Fang den falske faktura

Man får ofte tilsendt diverse fakturaer, der skal betales. Dette kan være alt mellem en telefonregning eller husleje - men man skal altså lige tjekke fakturaerne en ekstra gang, inden man indbetaler til dem. Her går vi i dybden med de falske faktura, og hvordan det kan lade sig gøre.

Den snedige invoice-phishing

Invoice-phishing - eller faktura-phishing - er en type phishing, hvor en hacker sender falske invoice ud til folk, hvor de derefter falder i fælden og indbetaler den - og de penge ryger lige ned i en hackerens lomme. Det er en effektiv måde, for hackere at tjene penge på, da det ikke er nemt at spotte en forfalsket invoice.

Hackere kan endda få fingre i dine penge og dine personoplysninger, som altså giver adgang til både dine bankkonti og sundhedsoplysninger. De kan også nemmere hacke sig ind i din computer, hvis de får fat i dine personoplysninger - og de kan ydermere få fat i alle dine dokumenter, du har liggende, som både kan være privat og arbejdsrelateret.

Ofte vil en hacker udgive sig for at være en anden eller et firma, som man ofte vil have tiltro til. Hackere vil typisk udgive sig for at være en netudbyder, som man er mere tilbøjelig til at stole på, fordi de udbyder forskelligt software, som sikrer bedre sikkerhed på computeren.

Det kan også være fysiske produkter, som en hacker sender en invoice på - så længe de får fat i dine kortoplysninger, personoplysninger og penge, så har hackeren gjort et succesfuldt arbejde. Derfor skal man netop være mere påpasselig (end man måske normalt er), når det kommer til indbetalingen af fakturaer og invoices.

Gemt af en legitim udbyder

Hackere er blevet så dygtige til deres svindel, så det er ikke kun suspekte banknavne og -konti, man skal være opmærksom på. Beskeder, der ser legitime ud, bliver ofte også omdirigeret til legitime betalingssider som PayPal - men det er her, man skal være opmærksom. For selvom man bliver ført til en legitim hjemmeside, skal man altså holde øje med navnet, der står på modtagelsen af pengene.

Hackeren kan gemme sit domæne ved hjælp af spoofing (hvor de er forklædt som en legitim person eller virksomhed), og altså narre brugeren, de har sendt den falske faktura til. Man er typisk ikke så mistænkelig over en faktura, hvis den kommer fra en velkendt kilde. Her vil man typisk ikke tænke yderligere over fakturaen og bare indbetale pengene, og få den ud af verden.

Men i dette tilfælde skal man stoppe op og tænke sig om en ekstra gang. Først og fremmest skal man overveje, om det er en ydelse du abonnerer på, og om du rent faktisk har købt det, som fakturaen påstår, du har købt.

Dernæst skal man overveje, om man har ydelser tilmeldt ordninger som betalingsservice - hvis du har, sker al bankoverførsel automatisk, og du vil derfor ikke modtage en faktura, du skal betale.

Hvis man skulle opleve - og opdage - at en svindler udgiver sig for at være en virksomhed, skal man oplyse virksomheden om, at deres navn bliver brugt og udnyttet til phishing. De skal nemlig udføre en dybdegående efterforskning på spoofingen, de bliver udnyttet i. Så husk at sende eksempler af fakturaerne med, når du giver virksomheden besked.

Når virksomheder bliver ramt af invoice-phishing

Én ting er, når privatpersoner bliver ramt af invoice-phishing. Her er det mindre beløb der bliver opkrævet, så man ikke vil sætte spørgsmålstegn ved fakturaen, man modtager.

Det er noget andet med virksomheder. Når en person i regnskab, eller hvilken som helst afdeling, modtager en faktura, vil fakturaen typisk være på højere beløb, end hvad vi som privatpersoner vil modtage. Man vil ofte ikke undre sig, hvis ens virksomhed modtager en større regning, fordi det netop er mere omkostningsrigt at indkøbe for en virksomhed, end for privatpersoner.

Når virksomheder handler med andre virksomheder, er det altså lettere for en hacker at spore sig ind på hvilke firmaer, de kan imitere. Dette forøger hackerens chancer for at overbevise en virksomhed om, at virksomheden, som hackeren imiterer, er en legitim afsender.

Hackere kan bruge overbevisende domæner, der altså skal narre modtageren til at tro, at det er en rigtig mailadresse, mailen kommer fra. Man kan også komme ud for, at der sidder en mindre erfaren medarbejder (såsom en praktikant, nystartet ansat el.lign.), der modtager fakturaen. Her kan hackeren være heldig, og ved at bruge de klassiske phishing-metoder som social engineering, kan de overbevise medarbejderen om, at den falske regningen skal betales.

Den klassiske metode, der bliver brugt ved phishing

En af de elementer, en hacker ofte vil tilføje til en phishingmail, er enten et link eller en vedhæftet fil, man kan downloade. Det er gennem links og vedhæftede filer, at en hacker kan få adgang til computere og software - og dermed bankoplysninger og andre personoplysninger.

Problemet med de fleste fakturaer er, at de typisk består af en standardiseret tekst med en vedhæftet fil, hvori detaljerne om fakturaen er. Derfor vil de fleste mennesker rent logisk åbne den vedhæftede fil, for at læse nærmere om hvad der skal betales.

Men det er på denne måde, at hackere installerer malware på din enhed, og dermed kan tilgå al indhold på din computer.

Derfor er det også en god idé, som allerede nævnt, at stille sig kritisk ift. de fakturaer man modtager, og huske følgende:

• Forventede jeg at modtage denne faktura? Det er altid fornuftigt lige at tænke en ekstra gang over de fakturaer man modtager, så man undgår at falde i hackerens fælde.
• Spørg altid, hvis du skulle være i tvivl. Dette gælder mange tilfælde, men også hvis du modtager en faktura, du ikke er sikker på skal betales.
• Send den ikke videre. Selvom det er det letteste at gøre, når man modtager en faktura, også hvis man er i tvivl om den, så er det i disse tilfælde at man nedbryder sikkerhedsnettet og giver hackeren bedre adgang til andres emails.
• Hvad er vedhæftet? Man skal være påpasselig med at trykke på links og vedhæftede filer, hvis ikke man er helt sikker på, hvad de fører dig til. Som en tommelfingerregel, skal man holde musen over linket uden at trykke, for at se hjemmesiden, der er linket til. Så kan man ofte se, om det er en legitim side eller ej.
• Domænenavne kan snyde. Det er godt at huske, at hackere bliver dygtigere til at imitere legitime afsendere - derfor skal man overveje en afsenders legitimitet, når man modtager mails fra dem.