Phishing: Lær at spotte og undgå phishing-angreb
Fupopkald, falske mails og sms'er. Det er alle sammen metoder, svindlere benytter, når de vil lokke personlige oplysninger eller penge fra dig eller din virksomhed. Da phishing ofte har økonomiske konsekvenser for den ramte, vil vi her give dig vores bedste råd til, hvordan du undgår phishing, samt hvad du skal gøre, hvis du bliver offer for et phishing-angreb.
Hvad er phishing?
Phishing er en type af cyberangreb begået af cyberkriminelle mod virksomheder eller enkeltpersoner, typisk via falske mails. Lignende angreb kan også ske via sms’er (smishing) eller telefonopkald (vishing). For nemheds skyld bruger vi ’phishing’ som samlebetegnelsen for alle tre typer svindel i denne artikel.
Formålet med phishing-angrebet er at få en person til at videregive personlige oplysninger som f.eks. kreditkortnumre, bankoplysninger eller adgangskoder til mailkonti, som de kriminelle så kan bruge til at stjæle penge eller en persons eller virksomheds identitet.
Hvordan foregår phishing?
Phishing foregår oftest ved, at du – og måske flere af dine kolleger – modtager en mail, som indeholder et link til et phishing-websted eller en vedhæftet fil, som afsender gerne vil have, at du åbner.
Oftest, når man “bare” får et link, er den hjemmeside, man kommer ind på nogenlunde visuelt identisk med loginskærmen til den type mail, du har. Cyberkriminelle kan næsten alene ud fra ens mailadresse vide, om det er Gmail, Outlook eller et helt tredje mailsystem, man bruger. Derfor ved de også, hvordan de skal få loginskærmen til at se ud.
Modtager du i stedet en vedhæftning, risikerer du, at ransomware eller en anden type virus installeres på din computer. I værste fald åbner du en “dør” for en cyberkriminel, der så får mulighed for potentielt at sprede ransomware til resten af virksomheden via det interne netværk.
Det kan også være, at afsender beder dig give dem visse personlige oplysninger, f.eks. kreditkortnumre, bankoplysninger eller adgangskoder, enten ved at besvare deres mail, udfylde oplysninger på en hjemmeside eller ved at fremsige dem under et fupopkald.
Det er vigtigt, at du aldrig opgiver sådanne oplysninger, medmindre du er helt sikker på, at afsender er, hvem vedkommende udgiver sig for at være.
OrdlisteHvad betyder phishing? Hvad betyder smishing? Hvad betyder vishing? Hvad betyder spoofing? Hvad betyder malware? Malware kan installeres på din computer eller telefon, hvis du klikker på et suspekt link eller åbner en vedhæftet fil. Hvad betyder social engineering? |
Tjek, at afsender er, hvem vedkommende udgiver sig for at være
Du kan verificere afsenderen ved at kontakte virksomheden eller personen, der står som afsender, og høre, om de kender til meddelelsen. Kontakt dem aldrig via selve den mail, du har modtaget – f.eks. ved at klikke ”besvar besked” – da cyberkriminelle oftest udgiver sig for at være fra afsenderen.
Brug i stedet dine normale kontaktoplysninger til dem eller find deres kontaktoplysninger via en google-søgning. På denne måde får du også advaret virksomheden eller personen om, at deres identitet bliver udnyttet, hvis det virkelig er et forsøg på phishing.
Avancerede cyberkriminielle sender gerne phishing-mails ud til flere medarbejdere i den samme virksomhed på én gang, da chancen for, at nogen klikker på et link eller vedhæftning så er større. De behøver nemlig blot at få én person til at klikke eller afgive oplysninger for at få foden indenfor i virksomheden.
Kan du se, at det er forsøg på phishing, så slet mailen eller beskeden med det samme, eller send den videre til din arbejdsplads’ IT-afdeling, hvis I har en.
Sådan identificerer du forsøg på phishing
Tidligere kunne man ofte identificere en phishing-mail eller smishing-sms på det dårlige sprog eller ubehjælpelige opsætning. De cyberkriminelle er dog blevet bedre til at tilpasse både sprog og udseende, f.eks. ved at efterligne logoer, signaturer, benyttelse af gode oversættelser gennem ChatGPT osv., og man skal derfor have øjne og ører med sig.
Tegn på phishing:
- Ser afsendermailen underlig ud?
Måske udgiver de kriminelle sig for at være din bank, SKAT, politiet eller en anden instans, som du typisk har tiltro til. I virksomheder kan de kriminelle endda forsøge at få mailadressen til at se ud som om, den kommer fra en kollega eller leder. Tag et godt kig på afsendermailen, og sikr dig, at afsender faktisk er, hvem vedkommende udgiver sig for at være. Ender adressen f.eks. på ”.com”, når det skulle være ”.dk”? Eller er mailadressen fyldt med tal, tegn og forkert stavning? Så lad være med at reagere på beskeden. - Bliver du bedt om at afgive oplysninger som f.eks. bankoplysninger eller adgangskoder?
