkes design |
Legg merke til at toppen av tabellen handler om destinasjon og forespørsel, og bunnen om utseende. Den mest nyttige mentale omstillingen er å slutte å spørre «ser dette ekte ut?» og begynne å spørre «hva vil den ha fra meg, og hvordan kan jeg sjekke det uten å bruke denne meldingen?»
Slik leser du en lenke riktig
Hvis du lærer én teknisk ferdighet fra denne artikkelen, bør det være denne, for den synlige teksten i en lenke og den virkelige destinasjonen er helt adskilte ting. En knapp som sier «Logg inn på kontoen din», kan peke hvor som helst. På en datamaskin holder du musepekeren over lenken uten å klikke, og leser adressen som vises i statuslinjen eller i en verktøytips. På en telefon trykker du og holder på lenken for å se en forhåndsvisning, og avbryter deretter.
De fleste leser nettadresser fra venstre, og angripere regner med det. Hvem som eier adressen, avgjøres i den høyre enden av vertsnavnet: det registrerte domenet pluss endelsen, rett før den første enkle skråstreken. Alt til venstre for det er et underdomene som eieren kan sette til hvilken tekst de vil. Alt etter skråstreken er en sti, og den kan også si hva som helst. Ta disse fire eksemplene, der det andre, tredje og fjerde er fiktive:
https://accounts.google.com/signintilhører Google, siden domenet ergoogle.com.https://accounts.google.com.secure-login.example/signintilhørersecure-login.example. Merkenavnet er bare et underdomene.https://secure-login.example/accounts.google.com/tilhører ogsåsecure-login.example, med merkenavnet i stien.https://www.paypal.com@203.0.113.7/bruker et gammelt triks. Alt før@regnes som et brukernavn, og den virkelige destinasjonen er IP-adressen etter det.
Noen flere lenkemønstre bør få deg til å bremse. URL-forkortere er merkelige i en melding fra et stort merke, som ikke har noen grunn til å skjule sitt eget domene. Lenker til skjemabyggere eller fildelingstjenester som ber deg «logge inn for å se et dokument», er en favoritt, fordi phishing-sider ofte ligger på lovlige skyplattformer. Et pålitelig vertsnavn i adressen betyr derfor ikke at siden er trygg. Spørsmålet er om domenet tilhører organisasjonen du tror du har med å gjøre.
Hengelåsen hjelper heller ikke i noen retning. HTTPS forteller deg at tilkoblingen er kryptert, og gratis sertifikater er tilgjengelige for alle, også kriminelle. En falsk bankside med hengelås er en kryptert forbindelse til en tyv.
Vær også på vakt mot internasjonale etterligninger. Domener kan bruke tegn fra andre alfabeter som ser identiske ut med latinske bokstaver, for eksempel et kyrillisk «а» i stedet for et latinsk «a». Nettlesere viser ofte disse i en kodet form som begynner med xn--, og å se det prefikset der du forventet et kjent merke, er et nyttig tegn.
Slik leser du avsenderen
E-postprogrammer viser visningsnavnet med stor skrift og skjuler ofte adressen, og visningsnavnet er fri tekst som avsenderen velger selv. En melding som viser «Microsoft Account Team», kan komme fra et urelatert domene eller fra en tilfeldig kapret postkasse. På en datamaskin holder du pekeren over navnet eller klikker på det. På en telefon trykker du på det for å utvide. Se deretter på delen etter @, og ha disse mønstrene i bakhodet (domenene her er eksempler):
- Ombyttede tegn, for eksempel
rni stedet form, eller sifferet1i stedet for bokstavenl. - Ekstra ord, for eksempel
netflix-billing.example. Merker bruker sjelden varianter med bindestrek av navnet sitt til kontopost. - En annen endelse, for eksempel
yourbank.coder du forventeryourbank.com. - En gratis privat postkasse som utgir seg for å være en bank, et advokatfirma eller toppsjefen din.
Sjekk deretter svaradressen. En melding kan vise en troverdig Fra-linje og sette Reply-To til angriperens postkasse, slik at svaret ditt går et annet sted. Mange programmer viser destinasjonen når du trykker Svar, så se etter før du sender.
