Vad är phishing/nätfiske?

Phishing/nätfiske samlar in personlig information genom att använda e-post eller olika webbplatser.

Sofistikerad form av cyberattack

Phishing är en form av en cyberattack där vapnet är e-post. Avsändarna är maskerade och målet är att lura e-postmottagaren för att avslöja känslig information eller för att sprida skadlig programvara. Angriparna vill att mottagarna ska tro att meddelandet är något som de vill ha eller behöver som att ladda ner ett dokument, hämta ut varor etc.

Det som utmärker phishing är den form budskapet gestaltar: Angriparen är maskerad till en pålitlig avsändare, ofta en verklig person, eller ett företag som offret anlitat.

Phishing har funnits sedan 1990-talet och är en av de äldsta typerna av cyberattacker. Än idag, är det fortfarande en av de mest utbredda och skadliga attackformen och tekniken blir allt mer sofistikerad. Från och med 2020 är phishing, överlägset, den vanligaste attackformen som utförs av cyberkriminella, FBI:s Internet Crime Complaint Center har registrerat över dubbelt så många incidenter av phishing i jämförelse med andra typer av databrott.

Olika typer av phishing/nätfiske

• E-mail: De flesta phisihing-meddelanden levereras via e-post och är inte anpassade eller riktade till en specifik individ eller ett företag – detta kallas “bulk phishing”. Innehållet varierar mycket beroende på slutmålet för angriparen. Vanliga mål är att efterlikna banker och finansiella tjänster, leverantörer av e -post, molnprodukter och streamingtjänster. Angripare kan använda inloggningsuppgifterna för att direkt stjäla pengar från ett offer, även om offrets konto används som en startpunkt för att utföra andra attacker, såsom stöld av egen information, installation av skadlig kod

• Spear-phishing: Angripare riktar sig direkt till en specifik organisation eller person med ett skräddarsytt phishing e -postmeddelanden. I motsats till “bulk phishing” samlar ofta spear phishing in och använder personlig information om sitt mål för att öka sannolikheten för att attacken lyckas. Spear-phishing riktar sig vanligtvis mot chefer eller de som arbetar på finansavdelningar som har tillgång till organisationens känsliga finansiella data. En studie från 2019 visade att bokförings- och revisionsföretag ofta är mål för spear-phishing på grund av att deras anställdas har tillgång till information som kan vara värdefull för kriminella

• Whaling och CEO-bedräger: Whaling avser phishing-attacker riktade specifikt mot ledande befattningshavare och andra högprofilerade mål. Innehållet kommer sannolikt att vara utformat för att vara av intresse för den person eller roll som är målet – till exempel en stämning eller kundklagomål. VD-bedrägeri är i själva verket motsatsen till whaling; det handlar om att skapa falska e-postmeddelanden som påstås från ledande befattningshavare med avsikt att få andra anställda i en organisation att utföra en specifik åtgärd, vanligtvis koppling av pengar till ett offshore-konto. Även om vd -bedrägerier har en relativt låg framgång, kan kriminella få tillgång till stora summor pengar när deras försök lyckas. Det har förekommit i flera fall av organisationer som förlorar flera miljoner dollar för sådana attacker

• Clone phishing: En typ av phishing-attack, där ett legitimt och tidigare levererat e-postmeddelande som innehåller en bilaga eller länk har nyttjat innehåll och mottagaradress (er) för att skapa ett nästan identiskt eller klonat e-postmeddelande. Bilagan eller länken i e-postmeddelandet ersätts med en skadlig version och skickas sedan från en e-postadress som är falsk men ser ut att komma från den ursprungliga avsändaren. Vanligtvis innebär detta att antingen avsändaren eller mottagaren tidigare har hackats för att den skadliga tredje parten ska få den legitima e-postadressen

• Vishing, voice phishing: Voice Phishing, Vishing, innebär att en telefon (ljud via IP-telefoni) används för att utföra phishing-attacker. Angripare ringer en stor mängd telefonnummer och spelar automatiskt in samtalen – ofta gjorda med “text to speech” – som gör falska påståenden om bedräglig aktivitet på offrets bankkonton eller kreditkort. Telefonnumret som angriparen ringer ifrån är falskt då det verkliga numret från banken syns på offrets display. Offret uppmanas sedan att ringa ett nummer som kontrolleras av angriparna, vilket antingen automatiskt uppmanar dem att ange känslig information för att “motverka” det förmodade bedrägeriet, eller koppla dem till en levande person som kommer att övertala offret att lämna information. Vishing utnyttjar den lägre medvetenheten hos allmänheten om tekniker som uppringning av validerade telefonnummer gällande den automatiserad uppringning, jämfört med motsvarigheterna för phishing och därmed det etablerade förtroendet som många människor har för rösttelefoni

• Smishing: SMS-phishing liknar begreppsmässigt phishing via e -post, förutom att angripare använder meddelande via mobil. Smishing-attacker uppmanar vanligtvis användaren att klicka på en länk, ringa ett telefonnummer eller kontakta en e-postadress från angriparen via SMS. Offret uppmanas sedan att lämna sina privata uppgifter; ofta referenser till andra webbplatser eller tjänster. På grund av mobila webbläsares karaktär kan det hända att webbadresser inte visas fullständigt. detta kan göra det svårare att identifiera en olaglig inloggningssida. Eftersom marknaden för mobiltelefoner är full av smartphones där alla har snabb internetuppkoppling kan en skadlig länk som skickas via SMS ge samma resultat som om den skickas via e-post

• Sidkapning: Sidkapning innebär att man äventyrar legitima webbsidor för att omdirigera användare till en skadlig webbplats eller via skript. En av de enklaste formerna för sidkapning innebär att en webbsida ska ändras så att den innehåller en skadlig inbyggd ram som kan tillåta att ett exploateringssats laddas. Kapning av sidor används ofta i kombination med en watering hole attack mot företagsenheter för att äventyra mål

Skydda dig mot phishing/nätfisk

Företag har idag e-postsäkerhets och antivirusprogram som hjäper företag att identifiera  phishing-attacker som är uppenbara, men inget program kan ge ett skydd som är 100% . Detta ställer höga krav på användaren som måste lära sig att identifiera en phising-attack och se till att de inte blir ett offer. 

• Var alltid uppmärksam när du öppnar ett mejl
• Klicka aldrig på länkar eller öppna filer från en okänd avsändare
• Hur ser mejladressen från avsändaren ut? Är avsändarens mejladress rättstavad?
• Finns det uppenbara stavfel eller grammatiska fel? Detta är en viktig varningssignal som kan påvisa att mejlet har blivit direktöversatt för att kunna attckera flera olika marknader
• Hur är mejlet formulerat? Stämmer formuleringen med hur avsändaren brukar formulera sig? Finns det någon signatur i slutet?
• Kom ihåg, lämna ALDRIG ut användarnamn, koder eller kontouppgifter

Phishing-bedrägerier som blivit historiska:

• En phisihing-attack som gått till historien hände år 2016, då hackare lyckades få Hillary Clinton-kampanjens ordförande John Podesta att klicka på en skadlig url för att ändra lösenordet till hans Gmail. Podesta fick ett mejl med avsändare Gmail (trodde han) som uppmanade honom att ändra sitt lösenord. Han frågade kampanjens helpdesk om han kunde lita på mejlet och fick ja som svar. Podestas misstag ledde till, vad man tror, att ryska hackers fick tillgång till mejlen och månaden innan presidentvalet började WikiLeaks publicera tusentals av Podestas mejl dagligen

• Attacken där intima foton av ett antal kändisar offentliggjordes, misstänktes först vara ett resultat av osäkerhet på Apples iCloud-servrar, men det visade sig i slutändan vara en produkt av ett antal framgångsrika phishing-försök