Se for deg et lite trykkeri klokken 18.40 en fredag kveld. En e-post kommer fra papirleverandøren som trykkeriet betaler hver måned, i samme tråd som forrige månedsbestilling. Der står det «Oppdatert faktura vedlagt, vennligst behandle før helgen», og vedlegget heter Invoice_4471.zip. Leverandøren er ekte, og tråden er ekte. Men denne leverandøren har alltid sendt vanlige PDF-er, ingen på trykkeriet ventet en korrigering, og regnskapsfolk i det selskapet skriver sjelden på fredagskvelden.
Det riktige er å la filen være lukket til noen hos leverandøren bekrefter den på et telefonnummer trykkeriet allerede har. Som hovedregel er et vedlegg rimelig trygt når du ventet det, avsenderen holder mål, og filtypen passer til historien. Det fortjener reell mistenksomhet når bare ett av disse svikter, og faren begynner vanligvis når du kjører, pakker ut eller «aktiverer» noe, ikke når du leser meldingen. Det meste av denne artikkelen handler om hvordan du gjør disse tre vurderingene raskt, og hvordan du begrenser skaden når du ikke kan.
Slik går vi gjennom fredagsfakturaen
Eksempelet ovenfor er nyttig fordi de vanlige rådene ikke fungerer på det. «Ikke åpne filer fra fremmede» hjelper ikke når avsenderen er en du betaler. Se derfor på hva som faktisk endret seg. Formatet endret seg, fra PDF til et komprimert arkiv. Tidspunktet endret seg. Meldingen presser på for handling før en helg, når ingen enkelt kan sjekke. Hver av disse kan ha en uskyldig forklaring, men sammen er de nok til å stoppe og verifisere.
Deretter kommer muligheten eieren kanskje ikke tenker på: meldingen kan faktisk ha kommet fra leverandørens egen postkasse. Kriminelle som kommer seg inn på én konto, svarer ofte inne i eksisterende samtaler, fordi en gammel tråd bærer en tillit som en kald melding ikke kan. Dette kalles kapring av tråd. Det betyr at en riktig avsenderadresse og en kjent emnelinje ikke avgjør noe, og det er derfor den siste kontrollen må skje utenfor e-posten.
En fornuftig rekkefølge for eieren ville vært:
- Ikke svar på meldingen for å spørre om den er ekte. Hvis postkassen er kapret, går svaret til den som driver svindelen.
- Finn leverandørens nummer på en gammel papirfaktura, i kontrakten eller i telefonens kontaktliste. Ikke bruk nummeret i e-postsignaturen.
- Still et enkelt spørsmål: «Sendte dere en korrigert faktura i kveld?» Hvis kontoret er stengt, kan fakturaen vente til mandag. En ekte leverandør godtar en mandagsbetaling langt lettere enn en kriminell gjør.
- Hvis leverandøren har en nettportal, logg inn ved å skrive adressen selv og se om fakturaen dukker opp der.
- Hvis svaret er nei, advar leverandøren om at postkassen deres kan være kapret, og rapporter og slett deretter meldingen.
Det samme eksempelet har en stillere variant som ingen skanner ville fanget. Vedlegget kan være en ren, helt vanlig PDF av en fullstendig ekte faktura med én endret detalj: bankkontoen. Ingen skadevare er involvert, og filen er ufarlig for datamaskinen din, men pengene går likevel feil sted. Enhver endring i betalingsopplysninger fortjener den samme telefonsamtalen, uansett filformat.
Hva et skadelig vedlegg prøver å få til
Vedlegg er fortsatt populære blant angripere av en enkel grunn. E-posttjenester kan ikke avvise alle filer, fordi folk må utveksle fakturaer, CV-er, kontrakter og bilder, og mottakeren åpner filen av egen vilje. En skadelig fil sikter vanligvis mot ett av fire utfall, og å vite hvilket et gitt format tillater, er mesteparten av ferdigheten.
- Den kjører kode direkte. Et program eller skript starter når du dobbeltklikker på det, og har de samme rettighetene som deg.
- Den får et annet program til å kjøre kode, ved hjelp av makroer, innebygde objekter eller en feil i programvaren.
- Den sender deg et annet sted. En PDF eller et dokument inneholder bare en knapp som fører til en falsk påloggingsside, så filen kan være ren mens destinasjonen er angrepet.
- Den samler inn det du skriver. Et HTML-vedlegg åpnes i nettleseren som en lokal side som etterligner en påloggingsskjerm og sender passordet ditt til noen andre.
Et JPEG-bilde i et oppdatert visningsprogram kan ikke gjøre noen av de tre første tingene av seg selv. En snarveisfil i Windows kan kjøre en kommandolinje mens den viser ikonet til et dokument. Det gapet mellom formater forklarer tabellen nedenfor.
