Många attacker drabbar människor, inte maskiner. Brottslingar utnyttjar stress, rädsla, nyfikenhet och respekt för chefen. Det är ofta enklare att lura en anställd än att bryta sig in i ett system.
Vanliga former
- Nätfiske (phishing): ett e-postmeddelande eller ett annat meddelande som låtsas komma från en bank, en leverantör, Posten (det norska postverket), Skatteetaten (den norska skatteförvaltningen), IT-avdelningen eller en kollega. Den ber dig klicka på en länk, öppna en bilaga eller logga in.
- Smishing: samma sak via sms. Vishing: samma sak via telefonsamtal.
- Riktat nätfiske (spear phishing): meddelandet är skrivet särskilt till dig och använder riktiga namn och detaljer från ditt jobb.
- Vd-bedrägeri (CEO-bedrägeri): ”direktören” ber dig snabbt och konfidentiellt betala en faktura eller skicka listor över anställda. Avsändaren är förfalskad eller kontot har tagits över.
- Falsk support: någon ringer och säger sig vara från IT eller Microsoft och ber dig installera programvara eller uppge en kod.
- Fysiskt tillträde: en främling följer efter dig in genom dörren (”tailgating”) eller utger sig för att vara hantverkare.
Kännetecken
- Avsändaradressen ser nästan rätt ut, men är lite fel.
- Påståenden om brådska: ”gör det nu”, ”kontot stängs”.
- Ovanliga förfrågningar, särskilt om pengar, lösenord, säkerhetsdosor, löneuppgifter eller listor över personer.
- Länkar där adressen under muspekaren inte stämmer med texten.
- Oväntade bilagor, särskilt zip-filer och kontorsdokument som ber dig ”aktivera innehåll”.
- Dåligt språk, men inte alltid. Moderna bedrägerier kan vara välskrivna.
Vad gör du?
- Stanna upp. Brådska är bedragarens bästa hjälpare.
- Klicka inte och öppna inte. Gå hellre direkt till webbplatsen genom att skriva adressen själv.
- Kontrollera via en annan kanal. Ring avsändaren på ett nummer du redan känner till, inte ett nummer från meddelandet.
- Betalningar och ändringar av kontonummer ska följa verksamhetens rutin med två personer, även om ”chefen” säger att det brådskar.
- Rapportera misstänkta meddelanden till IT eller säkerhetsansvarig. Rapportera också om du redan har klickat. Snabb återkoppling kan stoppa skadan.
- Om du har skrivit in ditt lösenord på en falsk sida ska du byta det genast och säga ifrån.
Varför ska du säga ifrån även om du skäms?
Alla kan bli lurade. Det som avgör hur allvarligt det blir är hur snabbt verksamheten får veta. Ett nätfiskeangrepp som ger åtkomst till ett e-postkonto med personuppgifter kan vara en personuppgiftsincident med tidsfrist för anmälan till Datatilsynet (lektion 7). Fristerna löper från det att verksamheten har fått kännedom om incidenten, så en fördröjning hos dig kan göra hela verksamheten för sen.
Utpressningsvirus
Ransomware (utpressningsvirus) krypterar filer och kräver betalning. Koppla bort datorn från nätet, men låt den vara på, och ring IT omedelbart. Betala inte och förhandla inte på egen hand.
Sociala medier
Lägg inte ut bilder på arbetsplatsen, skärmar med kunddata, passerkort eller interna dokument. Brottslingar hämtar information där för att göra trovärdiga attacker.