Klikket: hvad nu?

Modul 3: Genkend phishing · Læsetid: 12 minutter

Læringsmål: Efter denne lektion ved du, hvad du gør i de første timer efter et klik, et udfyldt kodeord, udfyldte bankoplysninger eller en åbnet vedhæftning, i den rigtige rækkefølge, og hvordan du anmelder og videresender phishing.
Nøglebegreber: begrænse skaden, skift adgangskode fra en ren enhed, tilbagekald sessioner, ring til banken, anmeld, videresend phishing (for eksempel til politiet og det misbrugte brand)

Det sker for alle

Alle klikker på det forkerte link en gang imellem. Også folk der har taget dette kursus, også IT-folk. En god phishingmail kommer på det forkerte tidspunkt, med den rigtige historie. At skamme sig hjælper ikke, hurtig handling gør. Jo tidligere du griber ind, jo mindre kan angriberen gøre med det, han har fået fat i.

Derfor er det første skridt i enhver virksomhed: anmeld det med det samme, til kollegaen der tager sig af IT, eller til dit IT-firma. Aftal at den der melder et klik, får et tak og ikke en skideballe (mere om det i lektion 9.2). Den der er bange for at blive irettesat, siger ingenting, og så har angriberen dage til at udnytte situationen.

Find først ud af: hvad er der helt præcist sket?

Hvad du skal gøre, afhænger af hvor langt du er gået. Find det ud af først, kort og ærligt.

Kun at klikke er som regel ikke alvorligt: moderne browsere er godt beskyttet. Men et klik kan også starte en download. Er du i tvivl, så behandl det som den alvorligste situation.

Trin for trin i de første timer

1. Anmeld det internt i virksomheden. Med det samme, også hvis du er i tvivl. Fortæl hvad du så, hvornår, og hvad du har udfyldt eller åbnet. Gem beskeden: slet den ikke, du får brug for den til anmeldelsen.

2. Begræns skaden. Har du åbnet en vedhæftning eller givet nogen adgang? Tag enheden af netværket: sluk wifi, tag netværkskablet ud. Sluk den ikke med det samme, for det der ligger i hukommelsen, kan hjælpe ved en undersøgelse (lektion 8.3). Arbejd ikke videre på den enhed.

3. Ring til banken ved penge. Har du udfyldt bankoplysninger eller godkendt en betaling, så ring med det samme til din bank, på nummeret på dit kort eller den officielle hjemmeside. Jo hurtigere, jo større er chancen for at en betaling kan stoppes eller hentes tilbage. En betaling til et falsk kontonummer efter fakturasvindel skal du også straks anmelde til din bank.

4. Skift adgangskode fra en ren enhed. Skift adgangskoden til den konto, du har udfyldt oplysninger på. Gør det på en anden enhed end den, hvor du åbnede vedhæftningen, for der kan et program kigge med. Skriv adressen selv, eller brug dit bogmærke, ikke linket fra beskeden. Har du også brugt samme adgangskode andre steder, skal du skifte den der også (lektion 2.1).

5. Tilbagekald sessioner og gennemgå kontoen. En ny adgangskode smider ikke altid automatisk en angriber ud, der allerede er inde. Log derfor alle andre sessioner ud (lektion 2.5), og tjek hvad han kan have ændret:

• totrinsbekræftelse: er der tilføjet en ukendt app eller et ukendt telefonnummer?
• gendannelsesoplysninger: er gendannelses-e-mailadressen eller telefonnummeret ændret?
• videresendelsesregler og filtre i din mailboks: en angriber opretter gerne en regel, der videresender al mail, eller kun mail med "faktura" i, til sin egen adresse eller straks sletter den. Sådan kan han læse med, selv efter du har skiftet adgangskode;
• sendte elementer: er der sendt mails, du ikke selv har skrevet? Så skal du advare dine kontakter.

6. Anmeld og videresend. Se nedenfor.

7. Vurder om det er et databrud. Kunne angriberen komme ind i en mailboks, et kunderegister eller et andet miljø med personoplysninger? Så er der muligvis tale om et databrud. Ifølge GDPR (databeskyttelsesforordningen) skal du uden unødig forsinkelse, og om muligt inden for 72 timer efter opdagelsen, anmelde et databrud til Datatilsynet, medmindre det sandsynligvis ikke indebærer en risiko for de berørte personer. Dokumentér det under alle omstændigheder i dit register over databrud. Hvordan du vurderer det, lærer du i lektion 8.2.

Anmeld og videresend phishing

Det nytter at anmelde, også selvom der ikke er sket noget. Sådan kan en falsk hjemmeside hurtigere lukkes ned, og andre bliver advaret.

Anmeld svindlen til politiet. Du kan anmelde falske mails med mistænkelige links eller vedhæftninger til politiet via https://politi.dk/. Du kan også finde råd og vejledning hos sikkerdigital.dk (https://sikkerdigital.dk/):

• videresend helst mailen som vedhæftning. Ved almindelig videresendelse går de tekniske oplysninger (headerne fra lektion 3.3) tabt. Kan det ikke lade sig gøre, for eksempel på en telefon, så videresend den bare almindeligt;
• ser mailen ud til at komme fra en bank eller en anden kendt virksomhed, så sæt den virksomheds adresse i cc. Mange virksomheder har en liste med sådanne adresser på deres hjemmeside;
• sms, WhatsApp og andre beskeder skal du ikke sende til den adresse, men anmelde via de relevante kanaler hos politiet eller sikkerdigital.dk. Det gælder også for en mistænkelig mail uden links eller vedhæftninger, og for helpdesksvindel over telefonen.

I mange mailprogrammer hedder det at videresende som vedhæftning "Videresend som vedhæftning" eller noget tilsvarende.

Til det misbrugte brand. Bliver navnet på en bank, et transportfirma eller en leverandør misbrugt, så giv den organisation besked via en kanal, du selv finder frem til på deres rigtige hjemmeside, ikke via beskeden. Mange organisationer har en særlig anmeldelsesadresse til phishing. Drejer det sig om dit eget hostingfirma eller din mailudbyder, så send det også dertil; hos WebOké kan du gøre det med en ticket, med mailen som vedhæftning (Vidensbase 581).

Anmeldelse til politiet. Har du mistet penge, eller er der sket misbrug eller forsøg herpå, så lav en anmeldelse. Rådgivningstjenester som sikkerdigital.dk samler oplysninger og rådgiver, men kan ikke selv efterforske. Det kan kun politiet.

Bagefter kan du slette beskeden og blokere afsenderen.

Kontrol efter en uge

Et angreb er ikke altid overstået efter en dag. Sæt en påmindelse til en uge senere:

• Er der nye loginbeskeder eller ukendte sessioner?
• Er der ukendte betalinger på kontoudtogene?
• Er der nye videresendelsesregler eller filtre i mailboksen?
• Klager kunder eller leverandører over mærkelige mails fra dig? Så bliver din mailboks måske stadig misbrugt til at sende spam (Vidensbase 25).
• Hvad kan vi lære? Var beskeden nem at genkende, og hvad ville have gjort den mere mistænkelig næste gang?

I praksis: sådan ser det ud

Mandag kl. 9:12. Fatima fra Bageriet Example udfylder sin mail-adgangskode på en falsk login-side for "bogføringsprogrammet". Kl. 9:15 ser hun, at adressen var boekhoudpakket.inlog-check.example. Hun melder det til Kees, der tager sig af IT. Kl. 9:20 skifter Kees fra sin egen bærbare adgangskoden til hendes mailboks og logger alle sessioner ud. I webmailen finder han en ny regel: al mail med "faktura" i sendes til en ukendt adresse og slettes derefter. Han fjerner reglen, slår totrinsbekræftelse til og tjekker de sendte elementer: der er ikke sendt noget. Fatima videresender phishingmailen som vedhæftning til politiet. Kees noterer det i hændelsesloggen og undersøger, om angriberen kan have set personoplysninger. Efter en uge gennemgår han reglerne og sessionerne igen.

Hvor disse regler og sessioner findes, varierer efter miljø. Hos WebOké findes videresendelser fra en adresse i Mit WebOké og i DirectAdmin (Forwarders), og en regel kan også ligge i webmailen eller selve mailprogrammet. Hos andre udbydere fungerer det på tilsvarende vis: kig efter videresendelse, forwarders, regler eller filtre.

Opsummering

• Alle klikker forkert en gang imellem. Anmeld det med det samme, uden skam, og aftal at anmeldelser bliver belønnet.
• Find først ud af, hvad der skete: kun klik, adgangskode, kode, bankoplysninger, vedhæftning eller fjernadgang.
• Rækkefølge: anmeld, begræns skaden (af netværket), ring til banken ved penge, skift adgangskode fra en ren enhed, tilbagekald sessioner og gennemgå kontoen (især videresendelsesregler), anmeld og videresend, vurder om det er et databrud.
• Videresend falske mails som vedhæftning til politiet (https://politi.dk/), med det misbrugte brand i cc; sms og chatbeskeder via de relevante kanaler. Ved tab: lav en anmeldelse.
• Tjek igen efter en uge.

Quiz

Opgave

Opgave A3.5: Trinoversigten efter et klik. Du får en situation og en bunke kort med trin. Vælg hvilke trin der er nødvendige, og sæt dem i den rigtige rækkefølge. Programmet retter det og forklarer hvorfor et trin skal komme før eller efter et andet.

Læs videre

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på tilsvarende vis.

• Er denne mail virkelig fra WebOké? Genkend phishing, og brug aktionskoden
• Overtaget mailboks eller spam fra din adresse: sådan rydder du op
• WebOké vejledning 3.6: Se aktive sessioner og log ud
• DirectAdmin vejledning 3.7: Sikre adgangskoder, og hvad du gør ved en lækket adgangskode
• Politiet, anmeld svindel: https://politi.dk/
• Sikker Digital, råd til virksomheder: https://sikkerdigital.dk/
• ENISA om phishing og cybersikkerhed: https://www.enisa.europa.eu/