Avsendersjekken har en tydelig begrensning: den sier ingenting om kaprede kontoer. Hvis postkassen til en ekte kollega eller leverandør er overtatt, vil adressen være helt riktig. Da er selve forespørselen det eneste signalet ditt, og det bringer oss til neste punkt.
Forespørsler ingen ærlig avsender stiller på e-post
Noen forespørsler er mistenkelige uansett hvor god resten av meldingen ser ut. Passordet eller PIN-koden din. Engangskoden du nettopp fikk på SMS eller i en app. Et fullt kortnummer med sikkerhetskoden. Betaling med gavekort eller kryptovaluta, eller en overføring til en ny konto. Fjerntilgang til datamaskinen din for et problem du aldri har meldt. Konfidensielle filer eller ansattdata sendt til en ekstern adresse «for en revisjon».
Forespørselen om engangskode er verdt å forstå, for den føles så harmløs. En angriper som allerede har passordet ditt, utløser en innlogging, og da får du en ekte kode fra den ekte tjenesten. Så sender de deg en melding og utgir seg for å være kundestøtte, og ber deg «bekrefte» koden. Alle som ber om en kode du har fått, prøver å logge inn som deg.
Offentlige organer brukes også ofte som dekke. IRS i USA sier for eksempel at de ikke tar første kontakt med skattebetalere på e-post for å be om personlig eller økonomisk informasjon, og mange skatteetater andre steder publiserer lignende advarsler. Hvis du tror at en tilbakebetaling eller en bot kan være ekte, skriv etatens adresse selv og logg inn der.
Hvorfor forsiktige folk likevel går i fella
Phishing rettes mer mot atferd enn mot programvare. Velbygde meldinger sikter mot å skape en rask følelsesmessig reaksjon, slik at du handler først og tenker etterpå. Hastverk er det åpenbare spaket («kontoen stenges om 24 timer»), sammen med frykt («uvanlig innlogging», «rettslig skritt under behandling») og autoritet, der toppsjefen, en bank eller IT-støtte oppgis som avsender. Belønning og nysgjerrighet virker også, gjennom tilbakebetalinger, premier og «se hvem som har sett profilen din». Så har vi ren hjelpsomhet, for eksempel når en kollega haster med å få en fil gjennomgått.
Rutine er kanskje det sterkeste av alt. En falsk faktura, et leveringsvarsel eller et delt dokument ser ut som dusinvis av ekte du håndterer hver uke, og du er minst oppmerksom på det du gjør på autopilot. Derfor er målet ikke å mistenke hver eneste e-post, noe ingen orker i lengden. Målet er å legge merke til øyeblikket da en melding ber om noe sensitivt, og i det øyeblikket gå fra å reagere til å sjekke.
Angrepstypene, og hva hver av dem endrer
Navnene betyr mindre enn å vite hva hver variant gjør med rådene ovenfor. Noen av dem slår de vanlige kontrollene.