Filtyper, rangert etter hva de kan gjøre
Vurderingene forutsetter at filen kom fra en ukjent eller uventet avsender. De er et skjønn basert på hva hvert format er i stand til, og sammenhengen kan flytte en fil opp eller ned. Et .xlsm-regneark fra regnskapsføreren din i skattesesongen er normalt. Den samme filen fra en ukjent adresse om en tapt levering er det ikke.
| Endelser | Hva det er | Risiko | Hvorfor |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Windows-programmer og installasjonsprogrammer | Svært høy | De kjører kode med dine rettigheter. En .scr-«skjermsparer» er et vanlig program. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Skript | Svært høy | Windows har innebygde tolker for disse. En fremmed har nesten aldri en god grunn til å sende ett. |
| .lnk | Windows-snarvei | Svært høy | Kan starte en kommando med argumenter bak et harmløst ikon. |
| .iso, .img, .vhd, .vhdx | Diskbilder | Høy | Et dobbeltklikk monterer dem som en stasjon, og de har vært brukt til å pakke inn programmer og snarveier. |
| .docm, .xlsm, .pptm, .xlam | Office-filer med makroer | Høy | «m» betyr at filen kan inneholde VBA-makroer. Lovlig bruk finnes, men er uvanlig fra fremmede. |
| .doc, .xls | Eldre Office-formater | Middels til høy | Kan inneholde makroer uten noe hint i navnet, og har en lang historie med misbruk. |
| .zip, .rar, .7z, .gz, .tar | Arkiver | Avhenger av innholdet | Kan inneholde alt i denne tabellen. Krypterte kan ikke skannes. |
| .html, .htm, .svg | Nettsider og vektorbilder | Middels til høy | Åpnes i en nettleser og kan vise falske påloggingsskjemaer, kjøre skript eller sette sammen en fil på stedet. |
| .one | OneNote-notatbok | Middels til høy | Har vært brukt til å skjule skript bak en falsk «klikk for å vise»-knapp. |
| Portable document | Lav til middels | Stort sett passiv, men kan inneholde lenker, innebygde filer og skript. | |
| .docx, .xlsx, .pptx | Moderne Office-filer | Lav til middels | Kan ikke lagre VBA-makroer, men kan inneholde lenker, eksterne referanser og innebygde objekter. |
| .jpg, .png, .gif, .webp | Rasterbilder | Lav | Passive data. Risikoen er en sjelden feil i visningsprogrammet, som oppdateringer tar for seg. |
| .txt, .csv | Tekst og data | Lav, med ett forbehold | Tekst kan ikke kjøre seg selv, men en CSV åpnet i et regneark kan inneholde formler, så avslå forespørsler om å aktivere eksternt innhold. |
E-postleverandører gjør en del av denne sorteringen for deg. Gmail avviser for eksempel en liste med filtyper som blant annet inneholder .exe, .js, .lnk og .iso, og ser også inni arkiver når den kan. Outlook blokkerer også mange program- og skripttyper. Det er derfor kriminelle foretrekker formater filtrene må slippe gjennom, og derfor et uvanlig innpakningsformat ofte sier mer enn et åpenbart farlig navn.
Hvordan filens virkelige type skjules
Windows skjuler kjente filendelser som standard, noe som gjør at det eldste trikset fortsatt virker. En fil som heter invoice.pdf.exe, vises som invoice.pdf. Slå dette av én gang, så forblir det av. I Windows 11 åpner du Filutforsker og velger Vis, Vis, Filnavnutvidelser. I Windows 10 er det en avkrysningsboks på fanen Vis. På en Mac går du til Finder, Innstillinger, Avansert og krysser av for Vis alle filtyper.
Andre forkledninger krever mer oppmerksomhet. Lange navn fylt ut med mellomrom, som statement.pdf .js, skyver den virkelige endelsen ut av en smal kolonne. Et Unicode-kontrolltegn, høyre-til-venstre-overstyringen (U+202E), kan snu hvordan slutten av et navn vises, slik at en fil som egentlig ender på .exe, kan se ut til å ende på .pdf. Programmer og snarveier kan også ha et hvilket som helst ikon, inkludert et PDF- eller Word-ikon, så et ikon beviser ingenting.
Selve e-posten kan også lyve. Hvert vedlegg kommer med en oppgitt innholdstype som application/pdf, men det er avsenderen som velger den merkelappen. Hva som skjer på enheten din, avhenger av filens virkelige format og endelse. Sjekk derfor kolonnen Type eller filens Egenskaper i Windows, Hent info på en Mac, og detaljvisningen i filbehandleren på en telefon.
