Et dyk ned i Phishing-as-a-Service

Kriminelle finder hele tiden på nye, opfindsomme måder at afdække huller og stjæle vores følsomme data på. "Phishing-as-a-Service" (PhaaS) er en af de teknikker, der har vundet popularitet blandt cyberkriminelle i de senere år.

Denne luskede form for cyberkriminalitet gør det lettere end nogensinde for cyberkriminelle at ramme mennesker og organisationer, fordi den blander kunsten ved phishing med det praktiske ved en abonnementsbaseret model. Vi vil diskutere Phishing-as-a-Service og se på, hvad det er, hvordan det fungerer, hvad det indebærer, og hvordan du beskytter dig selv og din virksomhed mod at blive det næste offer for denne voksende trussel.

Vi har allerede set på MaaS - men nu er det på tide at se nærmere på dens slægtning.

Et indblik i Phishing-as-a-Service

For det første er phishing en hackingmetode, der skaber overbevisende e-mails, annoncer og telefonopkald, hvor en ondsindet aktør efterligner legitime virksomheder eller personer. Når vi ser en troværdig organisation eller person tage kontakt til os og bede om loginoplysninger eller andre følsomme oplysninger, sætter vi normalt ikke spørgsmålstegn ved deres legitimitet - det er desværre noget, hackere har fundet ud af at udnytte. Og nu har de gjort det endnu lettere at udføre hackingangreb med Phishing-as-a-Service.

Phishing-as-a-Service er en sofistikeret forretningsmodel, der giver kriminelle et helt sæt værktøjer til at udføre phishing-angreb. Det giver i bund og grund angriberne alt det udstyr, de ressourcer og den infrastruktur, der kræves for at udføre phishing-angreb i stor skala. Selv kriminelle, der ikke har stor teknisk kunnen, kan udføre cyberangreb takket være denne form for service, som opererer på the dark web og er tilgængelig til at leje eller købe på hjemmesiden.

Sådan fungerer PhaaS

Phishing-as-a-Service-udbydere præsenterer et udvalg af tilbud, som hver især er skræddersyet til kundens behov. Disse tilbud og pakker kan bestå af e-mailskabeloner, falske hjemmesider, webhosting, domæneregistreringstjenester og endda analysesoftware til at overvåge angrebets effektivitet.

Kriminelle kan skræddersy deres phishing-angreb, så de specifikt er rettet mod bestemte personer, virksomheder eller sektorer. Da phishing-e-mails og -websites er lavet til at ligne pålidelige kilder, bliver sandsynligheden for succes for hackerne endnu større.

PhaaS-udbydere tilbyder infrastrukturen hackere bruger til at sende phishing-mails ud. Infrastrukturen kan være botnets, kompromitterede servere eller adgang til pålidelige e-mailtjenester. Denne infrastruktur hjælper den kriminelle med at komme forbi sikkerhedsforanstaltninger - dette kan den ved bl.a. at være overbevisende og virke troværdig. Det er noget af det vi falder for.

Phishing-as-a-Service's hovedkomponent er automatisering. Hele processen, fra afsendelse af phishingmails til indhentning af stjålne data, kan automatiseres af cyberkriminelle med PhaaS. Denne automatisering gør det muligt for hackerne at målrette et stort antal ofre, fordi den kriminelle ikke skal gøre særlig meget arbejde - og teknologien gør det nemt og muligt for dem at gøre det. På den måde skiller PhaaS sig mere ud fra de "klassiske" phishing-angreb.

Hvordan Phishing-as-a-Service kan påvirke dig

Phishing-as-a-Service kan have store konsekvenser for både virksomheder og enkeltpersoner. Nedenfor har vi listet nogle af de mest udbredte trusler, vi står over for.

• PhaaS gør det meget lettere for cyberkriminelle at komme ind i vores software, hvilket fører til en forøgelse i phishing-forsøg. Det bliver derfor ret svært for sikkerhedseksperter at holde trit med den stigende mængde af cybertrusler.

