Phishing via sms, chat, telefon og QR

Modul 3: Genkend phishing · Læsetid: 12 minutter

Læringsmål: Efter denne lektion kan du genkende phishing uden for e-mail: via sms og chat-apps, i telefonen (også med en efterlignet stemme), via QR-koder og via en lavine af loginbekræftelser, og du ved hvordan du tjekker det for hver kanal.
Nøglebegreber: smishing, ven-i-nød-svindel, vishing, spoofing af numre, falsk helpdesk, stemmekloning, quishing, MFA-bombardement

Hvorfor andre kanaler virker så godt

Alt fra lektion 3.1 gælder også her: hastværk, autoritet, frygt, nysgerrighed og belønning. Men uden for e-mail virker tricksene ofte endnu bedre:

• På telefonen læser du hurtigt. Skærmen er lille, adresser bliver afkortet, og du sidder ofte midt i noget andet.
• Der er mindre teknik, der hjælper. En mailserver kontrollerer SPF, DKIM og DMARC og har et spamfilter. For sms, chat og telefon er det der i meget mindre grad.
• Det føles mere personligt. En besked i en chat-app eller en stemme i telefonen vækker mere tillid end en mail.
• Det foregår live. En opkalder kan spørge videre, lægge pres på og guide dig trin for trin.

Reaktionen er den samme: stop, tjek via din egen vej, spørg. Det der er forskelligt per kanal, er hvordan den kontrol ser ud.

Sms og chat: smishing og ven-i-nød

Smishing er phishing via sms. Svindlere udgiver sig for at være en organisation, hvorfra du kunne forvente en sms: et transportfirma, banken, en offentlig myndighed, dit energiselskab. Ifølge det hollandske NCSC sker det samme via chat-apps som WhatsApp og Telegram.

Et typisk eksempel:

Kurertjeneste: din pakke kunne ikke leveres på grund af ufuldstændig adresse. Planlæg en ny levering: https://koeriersdienst.track-nl.example/z8K

Læs linket som i lektion 3.2: det registrerbare domæne er track-nl.example og altså ikke koeriersdienst.example fra transportfirmaet. På en telefon er det ekstra besværligt, fordi du kun ser begyndelsen. Hold fingeren nede på et link for at se hele adressen, eller lad være med at åbne det og gå selv til transportfirmaets app eller side.

Afsendernummeret eller afsendernavnet siger ingenting. Sms-afsendere og telefonnumre kan forfalskes (spoofing). En falsk besked kan derfor dukke op i den samme sms-tråd som rigtige beskeder fra den afsender. Også et kendt navn over en besked er altså ikke noget bevis.

Ven-i-nød-svindel foregår via chat-apps:

Hej, det her er mit nye nummer, min telefon er gået i stykker. Kan du lige betale noget for mig? Jeg betaler dig tilbage i morgen. Det skal være i dag.

I en virksomhed opstår det samme trick som en besked fra "direktøren" eller "en kollega" med et nyt nummer, som hurtigt ønsker en betaling eller gavekort. Tjek: ring eller skriv til personen på det gamle, kendte nummer, eller stil et spørgsmål som kun den rigtige person kan svare på.

Telefonen: vishing, falsk helpdesk og stemmekloning

Vishing (voice phishing) er phishing over telefonen. Tre former er meget almindelige.

Bankmedarbejderen. Nogen ringer på vegne af banken eller "svindelafdelingen": der er mistænkelige betalinger, dine penge skal gøres "sikre", eller du skal oplyse en kode eller godkende en betaling i din bank-app. På din skærm står der nogle gange endda det rigtige nummer til banken. Også det kan være spoofet. En rigtig bank beder aldrig om dine logindkoder eller om at overføre penge til en "sikker konto".

Den falske helpdesk. Nogen ringer på vegne af en softwareleverandør, din internetudbyder eller dit it-firma: din computer er inficeret, der er et problem med din konto. Han beder dig installere et program, så han kan kigge med på afstand. Dermed overtager han din computer. Det hollandske NCSC siger det enkelt: giv aldrig nogen fjernadgang til dine enheder uden videre.

Den efterlignede stemme. Med AI kan en stemme efterlignes ud fra lydoptagelser, for eksempel fra en video eller telefonsvarer. En stemmekloning af din direktør eller et familiemedlem kan derefter ringe med en akut anmodning. Du kan altså ikke længere stole blindt på dine ører.

Det der virker ved alle tre:

1. Læg på så snart der lægges pres på, eller der bliver spurgt om koder, penge eller adgang. Det er ikke uhøfligt.
2. Ring selv tilbage på et nummer du selv finder frem eller allerede havde: bagsiden af dit betalingskort, den officielle hjemmeside, din egen kontaktliste. Ikke det nummer, som den der ringer, oplyser.
3. Aftal et kontrolspørgsmål eller kodeord med de personer, der kan bede dig om penge, som ledelsen og bogholderiet. Nedskriv også, at betalinger aldrig sker alene på baggrund af et telefonopkald (lektion 1.2).