| Type | Hva det er | Hva det endrer for deg |
|---|---|---|
| Massephishing | Generisk melding til enorme lister, for eksempel full postkasse eller en pakke som sitter fast | Den letteste typen å fange, siden den sjelden passer til livet ditt |
| Spear phishing | Skreddersydd til deg, med navn og detaljer fra sosiale medier eller lekkede data | Personlige detaljer beviser ingenting |
| Whaling | Spear phishing rettet mot ledere eller folk som styrer penger | Høy stilling gjør deg til et mål |
| Business email compromise | Å utgi seg for eller overta kontoen til en leder, leverandør eller kollega for å omdirigere penger | Ofte ingen lenke og intet vedlegg, så skannere ser ingenting |
| Klonet phishing | En ekte tidligere e-post kopieres og sendes på nytt med lenken eller filen byttet ut | Kjent innhold er ikke noe bevis |
| Kapring av tråd | Svar midt i en ekte samtale fra en kapret postkasse | Avsendersjekken består |
| Quishing | En QR-kode erstatter lenken | Flytter deg til en telefon, bort fra beskyttelsen på datamaskinen og lenkeskannere |
| Samtykke-phishing | En ondsinnet app ber om tilgang på en ekte «Tillat»-skjerm | Ingen passord stjeles, og påloggingssiden er ekte |
| Tilbakeringings-phishing | En falsk faktura eller fornyelse oppgir et telefonnummer du skal ringe | Ingenting å klikke på, og svindelen skjer under samtalen |
| Enhetskode-phishing | Du blir bedt om å skrive inn en kode på en ekte påloggingsside, og det godkjenner angriperens enhet | Domenesjekken består, så den uventede forespørselen er sporet |
De tre siste fortjener en setning med praktisk råd. Les tillatelseslisten på enhver «Gi tilgang»-skjerm, og avslå hvis en ukjent app vil lese e-posten din. Ring aldri et nummer som står på en uventet faktura. Og skriv aldri inn en kode på en påloggingsside fordi noen i en e-post eller chat ba deg om det, med mindre du selv startet prosessen på en enhet foran deg.
Eksempelmeldinger med kommentarer
Alt det følgende er oppdiktede eksempler basert på godt dokumenterte mønstre. Navn og domener er fiktive.
Eksempel: det delte dokumentet
Kun eksempel
Fra: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Emne: Jordan delte «Q3 Payment Schedule» med deg
Åpne i Docs
Dette etterligner et delingsvarsel, men avsenderen er en ekstern adresse du ikke kjenner, og knappen fører til en side som ber om e-postpassordet ditt, ofte med en rad av leverandørlogoer. Ekte varsler kommer fra plattformens eget domene og åpnes i en økt du allerede er logget inn i. Hvis du kjenner en Jordan, spør vedkommende. Uansett hva som skjer, må du ikke skrive passordet ditt inn på en side du kom til fra en «delt fil»-e-post.
Eksempel: leverandørens nye bankkonto
Kun eksempel
Fra: "Accounts Receivable" <ar@supplier-co.example>
Emne: SV: Faktura 4471
Vær oppmerksom på at bankopplysningene våre er endret på grunn av en revisjon. Bruk vennligst de vedlagte nye kontoopplysningene for denne og fremtidige betalinger. Betalingen er forfalt, så vennligst behandle den i dag.
Her er det kanskje ingen lenke, og dette kan komme fra leverandørens ekte, kaprede postkasse midt i en ekte tråd. Alle tekniske kontroller kan bestå. Det som varsler, er forespørselen: en endring av betalingsopplysninger på e-post, med hastverk. Ring leverandøren på et nummer du allerede har registrert, ikke et fra e-posten eller signaturen, før du betaler noe. Hvis pengene allerede er sendt, ring banken din med en gang og spør om betalingen kan hentes tilbake, og i USA kan du melde det på ic3.gov.
Eksempel: pakkegebyret
Kun eksempel
Emne: Pakken din er satt på vent: tollgebyr ikke betalt
Vi forsøkte å levere pakken din. Et lite gebyr kreves for å sette opp ny levering. Betal nå for å unngå retur til avsender.
Det lille beløpet senker vaktholdet ditt, og målet er hele kortinformasjonen din, som deretter kan brukes til større svindel. Spor leveranser med nummeret på butikkens egen ordreside eller i transportørens offisielle app.
Eksempel: lederen som er «i møter»
Kun eksempel
Fra: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Emne: liten tjeneste
Er du tilgjengelig? Jeg trenger at du ordner noe diskret for en kunde. Jeg er i møter, så bare e-post.
En privat postkasse, en forespørsel om hemmelighold og «bare e-post» utgjør tilsammen mønsteret, og oppfølgingen ber vanligvis om gavekortkoder eller en overføring. Selve meldingen inneholder ingenting å skanne. Kontakt lederen gjennom firmaets katalog, chat eller telefon, og si fra til IT.
Eksempel: QR-koden
Kun eksempel
Emne: Oppdatering av flerfaktorautentisering kreves
MFA-innstillingene dine utløper i dag. Skann QR-koden nedenfor med telefonen for å registrere deg på nytt.