• PhaaS-udbydere tilbyder ofte avancerede phishing-skabeloner og infrastruktur, som gør angrebene sværere at identificere. Ofrene er mere tilbøjelige til at blive ofre for disse veludviklede svindelnumre end andre.

• Ved hjælp af PhaaS kan hackere ramme en lang række mennesker og virksomheder, fra små startups til store virksomheder. Ingen er i sikkerhed for denne fare.

• Hvis et phishing-forsøg lykkes, kan det forårsage databrud, der offentliggør private data som finansielle oplysninger, intellektuel ejendom og loginoplysninger. Et databrud kan have dyre og store konsekvenser for alle, der er involveret.

• Virksomheder, der er ofre for phishing-angreb, kan opleve stor skade på deres omdømme. Et angreb kan ydermere mindske kunders tillid til en virksomhed, hvilket kan være meget svært at genvinde, når man først har været offer for et brud.

• Phishing-svindel kan resultere i betydelige økonomiske tab - det kan både være på grund af svindel, det der bliver stjålet i svindlen og de midler, en virksomhed skal bruge til at komme sig efter cyberangrebet.

• Hvis virksomheder ikke beskytter kundedata tilstrækkeligt, kan de blive udsat for juridiske og lovgivningsmæssige konsekvenser. Det er derfor vigtigt at overholde databeskyttelsesreglerne for at undgå disse konsekvenser.

Beskyttelse mod Phishing-as-a-Service

Selvom truslen fra Phishing-as-a-Service er uundgåeligt, er der foranstaltninger, som brugere og virksomheder kan træffe for at beskytte sig mod denne cybertrussel:

• Regelmæssig awareness-træning vil hjælpe medarbejderne med at være på vagt, når de er online. Det lærer dem desuden at spotte ondsindede aktiviteter og e-mails, de (højst sandsynligt) vil modtage. Træning kan således hjælpe folk med at genkende tegnene på phishing-mails og undgå at blive ofre for dem. Medarbejderne vil også blive opmærksomme på deres onlineaktiviteter, og hvilke hjemmesider der er sikre at tilgå. Her kan medarbejderne bl.a. kontrollere ægtheden af hjemmesider (ved f.eks. at kontrollere domænet, HTTPS og URL'en).

• Implementér gode og velkendte e-mail-filtreringsløsninger, der kan opdage og slette phishing-mails, før de når din indbakke.

• Ved at bruge MFA gør du livet meget sværere for hackere. Det tilføjer et ekstra lag af sikkerhed, så de cyberkriminelle ikke kun har brug for dine loginoplysninger til den specifikke hjemmeside, men også f.eks. biometriske data eller adgang til en MFA-app.

• Hold software, operativsystemer og antivirusprogrammer opdaterede for at minimere sårbarheder, som cyberkriminelle kan udnytte - de bruger fejl i software og huller i softwaresikkerheden til at få adgang til din software.

• Udarbejd en beredskabsplan, så du ved, hvordan du skal reagere i tilfælde af et databrud eller phishing-angreb. Denne plan vil skitsere de relevante skridt, du skal tage for at minimere skaden og datatabet.

• Endelig bør du sikre dig, at din virksomhed overholder alle regler og databeskyttelseslove. På den måde undgår du eventuelle juridiske følger, hvis du skulle blive offer for et databrud.

Husk din cybersikkerhed

Phishing-as-a-Service er endnu en cybertrussel, vi bør være forsigtige med. Det fjerner de tidligere begrænsninger, som cyberkriminalitet havde - ved kun at være for de teknisk dygtige hackere. Nu kan enhver person, der ønsker at skade andre online, finde og købe en PhaaS-model. Derfor skal vi være årvågne og ekstra forsigtige, når vi er online. Vi vil undgå at blive det næste offer for databrud.

Hackere ved, at mennesker er det nemmeste mål, så mange kriminelle vil bruge phishing og social engineering til at tjene penge og udnytte følsomme personoplysninger. Så awareness-træning er et nøgleelement for at forhindre dig og din virksomhed i at komme ind på hackernes radar.