QR-koder: quishing

En QR-kode er bare et link, du ikke kan læse. Quishing er phishing med en QR-kode. To former:

• På gaden eller i et lokale. En sticker med en falsk QR-kode klistret oven på den rigtige, på en parkeringsautomat, en ladestander, et menukort eller en plakat. Du tror, du betaler via parkeringsappen, men du indtaster dine kortoplysninger på en falsk side.
• I en mail eller pdf. "Scan denne kode for at bekræfte din mailboks." En QR-kode i et billede kan du ikke kontrollere med musen. Og du scanner den med din telefon, hvor du kan læse adresser dårligere.

Det hollandske NCSC anbefaler blandt andet:

• Scan ikke en QR-kode uden ledsagende tekst eller billede, og vær forsigtig med koder på offentlige steder.
• Tjek om koden virkelig er trykt på plakaten eller skiltet, eller om der er klistret en sticker på.
• Brug en scanner der først viser hvilken adresse eller hvilket domæne du bliver sendt til. I nyere versioner af Android og iOS gør kameraet det som standard.
• Genkender du ikke adressen, så gå ikke videre. Indtast ikke en adgangskode eller betalingsoplysninger, hvis du ikke er sikker på, at siden er ægte.

Kig ved eksemplet på adressen, som kameraet viser, efter det registrerbare domæne, præcis som i lektion 3.2. Ved en parkeringsautomat kan du også bruge den officielle parkeringsapp eller adressen på skiltet selv.

MFA-bombardement: når din telefon bliver ved med at bippe

Mange tjenester sender ved login en besked til din telefon: "Prøver du at logge ind? Godkend eller afvis." Har en angriber allerede din adgangskode, prøver han igen og igen at logge ind. Din telefon får den ene besked efter den anden, nogle gange midt om natten. Det kaldes et MFA-bombardement (også MFA-træthed). Han håber, at du af irritation eller ved en fejl trykker på Godkend. Nogle gange ringer eller skriver han samtidig som "helpdesk": "Vi er ved at genoprette din konto, tryk lige på godkend."

Sådan reagerer du:

1. Godkend aldrig en besked, du ikke selv har startet. Heller ikke hvis nogen beder om det.
2. Betragt det som en alarm. En uventet loginbekræftelse betyder, at nogen har din adgangskode. Skift straks adgangskoden til den konto, via selve siden eller appen.
3. Se de aktive sessioner igennem og log ukendte sessioner ud (lektion 2.5).
4. Vælg en stærkere form for totrinsbekræftelse (2FA), hvis den findes. Ved nummermatching (number matching) skal du indtaste et tal fra loginskærmen i appen; en besked uden den skærm foran dig kan du så ikke bare godkende. Passkeys og sikkerhedsnøgler (lektion 2.4) er endnu stærkere, fordi de ikke virker på en falsk side.

I praksis: sådan ser det ud

I Mit WebOké kan du under aktive sessioner se, hvor og hvornår du har været logget ind, og du kan logge andre sessioner ud (WebOké-vejledning 3.6). Andre tjenester, som dit mailprogram, bogføringssystem eller Nextcloud, har et tilsvarende overblik under kontoens sikkerhedsindstillinger. Tjek der først, hvis du får en uventet loginbekræftelse.

Opsummering

• Uden for e-mail virker de samme tricks, men der er mindre teknik, der hjælper, og du læser hurtigere.
• Et nummer eller afsendernavn på din skærm beviser ingenting: de kan forfalskes.
• I telefonen: læg på, ring selv tilbage på et kendt nummer, giv aldrig koder, penge eller fjernadgang. Også en kendt stemme kan være efterlignet.
• QR-koder: kig efter klistermærker, lad kameraet vise adressen, og læs det registrerbare domæne.
• En uventet loginbekræftelse er en alarm: afvis, skift adgangskode, tjek sessionerne.

Quiz

Opgave

Opgave A3.4: Læs en QR-kode uden at åbne den. Programmet viser en QR-kode. Scan den med kameraet på din telefon, men åbn ikke linket. Læs adressen, som kameraet viser, og indtast det registrerbare domæne, samt om du ville åbne linket. Programmet tjekker det.

Opgave D3.4: Aftaler om telefon, chat og loginadvarsler. Lav aftaler med dit team om tilbageringning, et kontrolspørgsmål eller kodeord, og hvad du gør ved en uventet loginbekræftelse. Kontroller derefter på din egen telefon, om kameraet viser adressen på en QR-kode, før den åbner noget.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• WebOké vejledning 3.6: Se aktive sessioner og log ud
• Nextcloud-vejledning 3.6: Enheder og sessioner se, tilbagekalde eller fjernslette
• Det hollandske NCSC, Sms-phishing ('smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Det hollandske NCSC, Hvordan genkender jeg et falsk telefonopkald?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Det hollandske NCSC, QR-koder: https://www.ncsc.nl/phishing/qr-codes
• Anmeld svindel til politiet: https://politi.dk/