Mange angreb rammer mennesker, ikke maskiner. Kriminelle spiller på hast, frygt, nysgerrighed og respekt for chefen. Det er ofte nemmere at snyde en medarbejder end at bryde ind i et system.
Almindelige former
- Phishing: en e-mail eller besked, der foregiver at komme fra en bank, en leverandør, Posten (det norske postvæsen), Skatteetaten (den norske skatteforvaltning), IT-afdelingen eller en kollega. Den beder dig klikke på et link, åbne et bilag eller logge ind.
- Smishing: det samme på sms. Vishing: det samme som telefonsamtale.
- Målrettet phishing (spear phishing): beskeden er skrevet specielt til dig og bruger rigtige navne og detaljer fra dit job.
- Direktørsvindel (CEO-svindel): »direktøren« beder dig hurtigt og fortroligt betale en faktura eller sende lister over medarbejdere. Afsenderen er forfalsket, eller kontoen er overtaget.
- Falsk support: nogen ringer og siger, at de er fra IT eller Microsoft, og beder dig installere software eller oplyse en kode.
- Fysisk adgang: en fremmed følger efter dig ind ad døren (»tailgating«) eller udgiver sig for at være håndværker.
Kendetegn
- Afsenderadressen ser næsten rigtig ud, men er lidt forkert.
- Påstande om hast: »gør det nu«, »kontoen lukkes«.
- Usædvanlige forespørgsler, især om penge, adgangskoder, kodevisere, lønoplysninger eller lister over personer.
- Links, hvor adressen under musemarkøren ikke stemmer med teksten.
- Uventede bilag, især zip-filer og kontordokumenter, der beder dig »aktivere indhold«.
- Dårligt sprog, men ikke altid. Moderne svindel kan være velskrevet.
Hvad gør du?
- Stop op. Hast er svindlerens bedste hjælper.
- Klik ikke, og åbn ikke. Gå hellere direkte til hjemmesiden ved selv at skrive adressen.
- Kontrollér på en anden kanal. Ring til afsenderen på et nummer, du allerede kender, ikke et nummer fra beskeden.
- Betalinger og ændringer af kontonummer skal følge virksomhedens rutine med to personer, selv om »chefen« siger, at det haster.
- Rapportér mistænkelige beskeder til IT eller den sikkerhedsansvarlige. Rapportér også, hvis du allerede har klikket. Hurtig tilbagemelding kan stoppe skaden.
- Hvis du har skrevet en adgangskode ind på en falsk side, skal du skifte den straks og sige til.
Hvorfor skal du melde fra, selv om du skammer dig?
Alle kan blive snydt. Det, der afgør, hvor alvorligt det bliver, er hvor hurtigt virksomheden får det at vide. Et phishing-angreb, der giver adgang til en e-mailkonto med personoplysninger, kan være et brud på persondatasikkerheden med anmeldelsesfrist til Datatilsynet (lektion 7). Fristerne løber fra det tidspunkt, virksomheden har fået kendskab til bruddet, så en forsinkelse hos dig kan gøre hele virksomheden for sen.
Løsesumsvirus
Ransomware krypterer filer og kræver betaling. Kobl maskinen fra nettet, men lad den stå tændt, og ring til IT med det samme. Betal ikke, og forhandl ikke på egen hånd.
Sociale medier
Læg ikke billeder ud af arbejdspladsen, skærme med kundedata, adgangskort eller interne dokumenter. Kriminelle henter oplysninger der for at lave troværdige angreb.