Office-dokumenter og de to fargede feltene
Office-filer fortjener en egen del fordi de finnes overalt og har vært misbrukt i flere tiår. En makro er et lite program skrevet i Visual Basic for Applications, lagret inni et dokument, og den kan automatisere nyttig arbeid eller laste ned og starte noe annet. Filformatet gir et delvis hint: .docx og .xlsx kan ikke lagre VBA-makroer, mens .docm og .xlsm kan, og eldre .doc- og .xls-filer kan også det uten å si fra.
Når du åpner en fil fra internett eller en e-post i Office for Windows, møter du vanligvis ett av to felt. Det gule tilhører Beskyttet visning, som åpner dokumentet skrivebeskyttet i en begrenset modus og tilbyr Aktiver redigering. Så lenge du blir i Beskyttet visning, er filen langt mer begrenset i hva den kan gjøre. Du kan lese den, og for et dokument du bare trenger å lese, er det ingen grunn til å forlate den.
Det røde er et sikkerhetsbanner. Microsoft endret Office for Windows, med utrulling som startet i 2022, slik at VBA-makroer i filer fra internett blokkeres som standard i Word, Excel, PowerPoint, Access, Project, Publisher og Visio. Banneret sier at makroer ble blokkert fordi kilden til filen ikke er pålitelig. Ifølge Microsofts dokumentasjon gjelder ikke denne endringen Office på Mac, på Android eller iOS, eller på nett, så ikke anta at det samme skjer overalt.
Blokkeringen avhenger av Mark of the Web, et merke Windows legger til filer som kom fra et upålitelig sted, for eksempel en nettlesernedlasting eller et e-postvedlegg. En person kan fjerne merket ved å krysse av for Opphev blokkering i filens egenskaper, og det gir deg et tydelig varselsignal. Hvis et dokument eller en hjelpsom e-post ber deg høyreklikke på filen, krysse av for Opphev blokkering og åpne den på nytt, blir du ledet forbi beskyttelsen. Lukk den.
Angripere svarte med overtalelse. Et typisk fellesdokument viser en uskarp side og en linje som «Dette dokumentet ble laget i en nyere versjon. Aktiver redigering og innhold for å vise det.» Ingen ekte dokumenter trenger makroer bare for å bli lest. Hvis filen kom fra noen du ikke kan verifisere, regn den meldingen som svaret på spørsmålet ditt om det er trygt.
Kappløpshistorien forklarer noen av de merkelige formatene i tabellen. Diskbilder ble populære delvis fordi filer inni en ISO ikke fikk Mark of the Web, helt til Microsoft rettet det i november 2022 (CVE-2022-41091). Misbruk av OneNote-filer økte deretter, med innebygde skript og snarveier bak falske knapper, og i 2023 kunngjorde Microsoft at OneNote for Microsoft 365 og Office i butikk ville blokkere innebygde filer med farlige endelser. Hver rettelse presser angriperne over til neste innpakning, så et ukjent format fra en fremmed er grunn nok til å pause.
PDF-er, nettsider og bilder
De aller fleste PDF-er er ufarlige, og den realistiske risikoen er sjelden en smart sårbarhet. Langt oftere er det en enkeltsides PDF med en logo og en stor «Se sikkert dokument»-knapp som fører til en falsk påloggingsside. En PDF kan også ha egne innebygde filer, som et visningsprogram kan tilby å åpne, og den kan inneholde JavaScript. PDF-lesere har hatt sikkerhetsfeil gjennom årene, så hold din oppdatert. Å åpne en uventet PDF i den innebygde visningen i en oppdatert nettleser er en rimelig standard, og hvis du bruker Adobe Acrobat Reader og sjelden trenger skripting, kan du fjerne krysset ved Aktiver Acrobat JavaScript under Rediger, Innstillinger, JavaScript. En PDF som bare finnes for å si «dokumentet ditt er klart, klikk her», er en dør og ikke et dokument.
HTML-vedlegg er verre enn de ser ut. Ett åpnes i nettleseren som en lokal side og kan vise en perfekt kopi av en påloggingsskjerm med e-postadressen din allerede utfylt. Siden det aldri sto noen mistenkelig nettadresse i meldingen, kan det hende lenkeskannere i e-posttjenesten din aldri ser en. En HTML-fil kan også bygge en fil inne i nettleseren av kodede data og tilby den som nedlasting, en teknikk som kalles HTML smuggling, og som kan komme forbi filtre som bare inspiserer vedlegg. Intet ekte selskap trenger at du logger inn fra en fil som er vedlagt en e-post. Behandle enhver slik side som phishing, og gå til tjenesten ved å skrive adressen selv.