Innstillinger for flerfaktorautentisering utløper ikke via e-post. Koden flytter deg til en telefon, der adressen er vanskeligere å inspisere og selskapets beskyttelse kanskje ikke gjelder. Ikke skann den. Sjekk med IT, eller se på sikkerhetsinnstillingene til kontoen direkte.
Eksempel: skatteoppgjøret
Kun eksempel
Emne: Du har rett til tilbakebetaling av skatt
Etter den årlige beregningen av virksomheten din har du rett til å motta en tilbakebetaling. Send inn skjemaet innen 48 timer.
En uventet gave pluss et skjema som ber om identitets- og kortopplysninger. Gå til det offisielle offentlige portalen ved å skrive adressen selv, eller ring etatens publiserte nummer.
Eksempel: kontovarselet som er delvis sant
Kun eksempel
Fra: "Account Security" <no-reply@secure-acct-center.example>
Emne: Handling kreves: uvanlig innloggingsaktivitet
Vi oppdaget et innloggingsforsøk fra en ny enhet. For å holde kontoen din aktiv må du bekrefte identiteten din innen 24 timer. [Bekreft nå]
Ekte tjenester sender innloggingsvarsler, så denne kategorien krever mer omtanke enn resten. Her er domenet generisk, og meldingen nevner ikke engang hvilken tjeneste det gjelder. Ikke resonner deg fram til svaret inne i e-posten. Åpne tjenestens app eller skriv adressen selv, og se på siden for nylig aktivitet. Hvis ingenting står der, var e-posten falsk. Denne vanen fungerer også for ekte varsler, siden de vil vises der også.
Sjekk headerne når du er usikker
Headere inneholder teknisk bevis på hvor en melding kom fra. I Gmail åpner du trepunktsmenyen og velger Vis original, som også gir en kort oppsummering øverst. I Outlook på nett bruker du Vis, Vis meldingskilde. I Apple Mail bruker du Vis, Melding, Alle headere.
Tre standarder ligger bak resultatene du vil se. SPF lar et domene publisere hvilke servere som kan sende e-post for det, og mottakeren sjekker den sendende serveren mot den listen. DKIM legger til en kryptografisk signatur, kontrollert mot en offentlig nøkkel i DNS hos det signerende domenet, som viser at de signerte delene ikke er endret og at domenet tok ansvar. DMARC knytter dette til domenet i den synlige Fra-linjen, en egenskap som kalles samsvar (alignment), og forteller mottakere hva de skal gjøre ved feil: ingenting, karantene eller avvisning. Siden 2024 har Google og Yahoo krevd at masseutsendere publiserer en DMARC-oppføring, noe som har gjort disse resultatene vanligere.
Finn linjen som begynner med Authentication-Results:. Den kan se slik ut, i et fiktivt eksempel:
Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example
Her består alle kontrollene, og alle domenene samsvarer. En forfalsket melding kan vise dmarc=fail, eller et bestått resultat for et helt annet domene enn det i Fra-linjen. Denne tabellen viser hvordan du tolker det du finner.
| Resultat | Hva det betyr | Hva det ikke betyr |
|---|---|---|
| DMARC bestått for merkets ekte domene | Sendt av eller på vegne av det domenet | Det utelukker ikke en kapret konto hos det selskapet |
| DMARC bestått for et domene som ligner | Angriperen eier det domenet og har satt det opp riktig | Meldingen er ikke trygg, og dette er vanlig i phishing |
| DMARC feilet for merkets domene | Sterkt tegn på forfalskning, eller videresending som ødela kontrollen | E-postlister og videresending ødelegger av og til ekte e-post |
| Ingen DMARC-oppføring | Domenet har ikke publisert noen policy | Det beviser ingenting alene, men det er lettere å forfalske det domenet |
Lærdommen er at autentisering sier hvem som sendte meldingen, og ærlighet er en egen sak. En e-post med perfekte resultater fra bank-resolution-center.example er fortsatt phishing. Den samlede kontrollen du vil ha, er at det autentiserte domenet er den organisasjonen du tror det er.
