Sådan fungerer en phishingbesked

Modul 3: Genkend phishing · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du genkende de psykologiske tricks og de faste kendetegn ved en phishingbesked, selv når teksten er fejlfri, og du reagerer med refleksen stop, tjek, spørg.
Nøglebegreber: urgentie, autoritet, angst, nysgerrighed, belønning, pretext, AI-skrevet phishing, "stop-tjek-spørg"-refleksen

Phishing er en historie, ikke teknik

Phishing er en besked, der får dig til at gøre noget, som er godt for afsenderen og dårligt for dig: klikke på et link, logge ind på en efterlignet side, åbne en vedhæftet fil, foretage en betaling eller videregive en kode. Teknikken bag er ofte simpel. Det, der gør arbejdet, er historien.

Den historie kaldes en pretext: en troværdig anledning. "Din pakke kunne ikke leveres." "Din postkasse er fuld." "Der er en ubetalt faktura." "Din konto bliver spærret." En god pretext passer til din situation. Et bageri får en mail om en melleverandør, en advokatvirksomhed om en stævning, en webshop om en blokeret betaling.

Formålet er næsten altid et af disse fire:

Ved den sidste type sker der ikke noget slemt i selve øjeblikket. "Hvem tager sig af betalingerne hos jer?" lyder som et almindeligt spørgsmål. Men med svaret kan angriberen senere sende en langt mere overbevisende mail, rettet mod netop den person. Det kaldes spear phishing (lektion 1.2).

De fem knapper phishing trykker på

Phishing virker, fordi det får dig til at handle, før du tænker. Derfor trykker det på nogle faste knapper i vores hoved. Næsten enhver phishingbesked bruger mindst to af dem.

1. Urgentie. "Inden for 24 timer", "stadig i dag", "sidste påmindelse". Tidspres er det vigtigste trick, fordi du så ikke tager dig tid til at kontrollere.
2. Autoritet. Beskeden ser ud til at komme fra nogen, du tager alvorligt: banken, Skattestyrelsen, direktøren, politiet, dit hostingfirma, en advokat.
3. Angst. Din konto bliver spærret, du får en bøde, dine oplysninger er lækket, dit domæne udløber, der er sket et indbrud på din konto.
4. Nysgerrighed. "Se billederne fra arrangementet", "du har modtaget et delt dokument", "der er en voicemail til dig", "lønoversigt 2026.pdf".
5. Belønning. En tilbagebetaling, et gavekort, en vundet præmie, en gratis opgradering, en stor ordre fra en ny kunde.

Bemærk: disse knapper findes også i ægte beskeder. En rigtig faktura har en forfaldsdato, en rigtig bank sender nogle gange en advarsel. Ét trick gør altså ikke en besked falsk. Den bliver mistænkelig, når presset er højt og beskeden beder om noget, du normalt ikke ville gøre.

Faste kendetegn, uafhængigt af teksten

Ud over tricksene har phishingbeskeder nogle kendetegn, der næsten altid går igen:

• En opfordring til at gøre noget nu (call to action): en knap, et link, en vedhæftet fil, et telefonnummer at ringe til.
• En kanal, der ikke passer. Din bank beder dig pr. mail om at logge ind, din leverandør beder via WhatsApp om en betaling, din kollega beder via sms om gavekort.
• Et spørgsmål, der ikke passer. At videregive en adgangskode eller login-kode, ændre et kontonummer, foretage en betaling uden om den normale procedure, installere software efter anmodning fra en, der ringer.
• En afvigelse i afsender eller link. Adressen eller linket passer næsten, men ikke helt, til den organisation, du forventer. Hvordan du læser det præcist, lærer du i lektion 3.2 og 3.3.
• Hemmeligholdelse eller omgåelse af proceduren. "Sig det ikke til de andre endnu", "jeg sidder i et møde, ring ikke til mig", "gør det lige uden om systemet".

Det sidste kendetegn er det stærkeste signal ved CEO-svindel og fakturasvindel: en rigtig direktør har ingen interesse i, at du springer den normale kontrol over.

Hvorfor stavefejl ikke længere er et godt kendetegn

Tidligere kunne du genkende phishing på dårligt sprog, mærkelig tiltale og grim opsætning. Det virker ikke længere. Med sprogmodeller (AI) skriver en angriber på få sekunder en fejlfri, venlig mail på ethvert sprog, i stil med den organisation, han efterligner. Det nederlandske NCSC advarer også om, at phishing lavet med AI bliver sværere at genkende: færre sprogfejl og login-sider, der ser mere og mere ægte ud.

Dertil kommer, at phishing nogle gange kommer fra en ægte postkasse. Er en leverandørs postkasse blevet overtaget, svarer angriberen bare i en eksisterende mailtråd, med underskrift, tone og tidligere beskeder intakt. Det kaldes thread hijacking. Afsender, opsætning og sprog er så alt sammen ægte. Det er kun spørgsmålet, der ikke stemmer: "Vi har fået en ny bankkonto, vil du betale den udestående faktura dertil?"