SVG-filer ser ut som bilder og er definert i XML, noe som betyr at de kan inneholde skript og lenker. I et bildeprogram oppfører de seg som et bilde, mens de i en nettleser kan oppføre seg som en nettside. En uventet SVG fra en fremmed fortjener den samme tvilen som en HTML-fil.
Vanlige JPEG-, PNG-, GIF- og WebP-filer er passive data, og den teoretiske risikoen for en feil i visningsprogrammet er det systemoppdateringer tar for seg. Den praktiske risikoen er en annen: et bilde kan rett og slett være agn, for eksempel et «skjermbilde» av en faktura som ber deg ringe et telefonnummer. Filen er trygg, og instruksjonene i den er det ikke.
Arkiver: vurder innholdet, ikke innpakningen
En ZIP-fil er verken trygg eller farlig. Den er akkurat så trygg som det som er inni. Arkiver passer angripere fordi meldingen bare viser «documents.zip» mens den virkelige filtypen forblir skjult, og fordi et arkiv inni et annet arkiv, eller et mindre vanlig format, kan forvirre enkelte skannere.
Kryptering gir et ekstra problem. Sikkerhetsverktøy for e-post kan ikke se inni et passordbeskyttet arkiv, og derfor er en melding som inneholder et kryptert arkiv og passordet sammen, et klassisk mønster. Tenk på hva denne ordningen oppnår: den gir ingen hemmelighold, siden alle som har e-posten, har passordet, og det eneste den pålitelig gjør, er å blinde skanneren. En ærlig avsender som krypterer en fil, deler vanligvis passordet på en annen måte, for eksempel på telefon eller i en egen chat.
Hvis du har verifisert at arkivet skal finnes og likevel vil se inni:
- Åpne arkivet for å se fillisten uten å pakke ut noe. Filutforsker i Windows og arkivprogrammer som 7-Zip kan vise listen. En Mac pakker vanligvis ut som standard når du dobbeltklikker, så bruk et arkivverktøy der.
- Les hvert navn og hver endelse. En enkelt
.lnk,.js,.exeeller.isoi noe som ble beskrevet som papirarbeid er slutten på saken, så slett arkivet. - Sjekk at innholdet passer til historien. En «PDF-guide» bør være en PDF, ikke en mappe med en snarvei.
- Pakk bare ut den spesifikke filen du trenger, og bruk så de samme kontrollene på den filen.
Kort om å sjekke avsenderen
Filen er halve angrepet, og den troverdige historien rundt den er den andre halvparten. Guiden vår om å oppdage phishing-e-poster går gjennom dette i detalj, så her er kontrollene som betyr mest for vedlegg.
Start med den virkelige adressen, for visningsnavnet kan hvem som helst sette til hva som helst. «Regnskapsavdelingen» kan være billing@example-pay.example. På en datamaskin holder du pekeren over navnet eller klikker på det, og på en telefon trykker du på avsenderlinjen. Se etter domener med tillagte ord, bindestreker eller ombyttede bokstaver («rn» som later som om det er «m»), gratis nettpostadresser som utgir seg for å være et selskaps faktura- eller juridiske avdeling, og et domene som ikke stemmer med nettstedet du allerede kjenner.
Se deretter på hvor et svar ville gått. En melding kan komme fra én adresse og sende svar til en annen. E-postlister og saksbehandlingssystemer, og nyhetsbrev du har abonnert på, gjør dette av og til av vanlige grunner, men en personlig utseende melding om en hastebetaling bør ikke gjøre det.
Den tekniske kontrollen tar ett minutt. I Gmail åpner du trepunktsmenyen og velger Vis original. I Outlook på nett bruker du Vis, Vis meldingskilde. Se etter spf=pass, dkim=pass og dmarc=pass. SPF lister hvilke servere som kan sende for et domene, DKIM er en kryptografisk signatur som viser at domenet godkjente meldingen og at den ikke er endret, og DMARC knytter disse resultatene til det synlige Fra-domenet og forteller mottakere hva de skal gjøre ved feil. Les resultatene bare i én retning. En feil på en melding som utgir seg for å komme fra banken din, er en sterk advarsel. En bestått kontroll gjør ikke en melding trygg, for kriminelle kan registrere et domene som ligner og autentisere det riktig, og en kapret postkasse består alle kontroller.
Da gjenstår spørsmålet ingen header kan svare på: passer dette inn i en ekte samtale? Du bør kunne si at du ventet denne filen fra denne personen om dette emnet, og at den inneholder detaljer du kan verifisere i kontoen din. Press virker mot det. Hastverk, hemmelighold og frykt («rettslige skritt», «ikke fortell det til noen», «kontoen stenges i dag») sammen med en fil er det vanlige mønsteret. Når du er i tvil, kontakt avsenderen med opplysninger du hadde før denne meldingen kom. Hvis fakturaen er ekte, vil den også ligge i kontoen din.
