PDF-phishing udnytter tilliden til kendte brands

Hackere udnytter tilliden til PDF’er i ny bølge af phishing-angreb

Cybersikkerhedsfirmaet Cisco Talos har afsløret en ny bølge af phishingangreb, hvor PDF-filer bliver brugt som redskab til at narre modtagere og stjæle følsomme oplysninger. Phishing-kampagnerne bliver stadig mere avancerede, og PDF’er er nu blevet et centralt værktøj i mange af de nyeste angreb. Ved at udnytte den tillid, som mange har til PDF-formatet, lancerer cyberkriminelle overbevisende svindelnumre, hvor de udgiver sig for kendte brands som Microsoft, PayPal og DocuSign.

Disse angreb bygger ikke kun på mistænkelige links eller dårligt formulerede e-mails. I stedet skjuler de deres hensigter bag PDF’er, der ligner legitim forretningskommunikation. Det kan være falske fakturaer, personaledokumenter eller kontoadvarsler, og beskeden fremstår typisk som en helt almindelig vedhæftet fil.

Men bag den tilsyneladende harmløse PDF kan der gemme sig trusler som tyveri af loginoplysninger, malware eller anden alvorlig skade.

Derfor er PDF’er ideelle til phishing

PDF-filer opfattes generelt som sikre og professionelle. De bruges til alt fra kontrakter og kvitteringer til underskrifter og rapporter og fungerer på tværs af enheder. Derfor har både privatpersoner og virksomheder stor tillid til dem.

Netop den tillid gør PDF’er attraktive for cyberkriminelle. Filformatet kan indeholde klikbare links, billeder, logoer og QR-koder, som hackere udnytter til at skjule ondsindede links eller sende brugere videre til falske hjemmesider. I mange tilfælde er selve e-mailen tom, hvilket gør det vanskeligt for sikkerhedssystemer at opdage truslen. Den egentlige fare gemmer sig inde i PDF’en.

Pålidelige brands bliver misbrugt i phishing-kampagner

I perioden maj til juni 2025 registrerede cybersikkerhedsforskere en markant stigning i phishing-kampagner, hvor PDF-vedhæftninger blev brugt til at udgive sig for store og velkendte brands. Microsoft, DocuSign og PayPal var blandt de mest forfalskede, men også navne som Norton, Adobe og Geek Squad blev hyppigt misbrugt.

Kampagnerne benytter sig af forskellige metoder. Nogle PDF’er indeholder falske fakturaer, mens andre udgiver sig for at være officielle HR-beskeder. En udbredt taktik er at indsætte en QR-kode, der fører brugeren til en falsk login-side designet til at opsnappe følsomme oplysninger. Andre angreb inkluderer et falsk kundeservicenummer, som lokker modtageren til at ringe til en svindler.

Fælles for disse angreb er, at de virker troværdige og skaber en følelse af hast. Beskederne handler ofte om en ubetalt regning, mistænkelig aktivitet på en konto eller en ventende handling. Uanset formen er formålet det samme: at få modtageren til at reagere – ved at scanne, klikke eller ringe.

Stigning i callback-phishing

Mange af disse angreb benytter en metode kaldet 'Telephone-Oriented Attack Delivery' – også kendt som callback-phishing. I stedet for at indsætte et ondsindet link i e-mailen, vedhæfter hackeren en PDF med et telefonnummer. Modtageren opfordres til at ringe for at løse et fiktivt problem eller bekræfte kontooplysninger.

Når offeret ringer, bliver de mødt af en svindler, der udgiver sig for at være fra kundeservice. Ved hjælp af social engineering manipulerer svindleren offeret til at installere fjernadgangssoftware eller videregive følsomme oplysninger. Nogle hackere går endda så langt som at bruge baggrundsstøj, ventemusik og forberedte scripts for at gøre opkaldet troværdigt.

Disse opkald foregår typisk via internetbaserede telefontjenester, hvilket gør det vanskeligt at spore hackerens identitet eller opholdssted. Hvis du er interesseret i at lære mere om, hvordan callback-phishing fungerer, kan du læse vores dybdegående artikel om callback-phishing her.

Skjulte trusler i PDF-dokumenter

Cyberkriminelle udnytter nu også avancerede funktioner i PDF-filer som kommentarer, anmærkninger og formularfelter til at skjule ondsindede links. Disse skjulte elementer kan være svære for sikkerhedsscannere at opdage og gør det muligt at gemme farligt indhold i det skjulte. Nogle hackere indsætter endda to links i samme dokument – ét, der ser troværdigt ud, og ét, der i al ubemærkethed leder til en phishing-side.

Hackerne bruger også støj og forvirring som taktik. De kan fylde dokumentet med irrelevant eller tilfældig tekst for at forvirre detektionssystemer og øge sandsynligheden for, at filen slipper gennem sikkerhedsfiltrene.

Resultatet er en PDF, der fremstår fuldt ud legitim og professionel – selv for erfarne og opmærksomme brugere.

Et eksempel fra den virkelige verden

I en nyere phishing-kampagne lignede en PDF et dokument fra Microsofts HR-afdeling med emnelinjen "Paycheck Increment". Dokumentet indeholdt en QR-kode, som, når den blev scannet, førte brugeren til en falsk Microsoft-loginside designet til at stjæle legitimationsoplysninger.

I et andet tilfælde blev en PDF sendt via Adobes dokumenttjeneste og udgav sig for at være en besked fra DocuSign. Brugeren blev opfordret til at gennemgå og underskrive et dokument, men blev i stedet ledt videre til en phishing-side. Hvis du vil lære mere om, hvordan phishing fungerer, kan du læse vores vores artiklen om phishing her.

Sådan beskytter du dig mod PDF-phishing

Bevidsthed er det første og vigtigste forsvar. Her er nogle tegn på, at en PDF i din indbakke kan være en del af et phishing-angreb:

• E-mailen forsøger at skabe hastværk, frygt eller forvirring

• Afsenderen er ukendt, eller e-mailadressen virker mistænkelig

• E-mailen indeholder en PDF, du ikke har bedt om eller forventet

• PDF’en indeholder en QR-kode eller et kundeservicenummer

Hvis du modtager en besked som denne, så lad være med at handle impulsivt. Bekræft i stedet indholdet gennem virksomhedens officielle hjemmeside eller ved at kontakte en betroet medarbejder.

For virksomheder er det afgørende at bruge stærke e-mailfiltre, tilbyde regelmæssig træning i phishing-awareness og anvende avancerede sikkerhedsværktøjer, der kan analysere indholdet af PDF-filer for skjulte trusler.

Afsluttende tanker

PDF-filer er et af de mest udbredte og betroede filformater — netop derfor bliver de misbrugt af cyberkriminelle. De fungerer ikke længere kun som dokumentbærere, men bliver forvandlet til manipulerende værktøjer, der lokker brugere til at dele følsomme oplysninger, installere skadelig software eller kontakte falske supportnumre.

At forstå mekanismerne bag disse angreb er afgørende for at kunne beskytte sig. Hos Moxso tror vi på, at viden er lige så vigtig som teknologi, når det handler om cybersikkerhed. Med den rette bevidsthed og de rigtige værktøjer kan både privatpersoner og virksomheder stå stærkere mod truslen fra PDF-baseret phishing.