Received:-linjene registrerer hver server underveis, med den nyeste øverst. De kan vise at en «lokal bank»-e-post startet på en urelatert server, men alt under punktet der din egen leverandør tok imot meldingen, kan være forfalsket, så stol bare på oppføringene som leverandørens servere la til. For de fleste er autentiseringslinjen og domenesjekken nok.
Vedlegg og bilder i en phishing-e-post
Vedlegg leverer skadevare eller fører til en falsk innloggingsside. Formatene som fortjener mest forsiktighet, er arkiver og diskbilder som .zip, .rar, .7z, .iso og .img, HTML-filer som åpner en lokal falsk påloggingsside, Office-dokumenter som ber deg «Aktiver innhold» eller «Aktiver redigering», doble filendelser som invoice.pdf.exe, skript og snarveier som .js, .vbs, .lnk og .bat, og PDF-er som ikke inneholder annet enn en knapp eller en QR-kode. Guiden vår om vedleggssikkerhet forklarer hvordan du vurderer hver type, og hvordan du åpner en tvilsom fil med mindre risiko.
Bilder er mer stille. Et eksternt bilde kan fortelle avsenderen at adressen din er i bruk, og slik bygges lister over «verifiserte» adresser. Vi forklarer hvordan det fungerer, og hvilke innstillinger som stopper det, i artikkelen vår om sporingspiksler i e-post. Det er en liten grunn til å sette e-postprogrammet til å spørre før det viser eksterne bilder.
Ekstra forsiktighet på telefon
Telefoner gjør alt dette vanskeligere. Skjermen er liten, adresser er skjult som standard, og lenkeforhåndsvisning krever et langt trykk. Noen vaner veier opp for det. Trykk på avsendernavnet for å vise adressen før du stoler på en melding. Trykk og hold på lenker i stedet for å trykke vanlig. For banker, butikker og sosiale nettverk åpner du den offisielle appen i stedet for å følge noe i en e-post. Se på QR-koder i e-poster med ekstra skepsis, siden du skanner dem med den samme enheten du leser på. Hvis kameraet viser en forhåndsvisning av adressen før det åpner den, les den på samme måte som du ville lest en hvilken som helst lenke.
De samme triksene kommer også via SMS og meldingsapper, vanligvis kalt smishing, og en telefonsamtale kan følge etter en e-post for å gjøre den mer overbevisende, noe som kalles vishing. En som ringer og nevner e-posten du nettopp fikk, har ikke bekreftet noe, siden de kan ha sendt den selv. Legg på og ring et nummer du allerede har.
Hva du gjør med en mistenkelig melding
- Ikke klikk, last ned, skann en kode eller svar. Å svare for å spørre «er dette ekte?» når fram til angriperen, som vil si ja.
- Sjekk avsenderadressen og lenkedestinasjonene som beskrevet ovenfor.
- Verifiser uavhengig. Åpne den offisielle appen eller skriv adressen selv. Ring nummeret på baksiden av kortet ditt, på en faktura du allerede har, eller i firmaets katalog.
- Rapporter den til leverandøren din. I Gmail har trepunktsmenyen Rapporter phishing. I Outlook leter du under Rapporter etter Rapporter phishing. På jobb bruker du rapporteringsknappen eller følger sikkerhetsteamets instruksjoner, og du må ikke videresende meldingen til kolleger for å spørre dem, siden det sprer lokkematen.
- Rapporter den til organisasjonen som etterlignes, hvis den publiserer en phishing-adresse på sikkerhetssiden sin. Apple bruker for eksempel reportphishing@apple.com.
- Bruk en offentlig rapporteringstjeneste der det finnes en. I Storbritannia tar National Cyber Security Centre imot videresendte e-poster på report@phishing.gov.uk. I USA tar FTC imot rapporter på reportfraud.ftc.gov. Anti-Phishing Working Group tar imot videresendte meldinger på reportphishing@apwg.org. Andre land har lignende tjenester, vanligvis gjennom en forbrukerbeskyttelses- eller nettkriminalitetsetat.