Når du må åpne en fil fra noen nye
Noen ganger er filen hele poenget: CV-en til en jobbsøker, en leverandørs første tilbud, et svar på noe du har lagt ut for salg. Målet er da å se innholdet samtidig som du gir filen så lite makt som mulig. Disse alternativene går fra minst til mest innsats, og de fleste stopper etter det andre eller tredje.
Spør om du i det hele tatt trenger å åpne den. Hvis filen er uventet og historien generisk, koster det lite å slette, siden ekte avsendere følger opp.
Bruk e-posttjenestens forhåndsvisning. Nettposttjenester viser ofte PDF-er, bilder og Office-dokumenter på sine egne servere, så filen vises i stedet for å kjøres på enheten din. Forhåndsvis først, og last bare ned hvis du må. Dette er den mest nyttige enkeltvanen for alle som får filer fra fremmede i jobbsammenheng.
Åpne dokumenter skrivebeskyttet. Å bli i Beskyttet visning, eller åpne filen i en nettbasert kontorpakke, begrenser hva den kan gjøre. La Aktiver redigering og Aktiver innhold være.
Skann den. I Windows kan du høyreklikke på en lagret fil og skanne den med Microsoft Defender, og andre sikkerhetsprodukter tilbyr det samme. For en fil som ikke inneholder noe privat, gir en nettbasert skanner med flere motorer, som VirusTotal, en andre mening. Opplastinger til tjenester av denne typen kan deles med sikkerhetsselskaper og forskere, så last aldri opp kontrakter, ID-er, fakturaer eller noe konfidensielt. Et rent resultat er heller ingen garanti, fordi en ny eller tilpasset fil kanskje ikke oppdages av noe ennå.
Be om et annet format. En ekte søker kan sende CV-en på nytt som en vanlig PDF. En kunde kan lime inn tekst i selve e-posten. Å spørre er gratis, og noen som prøver å levere en bestemt fil, har en tendens til å motsette seg.
Bruk et isolert miljø for alt uvanlig. Windows Sandbox er tilgjengelig i utgavene Pro, Enterprise og Education av Windows, slås på gjennom Slå Windows-funksjoner av eller på, og krever at virtualisering er aktivert. Det gir deg et skrivebord til engangsbruk, og alt inni forkastes når du lukker det. Det har fortsatt nettverkstilgang som standard med mindre du slår det av i en konfigurasjonsfil, så en fil som kjører inni det, kan nå internett, og du bør ikke logge inn på noe derfra. En virtuell maskin eller en ekstra enhet tjener det samme formålet.
En rask test før du dobbeltklikker
Gå gjennom disse når noe føles rart. To eller flere urovekkende svar er nok grunn til å slette meldingen eller verifisere den først.
- Kjenner jeg denne avsenderen, og ventet jeg denne filen nå?
- Stemmer den virkelige adressen og domenet med hvem de utgir seg for å være?
- Er dette filtypen jeg ville ventet for dette emnet?
- Ligger filen i en innpakning, særlig en passordbeskyttet?
- Presser meldingen med hastverk, hemmelighold, betaling eller pålogging?
- Ber dokumentet meg aktivere redigering, innhold eller makroer?
- Kan jeg bekrefte dette gjennom en egen kanal først?
Telefoner og Mac-er er annerledes, ikke immune
Windows-programmer og -skript kjører rett og slett ikke på iOS eller Android, og mobilsystemer begrenser apper strengere enn tradisjonelle datamaskinsystemer gjør. Det fjerner en stor klasse trusler. Men telefoner har sine egne svakheter, og phishing virker minst like godt på en liten skjerm, der fullstendige adresser er skjult og en falsk påloggingsknapp ser ut som alle andre.
På Android er den viktigste filrisikoen APK-en, en apppakke sendt som vedlegg. Den kan bare installeres hvis du har tillatt appen som åpnet den, å installere ukjente apper. Sjekk dette under Innstillinger, Apper, Spesiell apptilgang, Installer ukjente apper, selv om den nøyaktige stien varierer mellom produsenter. Hold det av for e-postappen og nettleseren din, og installer apper bare fra offisielle butikker. På iPhone og iPad bør du se opp for konfigurasjonsprofiler, som kan endre innstillinger som VPN og pålitelige sertifikater. Installerte profiler vises under Innstillinger, Generelt, VPN og enhetsadministrasjon. Ikke installer en fordi en e-post ba deg om det.