Derfor skal du ikke kigge på, hvordan en besked ser ud, men på hvad den beder dig om. Du genkender sjældent phishing på ét enkelt kendetegn, men på helhedsbilledet.

Refleksen: stop, tjek, spørg

Du behøver ikke kende hvert eneste trick. Du har brug for én refleks, som du bruger hver gang en besked beder dig om noget.

Stop. Mærker du hastværk, forskrækkelse, nysgerrighed eller glæde? Det er netop tidspunktet for ikke at klikke. Læg beskeden til side et øjeblik. Rigtige organisationer giver dig næsten altid tid nok til at undersøge sagen.

Tjek via din egen vej. Gå ikke videre gennem selve beskeden. Klik ikke på linket, ring ikke til nummeret i beskeden og svar ikke på mailen. Gå selv til siden via dit bogmærke eller ved at skrive adressen, eller ring til et nummer, du allerede havde (din egen administration, bagsiden af dit betalingskort, den officielle hjemmeside). Står fakturaen der virkelig? Er pakken virkelig på vej?

Spørg. Er du stadig i tvivl, så spørg en kollega eller den person, der angiveligt har sendt beskeden, via en anden kanal. Aftal i dit team, at sådan et spørgsmål aldrig er til besvær. Hellere spørge ti gange unødigt end betale én gang forkert.

Denne refleks virker også ved en perfekt mail fra en hacket postkasse. Tjekket via din egen vej omgår angriberen fuldstændigt, for han sidder hverken i dit bogmærke eller ved din leverandørs telefon.

I praksis: sådan ser det ud

Tre efterlignede beskeder, som Bageri Example (info@example.com) modtager på én morgen. Alle navne er opdigtede.

Besked 1: pakken

Fra: Kurertjeneste <service@koeriersdienst-track.example>
Emne: Levering mislykkedes: handling påkrævet
Kære kunde, vi forsøgte i dag at levere en pakke. Adressen var ufuldstændig. Bestil en ny levering inden for 48 timer, og betal genleveringsgebyret på 1,95 euro, ellers sendes pakken tilbage til afsenderen.

Tricks: urgentie (48 timer), angst (pakke sendt tilbage), et lille beløb, så du ikke tænker dig om. Formålet er dine kortoplysninger. Tjek: forventer du en pakke? Slå forsendelsen op via fragtfirmaets egen hjemmeside eller app.

Besked 2: leverandøren

Fra: Melleverandør <administratie@leverancier.example>
Emne: SV: faktura 2026-0412
Hej, som aftalt sender jeg hermed fakturaen. Bemærk: på grund af et bankskifte bedes du fra nu af betale til vores nye kontonummer. Kan du gøre det i dag? Så kan vi planlægge leveringen fredag.

Tricks: autoritet (kendt leverandør, eksisterende mailtråd), urgentie, belønning (leveringen). Afsenderen kan være ægte: leverandørens postkasse kan være blevet overtaget. Tjek: ring til leverandøren på det nummer, du har i din egen administration, ikke det i denne mail.

Besked 3: bogføringsprogrammet

Fra: Bogføringsprogram <noreply@boekhoudpakket.example>
Emne: Dit abonnement bliver suspenderet
Vi kunne ikke behandle din seneste betaling. Log ind inden for 24 timer for at opdatere dine betalingsoplysninger, ellers mister du adgang til din bogføring.
[Log ind]

Tricks: angst, urgentie, autoritet. Om afsenderen stemmer, kan du læse om i lektion 3.3; hvor knappen fører hen, i lektion 3.2. Tjek: åbn selv bogføringsprogrammets app eller dit bogmærke. Står der ingen meddelelse der, er mailen falsk.

Opsummering

• Phishing virker via en historie (pretext), der passer til dig, med det formål at skaffe login-oplysninger, penge, adgang til din enhed eller information.
• De fem knapper: urgentie, autoritet, angst, nysgerrighed og belønning. Som regel er det to eller flere på samme tid.
• Stavefejl er ikke længere et pålideligt kendetegn: AI skriver fejlfrie mails, og hackede postkasser sender ægte beskeder.
• Se på, hvad en besked beder dig om, og via hvilken kanal, ikke på hvordan den ser ud.
• Refleks: stop, tjek via din egen vej, spørg hvis du er i tvivl.

Quiz

Opgave

Opgave A3.1: Genkend tricks. Du får seks efterlignede beskeder. Vælg for hver besked, hvilke tricks den indeholder (urgentie, autoritet, angst, nysgerrighed, belønning), og hvad du gør: bare håndtere den normalt, eller først kontrollere via din egen vej. Programmet retter dine svar og forklarer for hver besked, hvad du har overset.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på lignende vis.

• Er denne mail virkelig fra WebOké? Genkend phishing, og brug aktionskoden
• SAMSIK, råd til virksomheder om phishing: https://sikkerdigital.dk/
• SAMSIK: https://samsik.dk/
• Anmeld svindel til politiet: https://politi.dk/