Vad är phishing och hur kan jag skydda mig?
Phishing, även kallat nätfiske, är enligt MSB den vanligaste metoden som cyberkriminella använder för att komma åt känslig information som exempelvis lösenord, bank- eller kortuppgifter. I den här texten går Voister igenom olika typer av nätfiske och vad du kan göra för att skydda dig och din verksamhet.
Phishing – nätfiske via bluffmejl.
Ordet phishing kommer från engelskans fishing och phreaking (en term för tidiga hackare som manipulerade telefonsystem). Det går ut på att bedragaren skickar ett mejl till ett stort antal mottagare i förhoppning om att några nappar.
Vanligt är att mejlet ser ut att komma från en trovärdig källa, som exempelvis en bank eller annan välkänd organisation. Mejlen innehåller ofta länkar eller bifogade filer som du av olika anledningar ombeds klicka på. Klickar du på en sådan fil eller länk kan din dator bli smittad med ett skadligt program, därigenom kan bedragaren komma åt din känsliga information.
Tips för att undvika phishing:
- Ställ muspekaren över avsändarnamnet för att se om mejladressen stämmer. Ofta lägger bedragare till en bokstav eller siffra i namnet, exempelvis kan det stå Sweedbank istället för Swedbank eller Micr0soft istället för Microsoft.
- Klicka inte på länkar eller filer som du inte förväntat dig att få.
- Nyttja aldrig e-legitimation som exempelvis Bankid om du råkat klicka på en misstänkt länk. Lämna heller inte ut personlig information som lösenord, koder eller kortuppgifter.
Vishing – bedrägeri via bluffsamtal.
Ordet vishing är en sammanslagning av orden voice och phishing. Även här försöker bedragaren lura dig genom att utge sig för att vara en respekterad källa, exempelvis en bank, myndighet eller polis, men med skillnaden att bedrägeriet sker via telefonsamtal.
Initialt försöker bedragaren på olika sätt övertyga dig om att hen är trovärdig. Ofta handlar samtalen om något som har gått fel, exempelvis gällande korttransaktioner, överföringar eller dylikt. Detta för att du ska bli stressad, agera snabbt och ta dåliga beslut.
Tips för att undvika vishing/röstfiske:
- Svara inte när okända nummer ringer. Kontakta avsändaren själv, på numret som finns på deras webbplats, för att höra om det verkligen är de som har ringt.
- Om du svarat: Ställ frågor för att se om du får trovärdiga svar.
- Lägg på direkt om du tycker att samtalet är konstigt eller obehagligt.
Smishing – bedrägeri via bluff-sms.
Smishing är en kombination av orden sms och phishing, som går ut på att skicka falska textmeddelanden. Målet här är samma som för övrigt nätfiske – att få människor att avslöja exempelvis personlig information, bankuppgifter eller att klicka på skadliga länkar.
Även här är det vanligt att bedragare skapar meddelanden som ser ut att komma från pålitliga källor, som en bank eller annan känd verksamhet. På så sätt övertygas du att agera omedelbart. Sms:en kan innehålla alltifrån lockande erbjudanden till falska nödsituationer eller varningar om påstådda problem med ditt konto. Länkar till skadliga webbplatser inkluderas ofta i meddelandet, där du efter att ha klickat laddar ned skadlig programvara eller landar på en bluffsida som ber om dina inloggningsuppgifter eller annan information.
Tips för att undvika smishing:
- Var försiktig om du får ett sms från någon du inte förväntade dig att höra ifrån. Undvik att svara direkt.
- Titta igenom webbadressen innan du klickar på länkar i sms. Långa (eller på annat sätt misstänkta) webbadresser, kan vara tecken på bedrägeri.
- Dela aldrig känslig information via sms. Banker kommer aldrig be dig skicka känslig information som lösenord eller kortnummer via sms. Använd heller aldrig Bankid på uppmaning av någon.
Spear phishing – riktat nätfiske mot specifik person.
Spear phishing anspelar på spjutfiske och är ett tillvägagångssätt där bedragaren skräddarsyr ett mejl för att lura en specifik person. Här gör bedragaren research om sitt offer för att få meddelandet att verka aktuellt och realistiskt, vilket ska minska risken att personen förstår att det är ett bedrägeri. Ofta utger sig angriparen för att vara en kollega, en chef, tjänsteleverantör eller dylikt.
Angriparna väljer sina offer noggrant och siktar ofta in sig på någon med ett tydligt mandat, maktposition eller åtkomst till värdefull information. Exempelvis kan det handla om en vd eller CFO som har befogenhet att godkänna stora betalningar, it-personal som har access till hela verksamhetens system eller politiker med tillgång till skyddsvärda uppgifter.
Tips för att undvika spear phishing:
- På samma sätt som vid “vanlig” phishing är det viktigt att dubbelkolla avsändaradressen på mejlet.
- Tänk ett steg till: Skulle min chef/kollega/leverantör verkligen be mig om detta via mejl?
- Se över formuleringar. Även om mejlet ser ut att komma från en för dig känd avsändare behöver du vara uppmärksam på hur mejlet är skrivet. Om avsändaren ber dig om en stor tjänst eller formulerar sig på ett annorlunda sätt kan du ringa personen och bekräfta att mejlet kommer från rätt person.
Detta var en genomgång av de fyra vanligaste formerna av nätfiske. Utöver dessa finns ett gäng andra, mer nischade varianter. Här är några av dessa:
Quishing.
Offret skannar en manipulerad QR-kod som ofta leder till en fejkad webbplats som efterliknar en genuin sådan. Väl på bluff-webbplatsen kan bedragaren fiska efter din information eller försöka få dig att använda någon typ av säkerhetslösning.
Clone phishing.
Angriparen kopierar ett autentiskt mejl som offret fått tidigare, men byter ut länkar eller bilagor mot falska sådana.
Deepfake phishing.
Bedragaren använder AI-genererad röst eller video för att imitera exempelvis en chef eller kollega. I och med utvecklingen inom generativ AI har detta blivit ett växande problem för företag.
Search engine phishing.
Detta kallas även SEO poisoning och går ut på att bedragare sökmotoroptimerar falska webbplatser för att hamna högt i Google-sökningar. Därmed luras användare att klicka på dem.
Whaling.
Detta är en typ av spear phishing som specifikt riktar sig mot beslutsfattare, exempelvis en vd. Syftet är att lura offret att överföra en stor summa pengar eller konfidentiell information. Bedragaren samlar information från offentliga källor om den utvalda chefen och företaget, och tar sedan kontakt – ofta via mejl eller sms.
Läs mer om ämnet: