Genkend phishing: sådan læser du et link og en afsender
Phishing er en besked, der udgiver sig for at være fra en troværdig afsender, så du gør noget, du ellers ikke ville gøre: logge ind på en falsk side, åbne en vedhæftet fil, oplyse en kode eller betale. Stavefejl er ikke længere et godt kendetegn: med AI skriver svindlere fejlfrit dansk. Kig derfor på tre ting: hvor linket reelt fører hen, hvem den rigtige afsender er, og hvad beskeden beder dig om.
Ser mailen ud til at komme fra WebOké? Læs da Er denne mail virkelig fra WebOké? Genkend phishing og brug aktionskoden. I eksemplerne nedenfor bruger vi opdigtede navne, der ender på .example.
Sådan læser du et link
Før musen hen over linket uden at klikke; det rigtige link vises nederst i vinduet. På en telefon holder du linket nede. Kun det link tæller, ikke teksten på knappen.
- Find stykket mellem
https://og det første/. Det er hosten: den server, du bliver sendt til. Alt efter det første/bestemmer ejeren af hosten selv. - Står der et
@i det stykke? Så begynder hosten først efter@. - Læs hosten fra højre mod venstre. Det registrerbare domæne er endelsen plus ét ord foran, for eksempel
minbank.example. Det er det navn, nogen har registreret, og dermed ejeren. Alt til venstre for det er underdomæner, som ejeren selv finder på. Vær opmærksom på endelser med to dele, somco.uk: vedwww.shop.eksempel.co.uker det registrerbare domæneeksempel.co.uk.
| Link | Reel ejer | Hvad foregår der? |
|---|---|---|
https://login.minbank.example/kunde | minbank.example | I orden: et underdomæne til banken selv |
https://minbank.example.login-check.example/login | login-check.example | Underdomænetrick: det rigtige navn står forrest |
https://login.example/minbank.example/login | login.example | Stitrick: navnet står efter det første / |
https://minbank.example@angriber.example/ | angriber.example | @-trick: alt før @ tæller ikke |
https://rninbank.example/ | rninbank.example | Lookalike: rn ligner m |
https://minbank-sikker.example/ | minbank-sikker.example | Et ord tilføjet: et helt andet domæne |
https://xn--minbnk-6fg.example/ | xn--minbnk-6fg.example | Punycode: et bogstav fra et andet skriftsystem |
En lookalike ligner det rigtige domæne: bogstaver byttet om, et ord eller en bindestreg tilføjet, eller et bogstav fra et andet skriftsystem (et kyrillisk а ser ud som et almindeligt a). Et sådant navn med fremmede tegn vises teknisk som punycode, der begynder med xn--. Ved et navn, der ellers ligner almindeligt dansk, er det mistænkeligt.
Forkortede links, omdirigeringslinks og QR-koder
- Et forkortet link viser ikke målet. Beder en bank eller leverandør dig om at logge ind via sådan et link, så lad være.
- Et link kan starte på en rigtig side og dernæst omdirigere dig. Kig på adresselinjen igen efter et klik, før du udfylder noget.
- En QR-kode er et link, du ikke kan læse. Lad kameraet først vise adressen, og læs den. Vær opmærksom på klistermærker over en rigtig kode, for eksempel på en parkeringsautomat.
- Hængelåsen betyder kun, at forbindelsen er krypteret. Falske sider har også en hængelås.
Sådan læser du afsenderen
- Navnet siger ikke noget. Alle kan indtaste "Minbank Kundeservice", navnet på din direktør eller endda en mailadresse som navn. Klik eller tryk på navnet for at se den rigtige adresse, og læs domænet på samme måde som ved et link.
- Vær opmærksom på svaradressen. Med en Reply-To går dit svar til en anden adresse end afsenderen. Kig på, hvem dit svar reelt går til, før du trykker Send, især når det handler om penge eller oplysninger.
- En afsender kan være forfalsket, og en rigtig afsender kan være hacket. I en mails headere kan du se, om domænet rent faktisk har sendt mailen. Men selv en gennemført kontrol beviser kun, at mailen kommer fra det domæne, ikke at det domæne er til at stole på. Hvordan du læser det, står i Se og læs headerne i en mail.
Sms, WhatsApp og telefon
Et afsendernavn eller telefonnummer på din skærm kan være forfalsket, også selvom beskeden står mellem rigtige beskeder fra din bank. Får du en besked fra "en kollega med et nyt nummer", der hurtigt vil have noget betalt, så ring til det gamle, kendte nummer. Ringer nogen på vegne af banken eller en helpdesk og beder om en kode, en betaling eller fjernadgang til din computer? Læg på, og ring selv tilbage på et nummer, du allerede havde. Får du en loginkode eller notifikation, du ikke selv har bedt om, så godkend intet, og skift adgangskoden.
Handler det om en faktura eller et ændret kontonummer, så læs Genkend falsk faktura, ændret kontonummer eller CEO-svindel.
Er du i tvivl? Stop, tjek, spørg
- Stop. Hastværk, forskrækkelse eller en belønning er netop tidspunktet til ikke at klikke.
- Tjek via din egen vej. Fortsæt ikke via beskeden. Skriv adressen selv eller brug dit bogmærke, og ring til et nummer, du allerede havde.
- Spørg en kollega, eller afsenderen via en anden kanal.
Anmeld en phishingmail til Fraudehelpdesk: send den helst som vedhæftet fil videre til valse-email@fraudehelpdesk.nl og sæt den efterlignede virksomhed i cc. En sms eller WhatsApp-besked anmelder du via anmeldeformularen. Se Anmeld falsk e-mail.
Flere eksempler giver NCSC i Hvordan genkender jeg en phishingmail?, Sms-phishing og Hvordan genkender jeg et falsk opkald?.