Hvad er phishing?

Hvad er phishing?

6 minutters læsning. Udgivet den 31-03-2022 under kategorien: phishing.

Phishing er den mest udbredte form for cyberangreb på verdensplan, og 78 % af en række adspurgte danske virksomheder blev i 2021 ramt af phishingangreb (Cybercrime Survey 2021). Du kan både i dit privat- og arbejdsliv blive offer for phishingangreb, så det er vigtigt at vide, hvad phishing er, og hvordan phishingangreb bliver udført.

Phishing som cyberangreb

Phishing er en type af cyberangreb, hvor hackere lokker deres ofre til at opgive personlige oplysninger eller til at give dem adgang til deres computersystem. De personlige oplysninger er som regel navn(e), adresse(r), adgangskoder, kreditkort oplysninger og CPR-numre. Phishing er et social engineering-angreb, da hackere ofte manipulerer deres ofre gennem en række adfærdsændrende teknikker og udnytter ofrenes svækkede dømmekraft.

De fleste phishingangreb består af e-mails (e-mail phishing), der angiveligt kommer fra virksomheder eller offentlige instanser. Det kan være banker, SKAT, streamingtjenester, sociale medier, software udbydere mfl. I e-mailene vil offeret blive lokket til at klikke på et link, der vil lede vedkommende hen på en falsk phishing hjemmeside. Hjemmesiden vil ligne den rigtige virksomheds hjemmeside, og offeret skal her indtaste personlige oplysninger. Linket kan også indeholde malware, som bliver downloadet til offerets computer. Disse e-mails er ikke målrettet bestemte personer og sendes til så mange som muligt.

Typiske eksempler på indhold i phishing-e-mails er:

  • Din konto er blevet spærret
  • Din adgangskode skal opdateres, da den er ved at udløbe
  • Du har vundet en præmie eller fået et gavekort
  • Du skal overføre penge for en faktura
  • Du skal validere din konto- eller login-oplysninger
  • Din pakke kan ikke sendes, eller du har ikke betalt for fragt

Phishingangreb kan både stå alene eller være en del af et større angreb, f.eks. ransomware-angreb eller APT-angreb (avanceret vedvarende trussel).

Konsulentvirksomheden PwC udgiver hvert år en Cybercrime Survey, som er en undersøgelse af danske virksomheders syn på IT-sikkerhed og cyberkriminalitet. I deres undersøgelse fra 2021 medvirkede 402 virksomhedsledere og IT-specialister fra danske virksomheder. 78 % af dem rapporterede, at de var blevet ramt af phishingangreb i løbet af de seneste 12 måneder.

Typer af phishingangreb

Phishingangreb bliver i stigende grad mere og mere avancerede i takt med, at hackere bliver mere professionelle, og deres tekniske kompetencer bliver større. Der findes forskellige typer af phishing, der rammer både privatpersoner og virksomheder.

Pas på, der kommer spyd

Gennem spear phishing kan hackere gå direkte efter specifikke virksomheder eller ansatte. Phishing-e-mailene bliver skræddersyet til de bestemte ofre ved brug af personlige oplysninger. Disse oplysninger kan hentes fra Google eller sociale medier gennem Open Source Intelligence, hvilket er offentlig tilgængelig information. Spear phishing er ofte rettet mod personer, der arbejder i finansielle afdelinger.

Den helt store fangst

Ligesom spear phishing er whaling-angreb målrettet bestemte personer, specifikt højtstående ansatte eller ledere i en virksomhed. Omvendt kan hackere også udgive sig for at være en højtstående ansat i en virksomhed for at lokke ansatte til at opgive fortrolige informationer. Dette kaldes “CEO fraud” eller “direktørsvindel”.

Kloning af dine e-mails

Clone phishing er en type angreb, hvor hackere får adgang til offerets indbakke. Her finder de legitime e-mails med links eller vedhæftede filer, som de skaber en klon af. Klonen efterligner den legitime e-mail fuldstændigt, med undtagelse af linket eller den vedhæftede fil, som erstattes med et falsk link eller en fil, der indeholder malware.

Vishing og smishing

Vishing, eller “voice-phishing”, er en variation af e-mail phishing, der foretages gennem telefonopkald. Ligesom med e-mail phishing udgiver hackere sig for at være en ansat i en virksomhed eller offentlig instans, som har brug for nogle informationer fra offeret for at kunne udføre en bestemt handling. Smishing, eller “SMS-phishing”, minder ligeledes om e-mail phishing, dog bruger hackere SMS’er som medie til at udføre angrebene.

Pop-up phishing

I pop-up phishingangreb anvender hackere pop-up bannere på internetbrowsere eller notifikationsfunktioner på legitime hjemmesider. De installerer malware i bannerne eller notifikationerne, som inficerer offerets computer, når vedkommende klikker på dem.

Phishing på sociale medier

I de seneste år er sociale medier blevet et mere og mere populært sted for hackere at udføre phishingangreb. Når hackere brugere sociale medier kaldes det angler phishing, og det minder om vishing og smishing, da hackere anvender notifikationer eller chatfunktioner til at sende deres falske beskeder.

Hackere (ph)isker efter dine informationer

Du undrer dig måske over, hvorfor phishing staves med “ph-” i stedet for “f-”. Du har i hvert fald aldrig taget på phisketur med din far før. Phishing stammer fra det engelske ord “fishing”, at fiske, da hackere fisker efter dine personlige informationer ved at kaste et digitalt net ud bestående af e-mails, SMS’er, telefonopkald mm. Termen phishing blev opfundet omkring 1996 af amerikanske hackere. Brugen af “ph-” er en reference til nogle af de første hackere i USA, der udførte en tidlig form for hacking kaldet phone freaking, og de blev efterfølgende navngivet “phreaks” (phone freaks).

Sådan undgår du at blive offer for phishing

Selvom hackere bliver bedre og bedre til at skabe overbevisende phishingangreb, er der stadig en række måder, du kan beskytte dig selv eller din arbejdsplads på. Du får her en række huskeregler, du kan skrive dig bag øret og bruge, hver gang du får en e-mail.

Vær altid opmærksom på ukendte afsendere. Hvis du ikke kender afsenderen af en e-mail, er det oftest bedst at undgå at reagere på e-mailen. Hvis du er usikker på, om det er en legitim e-mail, kan du kontakte afsenderen. Dette skal gøres gennem et telefonnummer eller e-mailadresse, du finder gennem en søgemaskine.

Tjek URL’en. Hackere anvender link manipulering for at få links til at se legitime ud. Ofte staver de en virksomheds URL lidt anderledes, f.eks. faceb00k.com eller anvender subdomæner. De kan også ændre den viste linktekst for at skjule det falske link. Ved at holde musen over et link kan du se URL’en og tjekke, om den ser rigtigt ud.

Pas på med at downloade filer fra e-mails. Hvis du ikke forventer at modtage en fil, eller hvis du ikke kender afsenderen af filen, så er det oftest en dårlig idé at downloade den.

Hvilke oplysninger skal du opgive? Hackere kan få phishing-e-mails til at se helt legitime ud, både grafisk og indholdsmæssigt. Det er derfor let at blive snydt. Det er altid vigtigt at læse indholdet ordentligt igennem. Hvis du bliver bedt om fortrolige eller personfølsomme oplysninger er e-mailen ikke fra legitime virksomheder eller offentlige instanser - de vil aldrig bede om den slags oplysninger i en e-mail.

Brug søgemaskiner i stedet for links. Hvis du er i tvivl, om et link er et legitimt link, kan du bruge en søgemaskine til at finde frem til den virksomheds hjemmeside, som linket angiveligt leder dig hen til.

Brug antivirus-programmer. Antivirus-programmer kan scanne vedhæftede filer i e-mails og kan afgøre, om de er sikre.

Forfatter Sofie Meyer

Kort om forfatteren

Sofie Meyer er copywriter og phishing-aficionado her i Moxso. Hun er uddannet cand.mag. i dansk og har gennem sin uddannelse haft en stor interesse for cyberkriminalitet, hvilket resulterede i et specialeprojekt om phishing.

Lignende indlæg