Ingen reelle virksomheder ville bede om den type oplysninger i en mail eller sms. Er du i tvivl, så kontakt afsender uden at klikke på noget i mailen, f.eks. ved at google afsender. - Er budskabet for godt til at være sandt?
Mange forbinder phishing-mails med falske konkurrencer og meddelelser om en hidtil ukendt arv, som straks udbetales, blot man giver sine kontooplysninger eller betaler et gebyr. En anden variant er de såkaldte ’Microsoft-opkald’, hvor en – ofte engelsktalende – person påstår, at din computer er i fare, og at du skal give dine personlige oplysninger for at få hjælp. Du bør under ingen omstændigheder opgive dine oplysninger ifm. sådanne beskeder. - Ser linket i mailen underlig ud?
Kør din mus hen over linket, uden at klikke på det. På den måde kan du se, hvad linket i virkeligheden linker til, og se, om det fører til den hjemmeside, som der står i beskeden. - Opfordrer afsender dig til straks at besvare mailen, klikke på linket eller åbne vedhæftningen?
Cyberkriminielle ynder at skabe en følelse af hastværk, så du ikke får tid til at rådføre dig med andre eller tænke over, om du reelt bør udføre handlingen. Vær derfor kritisk, hvis der bliver skyndet meget på dig. - Er beskeden skrevet i et underligt, ukorrekt sprog?
Selvom cyberkriminielle bliver bedre og bedre til at skrive, kan der stadig være fejl, f.eks. forkert brug af nutids-r, stavefejl, underlige sætningskonstruktioner osv. Er beskeden ubehjælpeligt skrevet, så tag et ekstra kig på den, før du reagerer.
Få flere tips i appen ’Mit digitale selvforsvar’
Med appen ’Mit digitale selvforsvar’, kan du få guides og gode råd til, hvordan du undgår falske mails, fup-konkurrencer, svindel-sms’er osv. Du kan også anmelde de forsøg på phishing, du selv har været ude for, så andre kan blive advaret.
’Mit digitale selvforsvar’-appen drives af Forbrugerrådet Tænk og TrygFonden.
Er du blevet udsat for phishing?
Er du kommet til at give dine egne eller din virksomheds oplysninger videre til svindlere, er det vigtigt, at du reagerer, lige så snart du opdager bedraget.
Ved personligt phishing-angreb
- Har du overført penge, skal du skynde dig at kontakte din bank og stoppe overførslen.
- Har du allerede givet dine kreditkortoplysninger ud, skal du skynde dig at spærre dit betalingskort og anmelde det til politiet. En kopi af anmeldelsen eller en kvittering for din henvendelse kan bruges som dokumentation over for f.eks. din bank, hvis dine kontooplysninger bliver misbrugt.
- Har du givet dine MitID-oplysninger ud, skal du skynde dig at spærre dit MitID.
- Er du kommet til at give dit CPR-nummer videre, bør du anmelde det til politiet og oprette en kreditadvarsel, så bl.a. banker advares om, at de skal være særligt opmærksomme, hvis en med dit CPR-nummer forsøger at optage lån.
- Når du opdager, at du har været udsat for phishing skal du sørge for at gemme al den kommunikation, du har modtaget og udvekslet med svindleren. Sørg for, at alt foregår skriftligt, så du kan dokumentere det hele senere, f.eks. i forbindelse med en politianmeldelse.
Ved angreb på din arbejdsplads
- Når du opdager, at du er blevet offer for phishing på arbejdet, skal du sørge for at samle al kommunikation du har haft med svindleren, og sende det til arbejdspladsens IT-afdeling, hvis I har en.
- Kommer du til at åbne en mistænkelig fil, der viser sig at være skadelig, kan du minimere skaden ved straks at koble computeren af internettet. Kontakt derefter virksomhedens IT-afdeling, så de kan hjælpe med at rense din computer.
Sådan rapporterer du phishingsvindel
Har din arbejdsplads en intern IT-afdeling, kan du videresende beskeden til dem. Så vil de højest sandsynlig undersøge beskeden for dig.
Bruger du Microsoft 365 Outlook, kan du markere beskeden og klikke på ’Rapportér meddelelse’ og dernæst vælge ’Phishing’. Så bliver beskeden anmeldt til Microsoft, der kan undersøge beskeden og bruge den til at forbedre deres phishing-filtre.
Bruger du Outlook.com, kan du krydse den mistænkelige meddelelse af i din Outlook.com-indbakke, og derefter vælge pilen ud for ’Uønsket mail’ efterfulgt af ’Phishing’.
Modtager du en besked, der giver sig ud for at være en lødig virksomhed, kan du skrive og advare virksomheden om, at svindlere udgiver sig for at være dem – det vil de sætte pris på.