- Slett den når den er rapportert.
Hvis du allerede har klikket
Det er vanlig å klikke, og det kan som regel rettes opp. La ikke flauhet utsette deg, for hastighet hjelper mer enn noe annet her. Finn tilfellet nedenfor som passer med det som skjedde.
Du klikket og skrev ikke inn noe
Lukk fanen og ikke last ned noe siden tilbød. Sørg for at nettleseren og systemet er oppdatert, og kjør en sikkerhetsskanning hvis noe ble lastet ned av seg selv. Forvent flere meldinger, for klikket kan ha bekreftet at adressen din blir lest. I de fleste tilfeller er det slutten på saken.
Du skrev inn et passord
- Gå til det ekte nettstedet ved å skrive adressen selv, og bytt passordet nå.
- Bytt det overalt ellers der du brukte det samme eller et lignende passord. Hvis det stjålne passordet var til e-posten din, regn det som hastesak, siden e-post kan tilbakestille alt annet.
- Logg ut av andre økter. I en Google-konto kan du se gjennom Enhetene dine på sikkerhetssiden og logge ut de du ikke kjenner igjen, og detaljene om Siste kontoaktivitet nederst i Gmail-innboksen viser nylig tilgang. Andre tjenester har en lignende kontroll.
- Slå på tofaktorautentisering, helst med en passnøkkel, sikkerhetsnøkkel eller autentiseringsapp.
- Se etter endringer angriperen kan ha gjort: gjenopprettings-e-post og -telefon, videresendingsregler og filtre, tilkoblede apper, ukjente enheter.
- For en jobbkonto sier du fra til IT umiddelbart. Angripere bruker ofte en kapret postkasse til å sende phishing til kollegene dine i løpet av timer.
Guiden vår om hva du gjør etter en datalekkasje tar for seg opprydding av passord mer grundig, siden trinnene overlapper.
Du skrev inn en kode eller godkjente en forespørsel
Anta at angriperen kan ha en aktiv økt. Bytt passord, logg ut av alle økter, gå gjennom sikkerhetsinnstillingene, og varsle IT for en jobbkonto. Moderne «adversary-in-the-middle»-sett sender innloggingen din videre til det ekte nettstedet mens du skriver den inn, og fanger opp økt-informasjonskapselen som oppstår. Det er derfor engangskoder alene ikke stopper dem.
Du skrev inn betalingsopplysninger
Ring banken eller kortutstederen din umiddelbart, på nummeret som står på kortet. Be dem sperre kortet og følge med på svindel, og gå gjennom kontoutskriftene de neste ukene. Hvis du også skrev inn identitetsopplysninger, sjekk hva landet ditt tilbyr. I USA gir IdentityTheft.gov en gjenopprettingsplan, og en kredittsperre kan fås hos kredittbyråene.
Du åpnet et vedlegg eller aktiverte makroer
Koble enheten fra nettverket hvis du mistenker skadevare, kjør en full skanning, og på jobb kontakter du IT før du gjør noe annet. Bytt viktige passord fra en annen, ren enhet.
Du ga en app tilgang
Gå til sikkerhetsinnstillingene i kontoen din, finn listen over tredjepartsapper med tilgang, og fjern den ukjente. Et passordbytte alene kutter kanskje ikke av en app som har fått tilgang, så fjerning kommer først. Bytt deretter passord som en forholdsregel og sjekk postkasseregler.
Slik setter du opp ting så én feil koster mindre
Du fanger ikke alt hver gang, særlig ikke på en dårlig dag. Gode standardinnstillinger gjør at et enkelt feilsteg gjør mindre skade, og noen av dem gjør deler av oppdagelsesjobben for deg.