E-postapper på telefoner har også en tendens til å skjule avsenderens fullstendige adresse og filendelsen, så du må trykke for å vise dem. Hvis en fil ser viktig ut og du ikke kan lese detaljene den komfortabelt, vent til du sitter ved en større skjerm. Svært få ærlige vedlegg kan ikke vente en time.
Mac-er har sin egen beskyttelse, Gatekeeper, som kontrollerer nedlastede apper før de kjøres første gang og advarer om programvare som ikke er fra en identifisert utvikler. Svindelinstruksjoner ber av og til deg omgå den advarselen ved å åpne filen på en annen måte eller ved å lime inn en kommando i Terminal. Behandle slike instruksjoner akkurat som du ville behandlet «Aktiver innhold» i et Word-dokument. Se opp for .dmg-, .pkg-, .app- og .command-filer fra fremmede, som er Mac-motstykkene til de første radene i tabellen.
Innstillinger som endrer oddsen
Ingen av disse krever spesialverktøy. Å gå gjennom denne listen én gang tar omtrent like lang tid som en kaffepause, og det meste trenger aldri å gjentas.
| Innstilling | Hvor | Hva den hjelper mot |
|---|---|---|
| Vis filnavnutvidelser | Vis-menyen i Filutforsker; Finder, Innstillinger, Avansert | Doble endelser og forkledde filer |
| Automatiske oppdateringer | System- og appbutikkinnstillinger | Kjente feil i visningsprogrammer, nettlesere og Office |
| Sikkerhetsprogramvare slått på | Windows-sikkerhet, eller produktet du har valgt | Kjent skadevare når filer lagres eller åpnes |
| Beskyttet visning og makroblokkering | Office: Fil, Alternativer, Klareringssenter, Innstillinger for klareringssenter (normalt på) | Dokumenter som kjører kode uten at du bestemmer det |
| Blokker installasjon av ukjente apper | Android: Spesiell apptilgang | APK-filer mottatt på e-post |
| Standardkonto uten administratorrettigheter til daglig bruk | Systemets kontoinnstillinger | At skadevare lett får rettigheter på hele systemet |
| Flerfaktorpålogging på viktige kontoer | Sikkerhetssiden til hver konto | Kontokapring etter et stjålet passord |
| En egen adresse til registreringer | En sekundæradresse, et alias eller en midlertidig innboks | At hovedinnboksen din blir et mål |
Vanlige vedlegg og hvordan de som regel går galt
Situasjonene nedenfor er eksempler på mønstre som dukker opp ofte. Det som betyr noe i hver av dem, er gapet mellom hvordan den ekte varen normalt kommer og det du ser på.
| Påstanden | Slik ser den ekte varen ut | Det som bør stoppe deg | Hva du gjør |
|---|---|---|---|
| Faktura fra et selskap du ikke bruker | Du ville hatt en konto eller en bestilling | Ingen relasjon, og ofte et arkiv, en HTML-fil eller et makrodokument | Slett den |
| Faktura fra et selskap du bruker | Synlig i kontoen din, i det vanlige formatet | Nytt format, nye bankopplysninger, merkelig tidspunkt | Logg inn direkte eller ring et kjent nummer |
| «Forhåndsvisning» av delt dokument | En lenke fra delingstjenesten, som åpnes der du allerede er logget inn | En vedlagt HTML-fil med en påloggingsside | Gå til tjenesten selv og se etter delingen |
| CV eller portefølje | En vanlig PDF eller et vanlig dokument | Et arkiv, et makrodokument eller en lenke til et merkelig nedlastingssted | Forhåndsvis den, og be om et vanlig format |
| Talemelding eller faksvarsel | Mange telefonsystemer sender en lydfil som WAV eller MP3 | HTML, et arkiv eller et program | Sjekk portalen til telefonsystemet ditt |
| Hastefil fra «sjefen» din | Vanlige kanaler og vanlig tone | Hemmelighold, hast, en forespørsel om betaling | Bekreft på telefon eller personlig |
| Nytt vedlegg i en gammel tråd | Skrevet med personens egen stemme og om temaet | Generisk «se vedlagt», en filtype de aldri sender | Kontakt dem separat før du åpner |
Raden om jobbsøkeren fortjener et ord til alle som ansetter. Ansettelse er akkurat tilfellet der ukjente mennesker skal sende deg filer, og derfor etterligner angripere det. En publisert regel som sier «bare PDF, ingen arkiver eller lenker» koster ekte søkere ingenting og fjerner det meste av risikoen før noe kommer.
