Sådan beskytter du dig mod phishing-angreb

Hvad er phishing?

Phishing er et social engineering-angreb, hvor en angriber opretter en overbevisende kopi af et legitimt websted — ofte til perfektion — og narrer et offer til at indtaste loginoplysninger der. I det øjeblik offeret indsender formularen, fanger angriberen brugernavn, adgangskode og eventuelle sekundære faktorer og bruger dem til at overtage den rigtige konto inden for sekunder.

Ordet stammer fra metaforen om at "fiske" efter ofre med lokkemad (normalt en e-mail). Stavemåden ændrede sig for at understrege, at angribere ofte bruger phone-numre (SMS-phishing eller "smishing") og professionelt udseende infrastruktur.

Hvorfor phishing stadig er den #1 trussel

De fleste store kontobrud i dag involverer ikke hacking, crackning af adgangskoder eller omgåelse af kryptering. De involverer et menneske, der taster en adgangskode ind på et falsk websted. Phishing er:

• Billigt — en angriber kan sende millioner af e-mails for prisen af en VPS og et spoofet domæne
• Svært at filtrere — moderne kits roterer domæner, bruger legitim hosting og tilpasser sig filtre i realtid
• Effektivt — selv sikkerhedsbevidste brugere falder for vellavet, målrettet phishing (spear phishing)
• Skalerbart — et enkelt vellykket phishing-angreb giver ofte adgang til snesevis af tilknyttede tjenester via genbrug af adgangskoder

2024 Verizon Data Breach Investigations Report viste, at phishing var den indledende adgangsvektor i over 36 % af alle brud — mere end nogen anden enkelt årsag.

Sådan fungerer moderne phishing

Phishing har udviklet sig langt ud over "nigeriansk prins"-e-mailene fra 2000'erne. Et moderne phishing-angreb indeholder typisk:

1. En overbevisende lokke

Normalt en e-mail, SMS eller chatbesked, der skaber hastighed ("Din konto bliver suspenderet"), autoritet ("Microsofts sikkerhedsteam") eller nysgerrighed ("Nogen har tagget dig på et foto"). Spear phishing går videre med personlige oplysninger hentet fra LinkedIn, bruddata eller tidligere korrespondance.

2. Et pixel-perfekt falsk websted

Angribere bruger hyldeste phishing-kits, der kloner målwebstedets HTML, CSS og JavaScript. Mange kits sælges som en tjeneste (phishing-as-a-service) med fungerende dashboards og kundesupport.

3. En realtidsproxy til 2FA

Den farlige del: moderne kits fanger ikke blot din adgangskode. De fungerer som en man-in-the-middle-proxy, der videresender alt, hvad du taster — herunder din TOTP-kode — til det rigtige websted inden for sekunder og omgår dermed de fleste 2FA-metoder. Denne teknik kaldes adversary-in-the-middle (AiTM) og bruges i værktøjer som Evilginx2 og Modlishka.

4. Tyveri af sessionstokens

Når du autentificerer dig via proxyen, fanger angriberen din sessionscookie og kan bruge den til at forblive logget ind, selv efter du har skiftet adgangskode. Det er derfor, at reaktion på phishing altid inkluderer tilbagekaldelse af aktive sessioner — ikke blot rotation af adgangskoden.

Hvad der faktisk stopper phishing

Hardware-sikkerhedsnøgler (FIDO2 / WebAuthn)

Dette er den eneste kategori af forsvar, der er phishing-sikkert af design. Når du logger ind med en FIDO2-nøgle, verificerer nøglen kryptografisk det præcise domæne for det websted, der anmoder om godkendelse. Et falsk websted — uanset hvor visuelt perfekt det er — har et andet domæne, så nøglen nægter at svare. Det kryptografiske håndtryk gennemføres simpelthen ikke.

Google pålagde berømt alle 85.000+ medarbejdere at bruge YubiKeys i 2017 og rapporterede nul vellykkede phishing-angreb på virksomhedens konti i de efterfølgende år.

Passkeys (adgangsnøgler)

Passkeys er den forbrugervenlinge videreudvikling af FIDO2. De bruger den samme domænebundne kryptografi og er indbygget i iOS, Android, macOS og Windows. Hvis et websted, du bruger, understøtter passkeys, gør aktivering af én den konto phishing-sikker.

Adgangskodeadministratorer

En adgangskodeadministrator er dit andet forsvarslag, fordi den kun udfylder loginoplysninger automatisk på det præcise domæne, hvor de blev gemt. Hvis du lander på paypaI.com (stort I) i stedet for paypal.com, nægter din administrator stiltiende at udfylde formularen. Den nægtelse er en tydelig advarsel om, at noget er galt.

E-mail- og DNS-filtrering

E-mailudbydere bruger DMARC, SPF og DKIM til at opdage spoofede afsenderadresser. De fleste moderne udbydere fanger de åbenlyse forsøg, men målrettede angreb slipper stadig igennem. Aktiver "Rapportér phishing"-knapper i din e-mailklient, så du hjælper filtrene med at forbedre sig.

Advarselstegn at holde øje med

Når du modtager en besked, der beder dig logge ind, verificere eller handle hurtigt:

• Haste-formuleringer og trusler — "Din konto lukkes om 24 timer"
• Generiske hilsener — "Kære kunde" i stedet for dit navn
• Look-alike-domæner — paypaI.com, app1e.com, secure-microsoft-login.net
• Uventede vedhæftede filer — især .zip-, .html- eller .pdf-filer, der beder dig logge ind for at se dem
• Grammatik- eller formateringsfejl — store virksomheder korrekturlæser deres e-mails
• Uoverensstemmelse i links — hold musen over linket og tjek, om destinationen matcher teksten

Hvis noget føles forkert, så luk e-mailen. Naviger til webstedet manuelt. Hvis der er et reelt problem, vil du se det, når du logger ind via din normale arbejdsgang.

Hvad du skal gøre, hvis du er faldet for et angreb

Handl hurtigt — hastighed er afgørende, fordi angribere begynder at bruge loginoplysninger inden for få minutter.

1. Skift adgangskoden straks på en anden enhed (f.eks. din telefon, hvis du faldt for det på din laptop)
2. Tilbagekald alle aktive sessioner i kontoindstillingerne — dette kaster alle ud, der i øjeblikket bruger stjålne sessionstokens
3. Aktiver 2FA, hvis det ikke allerede var slået til, og brug en hardwarenøgle eller passkey, hvis det er muligt
4. Tjek for uautoriseret aktivitet — sendte e-mails, seneste logins, faktureringsændringer, nye videresendelsesregler
5. Underret den berørte institution, hvis det er en finansiel konto eller arbejdskonto
6. Tjek andre konti, der brugte den samme adgangskode — selv hvis du er sikker på, at du ikke genbruger adgangskoder, så tjek alligevel

Konklusionen

Phishing trives, fordi det omgår teknologi og er rettet mod mennesker. De bedste forsvar kombinerer tre lag: adgangskodeadministratorer (nægter at udfylde på forkerte domæner), phishing-resistent 2FA (hardwarenøgler eller passkeys, der er bundet til det rigtige domæne) og sund skepsis (log aldrig ind via et e-mail-link).

Aktiver alle tre på din vigtigste konto — din e-mail — først. Derfra bliver resten af dit digitale liv betydeligt sikrere.