De sterkeste av disse er passnøkler og sikkerhetsnøkler i maskinvare. CISA, det amerikanske cybersikkerhetsbyrået, beskriver phishing-resistent flerfaktorautentisering som gullstandarden, og nevner FIDO og WebAuthn som den utbredte formen av den. Disse påloggingsmidlene er bundet til det ekte domenet, så de fungerer rett og slett ikke på et falskt nettsted, selv en perfekt kopi. Autentiseringsapper stopper de fleste angrep som bare går på passord, men er svakere mot sanntidsvideresending, så de er et godt steg og ikke det siste. Hvis banken eller e-postleverandøren din tilbyr passnøkler, er det trolig det mest verdifulle du kan gjøre etter å ha lest denne artikkelen å slå dem på.
En passordbehandler gir deg en andre, stillere kontroll. Den lagrer det nøyaktige domenet for hvert passord. Når du havner på en side som ligner, og den ikke tilbyr noen lagret pålogging, er den stillheten en advarsel, og dette fanger sider som ser pikselperfekte ut. Ikke overstyr den ved å kopiere og lime inn passordet. Det er en liten forbeholdsregel: passordbehandlere kjenner av og til ikke igjen et ekte nettsted som har byttet påloggingsdomene. Stillheten betyr derfor «stopp og gå til nettstedet ved å skrive adressen», ikke «dette er helt sikkert falskt».
| Forsvar | Hva det gjør | Innsats |
|---|---|---|
| Passnøkler eller maskinvarenøkler | Stopper phishing av påloggingsopplysninger og sanntidsvideresending, siden påloggingsmidlet er knyttet til det ekte domenet | Lav til middels |
| Passordbehandler med autofyll | Nekter å fylle ut på falske domener og hindrer gjenbruk | Lav når den er satt opp |
| Autentiseringsapp | Stopper de fleste angrep som bare går på passord | Lav |
| Nettleserbeskyttelse | Chromes Safe Browsing og Edges SmartScreen advarer mot mange kjente dårlige sider | Vanligvis allerede på |
| Programvareoppdateringer | Lukker feil som skadelige filer og sider utnytter | Lav |
| Synlige filendelser | Avslører triks med doble endelser | Én innstilling |
| Å spørre før eksterne bilder lastes | Hindrer mange piksler i å bekrefte adressen din | Én innstilling |
| Skriftlig tilbakeringingsregel for endringer i betaling | Stopper det meste av fakturasvindel, uansett hvordan e-posten ser ut | En endring i rutiner |
| Å begrense hvor den ekte adressen din går | Færre lister og lekkasjer inneholder den | En vane |
For en bedrift er tilbakeringingsregelen den som bør skrives ned. FBIs veiledning om e-postkapring og råd fra banknæringen er enige om det vesentlige: bekreft enhver endring i betalingsinstruksjoner utenfor e-post, med et nummer du allerede har. Den virker fordi den ikke er avhengig av at noen oppdager noe, og den gir yngre ansatte en grunn til å si «jeg må ringe først» til en som ser ut til å være sjefen deres.
Hold hovedadressen din unna listene
Phishere sender til adresser de har kjøpt, hentet automatisk fra nettsider eller trukket ut av lekkede data. Hver gang du gir den ekte adressen din til et nettsted du ikke stoler særlig på, er det en mulighet for at den havner på en av de listene. Å bruke en egen adresse til engangsregistreringer reduserer hvor ofte hovedinnboksen din er et mål, og det gjør også den gjenværende e-posten lettere å vurdere, for en melding om banken din som kommer til adressen du bare ga til banken, betyr mer.
En midlertidig innboks er ett alternativ for det laveste nivået, der nettstedets vilkår tillater det. Med VookMail er en adresse klar når siden lastes, uten registrering eller passord. Du kan trykke Ny for å skrive inn et brukernavn og velge blant mer enn 30 domener, eller trykke den gule Tilfeldig-knappen for en tilfeldig adresse, som er det tryggeste valget fordi alle som kjenner eller gjetter en adresse, kan åpne den innboksen. Meldinger og vedlegg slettes etter omtrent et døgn, så hvis adressen senere får phishing, havner den et sted som ikke er koblet til banken din, jobben eller hovedkontoene dine.