For små team
Hvis du tar deg av e-posten for et team, reduserer noen få kontroller hvor mye som avhenger av én persons skjønn en travel ettermiddag. Sett opp e-posttjenesten til å blokkere høyrisikotyper som programmer og skript helt, og hold passordbeskyttede arkiver utenfra tilbake for gjennomgang. Publiser SPF, DKIM og DMARC for ditt eget domene slik at navnet ditt er vanskeligere å forfalske, og les DMARC-rapportene for å se hvem som sender som deg. Et synlig banner på meldinger fra utenfor organisasjonen hjelper folk å legge merke til når «sjefen» skriver fra et annet sted.
Internt er delte lenker fra en plattform du stoler på bedre enn vedlegg, fordi ethvert vedlegg utenfra da skiller seg ut. Bli enige om en skriftlig regel om at en endring av bankopplysninger alltid bekreftes på telefon, på et nummer som allerede er registrert, uansett hvem som spør eller hvor hastende det virker. Og gi de ansatte en måte å rapportere mistenkelig e-post på med ett klikk, og takk de som bruker den, også de som allerede hadde klikket. Noen som er flau seg til stillhet, gir en inntrenger timer med ekstra tid.
Hvis du allerede åpnet den
Forsiktige folk gjør også denne feilen, vanligvis når de er slitne eller opptatt. De første minuttene teller, og hva du gjør, avhenger av hva som faktisk skjedde.
Du åpnet et bilde eller en PDF i et oppdatert visningsprogram og klikket ikke på noe. Den realistiske risikoen er lav. Kjør en skanning og fortsett, og vær oppmerksom på oppfølgingsmeldinger.
Du kjørte noe, pakket ut noe eller aktiverte makroer. Følg disse trinnene i rekkefølge:
- Lukk filen og slutt å svare på spørsmålene den stiller. Ikke skriv inn noen passord.
- Slå av Wi-Fi eller trekk ut nettverkskabelen. Dette kan hindre skadevare i å hente flere komponenter eller sende data ut.
- På en jobbenhet melder du fra med en gang fra en annen enhet, og du må ikke prøve å rydde opp selv. Tidlige meldinger lar IT eller sikkerhetsfolk begrense problemet før det sprer seg.
- Kjør en full skanning. I Windows-sikkerhet går du til Virus- og trusselbeskyttelse, Skannealternativer, der en Microsoft Defender frakoblet skanning starter datamaskinen på nytt og skanner før Windows lastes.
- Fra en annen, ren enhet bytter du de viktige passordene dine, med e-post først, siden e-post kan tilbakestille alt annet. Ta deretter nettbank og alt du nylig logget inn på på den berørte maskinen.
- Gå gjennom de siste innloggingene, videresendingsreglene, filtrene og tilkoblede appene i e-postkontoen din. Angripere legger av og til til en skjult regel slik at de fortsetter å motta e-posten din etter at du har byttet passord.
- Slå på flerfaktorpålogging, eller bekreft at den fortsatt er på, for kontoene som betyr noe.
Du skrev et passord inn på en side vedlegget åpnet. Regn det passordet som stjålet. Bytt det på det ekte nettstedet ved å skrive adressen selv, og bytt det overalt ellers der du brukte det.
Du skrev inn kortopplysninger. Ring banken eller kortutstederen din på nummeret som er trykt på kortet, og be dem sperre det.
Enheten oppfører seg fortsatt rart. Nye programmer, avslåtte sikkerhetsverktøy og nettleseromdirigeringer er tegn på at en skanning ikke var nok. Gjenoppretting fra en kjent god sikkerhetskopi eller ominstallering av systemet er den pålitelige løsningen, og det er grunnen til at en frakoblet eller versjonert sikkerhetskopi i praksis er en del av vedleggssikkerhet.
Hvor en midlertidig innboks passer, og hvor den ikke gjør det
Alt ovenfor virker etter at en risikabel melding har nådd deg. Personvern for innboksen virker tidligere, ved å begrense hvem som i det hele tatt kan nå den viktige adressen din. Hvert nettsted som har den ekte adressen din, kan lekke den, selge den eller bli hacket. Å redusere den eksponeringen betyr færre ukjente avsendere senere, noe som også gjør det lettere å legge merke til den uventede filen. Artikkelen vår om å organisere den personlige e-posten din forklarer hvordan du deler adresser etter tillitsnivå.
En midlertidig innboks er ett verktøy for det laveste nivået. Hvis du bruker en til en engangsnedlasting eller ett enkelt spørsmål i et forum, der nettstedets vilkår tillater det, lærer ikke den avsenderen hovedadressen din å kjenne. Guiden vår om å registrere seg uten din ekte e-postadresse tar for seg når det er passende, og når en permanent adresse er det riktige valget. Utviklere bruker også midlertidige innbokser for å sjekke at deres egen applikasjon sender vedlegg riktig, uten å fylle en personlig postkasse.
