Mange angrep rammer mennesker, ikke maskiner. Kriminelle spiller på hastverk, frykt, nysgjerrighet og respekt for sjefen. Det er ofte enklere å lure en ansatt enn å bryte seg inn i et system.
Vanlige former
- Phishing: en e-post eller melding som later som den kommer fra en bank, en leverandør, Posten, Skatteetaten, IT-avdelingen eller en kollega. Den ber deg klikke på en lenke, åpne et vedlegg eller logge inn.
- Smishing: det samme som SMS. Vishing: det samme som telefonsamtale.
- Målrettet phishing (spear phishing): meldingen er skrevet spesielt til deg og bruker ekte navn og detaljer fra jobben din.
- Direktørsvindel (CEO-svindel): «direktøren» ber deg raskt og konfidensielt betale en faktura eller sende lister over ansatte. Avsenderen er forfalsket eller kontoen er overtatt.
- Falsk support: noen ringer og sier de er fra IT eller Microsoft, og ber deg installere programvare eller oppgi kode.
- Fysisk adgang: en fremmed følger etter deg inn døra («tailgating»), eller utgir seg for å være håndverker.
Kjennetegn
- Avsenderadressen ser nesten riktig ut, men er litt feil.
- Påstander om hast: «gjør det nå», «kontoen stenges».
- Uvanlige forespørsler, spesielt om penger, passord, kodebrikker, lønnsopplysninger eller lister over personer.
- Lenker der adressen under musepekeren ikke stemmer med teksten.
- Uventede vedlegg, spesielt zip-filer og kontordokumenter som ber deg «aktivere innhold».
- Dårlig språk, men ikke alltid. Moderne svindel kan være godt skrevet.
Hva gjør du?
- Stopp opp. Hastverk er svindlerens beste hjelper.
- Ikke klikk og ikke åpne. Gå heller direkte til nettsiden ved å skrive adressen selv.
- Kontroller på en annen kanal. Ring avsenderen på et nummer du allerede kjenner, ikke et nummer fra meldingen.
- Betalinger og endringer av kontonummer skal følge virksomhetens rutine med to personer, selv om «sjefen» sier det haster.
- Rapporter mistenkelige meldinger til IT eller sikkerhetsansvarlig. Rapporter også dersom du allerede har klikket. Rask tilbakemelding kan stoppe skaden.
- Hvis du har skrevet inn passord på en falsk side, bytt det straks og si fra.
Hvorfor skal du melde fra selv om du skammer deg?
Alle kan bli lurt. Det som avgjør hvor alvorlig det blir, er hvor raskt virksomheten får vite om det. Et phishing-angrep som gir tilgang til en e-postkonto med personopplysninger, kan være et brudd på personopplysningssikkerheten med frist for melding til Datatilsynet (leksjon 7). Frister løper fra virksomheten har fått kjennskap til bruddet, så en forsinkelse hos deg kan gjøre hele virksomheten sen.
Utpressingsvirus
Løsepengevirus krypterer filer og krever betaling. Koble maskinen fra nettet, men la den stå på, og ring IT umiddelbart. Ikke betal og ikke forhandle på egen hånd.
Sosiale medier
Ikke legg ut bilder av arbeidsplassen, skjermer med kundedata, adgangskort eller interne dokumenter. Kriminelle henter informasjon der for å lage troverdige angrep.