Dette passer til en ressursnedlasting, et enkelt spørsmål i et forum eller å teste et skjema du eier. Det passer ikke til kontoer du må beholde eller gjenopprette, og aldri til bank, det offentlige, helse, jobb eller primære sosiale kontoer. Ofte stilte spørsmål tar for seg riktig bruk, og personvernerklæringen forklarer hvordan innkommende e-post håndteres.
De røde flaggene gjelder i enhver innboks, også en til engangsbruk. En midlertidig adresse gir faktisk en praktisk test: hvis en melding der ber deg logge inn på din ekte bank- eller e-postkonto, er det nesten helt sikkert phishing, siden du aldri ga de tjenestene den adressen.
Misforståelser som hjelper angriperen
- «Den har hengelås.» Det betyr kryptert, ikke ærlig.
- «Logoen og navnet er riktige.» Begge deler er trivielle å kopiere.
- «Grammatikken er perfekt.» Mange kampanjer er nå velskrevet.
- «Jeg ringer bare nummeret i e-posten.» Det nummeret kan gå rett til angriperen.
- «Den kom fra kollegaens ekte adresse.» Kontoer blir overtatt, så forespørselen må fortsatt sjekkes.
- «Jeg klikket, men det ville vært flaut å si fra til IT.» Stillhet gir angriperne mer tid, og det er som regel det dyreste valget av alle.
- «Jeg har ingenting som er verdt å stjele.» Postkassen din kan tilbakestille de andre kontoene dine og kan brukes til å sende phishing til kontaktene dine.
En sjekkliste for meldingen foran deg
Når en e-post ber deg gjøre noe, tar disse spørsmålene under ett minutt. Hvis et svar bekymrer deg, stopp og verifiser gjennom en annen vei.
- Ventet jeg dette?
- Tilhører den ekte avsenderadressen organisasjonen den påstår å komme fra?
- Hvor går lenkene egentlig, når jeg leser domenet fra høyre?
- Ber den om passord, kode, betaling eller fil?
- Presser den med hastverk, frykt, hemmelighold eller en belønning?
- Er det et uventet vedlegg, en QR-kode eller en «aktiver innhold»-melding?
- Kjenner passordbehandleren min igjen påloggingssiden?
- Kan jeg sjekke dette ved å åpne appen eller ringe et kjent nummer i stedet?
Spørsmål folk stiller om phishing
Kan jeg bli hacket bare ved å åpne en phishing-e-post?
Med et oppdatert e-postprogram er det generelt lav risiko å åpne en melding. Faren kommer fra å klikke på lenker, skrive inn påloggingsopplysninger, åpne vedlegg, aktivere makroer eller svare med informasjon. Å åpne kan bekrefte at adressen din er aktiv hvis bilder lastes, og det er en grunn til å blokkere eksterne bilder.
Hvorfor kommer phishing-e-poster forbi spamfiltre?
Angripere registrerer nye domener, sender fra kaprede lovlige kontoer, legger sider på pålitelige skytjenester og endrer formuleringene hele tiden. Noe phishing består til og med SPF, DKIM og DMARC fordi det kommer fra et domene angriperen faktisk kontrollerer.
Er phishing-e-poster alltid full av feil?
Nei. Mange er velskrevet og ser identiske ut med ekte e-poster fra merker. Bruk oppmerksomheten din på de tekniske signalene og på hva det blir bedt om.
Et ekte selskap sendte meg en lenke der jeg skal logge inn. Er det alltid phishing?
Nei. Selskaper sender lovlige lenker, og innloggingen kan være ekte. Den trygge vanen fungerer i begge tilfeller: forlat e-posten, åpne tjenesten selv, og sjekk om noe trenger oppmerksomheten din. Du taper høyst noen sekunder.
Beskytter en engangsadresse meg mot phishing?
Den reduserer eksponeringen. Phishing rettet mot den adressen havner i en innboks som ikke er knyttet til de ekte kontoene dine, og slettes etter omtrent et døgn. Den gjør ingenting for e-post som når hovedinnboksen din, så kontrollene ovenfor gjelder fortsatt der.