Vær tydelig på grensene. En midlertidig adresse beskytter adressen din, ikke enheten din. Når du har lastet ned en fil, gjelder alle kontrollene i denne artikkelen fullt ut. Midlertidige innbokser er ikke for kontrakter, ID-er, medisinske eller økonomiske dokumenter, og de passer ikke for nettbank, offentlige tjenester eller noen konto du må kunne gjenopprette. Alle som kjenner eller gjetter en adresse, kan åpne den innboksen, så en tilfeldig adresse er det tryggeste valget, og ingenting konfidensielt hører hjemme der.
I VookMail er en adresse klar når siden lastes, uten registrering. Vedlegg fungerer, innenfor størrelsesgrenser, og innboksen viser meldingen og lister filene uten å kjøre noe. Vanlige programfiler som .exe, .bat og .apk avvises, og arkiver som .zip viser en advarsel, som er en nyttig påminnelse om å følge arkivtrinnene ovenfor. Domenene våre mottar e-post gjennom en leverandør av e-postlevering som sender den videre til oss over HTTPS. Meldinger og vedlegg slettes etter omtrent et døgn, så last ned det du trenger med en gang, og ikke bruk innboksen som lagring. Personvernerklæringen og metodesiden forklarer håndteringen mer i detalj.
QR-knappen kan også hjelpe med forsiktighet rundt vedlegg. Den viser adressen din som en kode du kan skanne på en annen enhet, der Ny og den samme adressen og det samme domenet åpner den innboksen, så hvis du heller vil se på en tvilsom fil på en telefon eller en ekstra enhet enn på hoveddatamaskinen, kan du det. En fil du lastet ned med vilje bør fortsatt stemme med det du ble lovet. Hvis et nettsted tilbød en PDF-guide og du fikk en ZIP med en snarvei, slett den.
Feil det er verdt å avlære
- Å videresende en mistenkelig fil til en kollega «for å sjekke». Det sprer risikoen. Bruk organisasjonens rapporteringsvei i stedet.
- Å pakke ut et arkiv for å se hva som er inni, når en liste over innholdet hadde fortalt deg det.
- Å bruke et passord som følger med i samme e-post. Det gir angriperen det de ville ha, en fil skanneren din aldri så.
- Å klikke Aktiver redigering av gammel vane. For et dokument du bare trenger å lese, er det ingenting å vinne.
- Å regne en ren skanning som bevis. Det betyr at ingen skanner kjente igjen filen i dag.
- Å laste opp konfidensielle filer til offentlige skannere, som kan dele private data med tredjeparter.
- Å utsette oppdateringer. Mange vedleggsangrep utnytter feil som allerede er rettet i gjeldende versjoner av Office, PDF-lesere, nettlesere og operativsystemer.
- Å tie etter et uheldig klikk. På en jobbkonto hjelper en times stillhet ingen unntatt angriperen.
Spørsmål som ofte dukker opp
Kan man få virus bare ved å åpne en e-post?
I et oppdatert e-postprogram er det svært usannsynlig at åpning og lesing av en melding smitter en enhet. Faren begynner vanligvis når du åpner eller kjører et vedlegg, aktiverer makroer eller klikker på en lenke. Å laste bilder kan imidlertid fortelle avsenderen at du åpnet meldingen, noe som er et personvernproblem og ikke en infeksjon.
Beskytter antivirus meg mot alle skadelige vedlegg?
Nei. Antivirus og e-postfiltre fanger en stor andel av kjente trusler, men nye eller tilpassede filer kan slippe gjennom, og en falsk påloggingsside kan ikke inneholde noen skadevare i det hele tatt. Skanning er ett lag ved siden av å sjekke avsenderen, å kjenne filtyper, blokkerte makroer og oppdateringer.
Bør jeg stole på et vedlegg fordi det kom fra en venn?
Stol på personen, og sjekk likevel meldingen. Kontoer blir kapret, så en merkelig fil fra en venn med et uvanlig kort notat er verdt en rask tekstmelding for å spørre om vedkommende sendte den.
Er det tryggere å åpne en mistenkelig fil på telefonen?
Det kan det være for Windows-programmer, som ikke kjører der. Det hjelper ikke mot falske påloggingssider, og de er den sannsynligere trusselen i en PDF- eller HTML-fil. En telefon er en annen risiko, og en ekstra enhet eller en sandkasse er det bedre valget når du vil ha reell adskillelse.
Er det trygt å motta vedlegg i en midlertidig innboks?
Å motta dem er det samme som i enhver innboks, siden tjenesten lagrer og viser filen og ikke kjører den. Det som betyr noe, er hva som skjer etter at du har lastet den ned. Bruk de samme kontrollene, og hold alt konfidensielt unna en innboks som andre kan åpne hvis de gjetter adressen.