Phishing er stadig den mest almindelige vej ind i en dansk virksomhed. Ikke fordi teknikken er avanceret, men fordi den rammer mennesker på en travl dag. En mail der ser rigtig ud, en anmodning der virker rimelig, og et lille pres om at det skal ske nu.

Teknisk filtrering fanger meget, men ikke alt. Særligt de målrettede angreb — hvor afsenderen har læst med i korrespondancen i ugevis og kender tonen, navnene og beløbsniveauet — glider igennem, fordi der ikke er noget teknisk usædvanligt ved dem. Derfor er den sidste forsvarslinje altid medarbejderen.

Her er de kendetegn, vi lærer folk at se efter. Print listen, hæng den op ved kaffemaskinen, og tag den frem på et personalemøde, næste gang der er et konkret eksempel at vise.

1. Afsenderadressen er næsten rigtig

Se på hele adressen, ikke på det viste navn. Domænet kan være netdk-support.com i stedet for netdk.com, have et ekstra bogstav, et bindestreg, eller en anden endelse som .net i stedet for .com.

Det viste navn kan angiveligt være hvad som helst. Der er intet, der forhindrer en afsender i at kalde sig Netdk Support med en helt tilfældig mailadresse bagved. På mobil vises kun navnet som standard, hvilket er grunden til, at phishing virker bedre på telefon end på computer.

2. Mailen er ekstern, men foregiver at være intern

En mail, der ser ud til at komme fra jeres direktør, men er markeret som ekstern, er et rødt flag uden undtagelser.

Har I ikke et eksternt banner slået til i Microsoft 365, bør I få det. Det er en central indstilling, den tager få minutter at aktivere, og den beskytter alle medarbejdere på én gang — også dem, der ikke har læst denne liste.

3. Der er et tidspres

Inden for 24 timer. Kontoen lukkes i dag. Det skal betales inden kl. 15. Jeg sidder i møde og kan ikke tale i telefon.

Tidspres er ikke et tilfælde — det er teknikken. Formålet er at få dig til at handle før du tænker, og at forhindre dig i at bruge den ene handling, der ville stoppe angrebet: at spørge en anden.

Vend det derfor om: haster det usædvanligt meget, er det i sig selv en grund til at bruge tredive sekunder ekstra.

4. Anmodningen bryder med den normale proces

En leverandør, der pludselig har fået et nyt kontonummer. En chef, der beder om en hasteoverførsel uden om den normale godkendelse. En kollega, der spørger om et login. En anmodning om at sende lønsedler til en ny adresse.

Selve afvigelsen fra proceduren er signalet. Man behøver ikke kunne vurdere, om mailen er ægte — det er nok at konstatere, at sådan gør vi ikke normalt.

5. Linket peger et andet sted hen end teksten siger

Hold musen over linket uden at klikke, og læs adressen nederst i vinduet. På mobil kan du holde fingeren nede for at se den.

Er domænet ikke det, du forventer, så klik ikke. Vær opmærksom på, at det rigtige navn godt kan optræde et forkert sted i adressen — microsoft.login-sikkerhed.com er ikke Microsoft. Det er den del før den første skråstreg, og navnlig de sidste to led, der afgør hvem der ejer adressen.

6. Der er en vedhæftet fil du ikke har bedt om

Særligt hvis det er en fil, der beder om at aktivere indhold eller makroer, en zip-fil med noget inde i, eller en fil hvis navn slutter på noget andet end det ser ud til.

Slå filtypenavne til i Windows under Vis-fanen. Så afslører faktura.pdf.exe sig selv. Uden filtypenavne er den visuelt identisk med en almindelig PDF i mappelisten.

7. Sproget er næsten rigtigt

Maskinoversat dansk er blevet meget bedre, men der er ofte små skævheder: en formulering ingen dansker ville bruge, en manglende bestemt form, en høflighedsfrase der er lidt for formel, eller en oversættelse af et engelsk udtryk der ikke findes på dansk.

Læs mailen højt for dig selv, hvis du er i tvivl. Skævhederne er lettere at høre end at se.

Vær dog opmærksom på, at dette kendetegn er blevet svagere. Sproglige fejl er ikke længere et pålideligt signal, og en fejlfri mail er ikke et bevis på ægthed.

8. Der er en QR-kode i stedet for et link

QR-koder i mails er blevet en almindelig teknik, og det er der to gode grunde til: mailfiltre kan ikke læse indholdet af et billede, og folk scanner med en privat telefon, som ikke er beskyttet af virksomhedens filtre.

Scan aldrig en QR-kode fra en uventet mail. Skal du bruge en tjeneste, gå selv til den ved at skrive adressen.

9. Du bliver bedt om at logge ind for at se noget

Den klassiske: en delt fil, en faktura, en pakke, en talebesked. Klikket fører til en login-side, der ser ud som Microsoft 365 — ofte med jeres eget logo, som er hentet fra jeres hjemmeside.

Gå i stedet selv til portalen ved at skrive adressen, eller åbn filen fra Teams eller SharePoint direkte. Er filen reelt delt med dig, kan du finde den derfra.

En passwordmanager hjælper her: den udfylder ikke på et forkert domæne, og den manglende udfyldning er et tydeligt signal.

10. MFA-prompten kommer uventet

Får du en godkendelsesanmodning på telefonen uden selv at have logget ind, har nogen dit kodeord. Det er ikke en fejl i systemet — det er et angreb i gang lige nu.

Afvis den, og meld det ind med det samme. Tryk aldrig godkend for at få ro, heller ikke hvis den kommer igen og igen midt om natten. Netop den udmattelsestaktik er en kendt angrebstype.

11. Svaradressen er en anden end afsenderen

Nogle phishing-mails sendes fra et sted, men svaret ledes til et andet. Det betyder, at din svarmail — måske med fortrolige oplysninger — går til angriberen.

Tjek svaradressen, hvis mailen handler om penge eller data. I Outlook kan du se den ved at klikke på afsenderens navn og se detaljerne.

12. Din mavefornemmelse siger noget

Det er ikke et blødt punkt. I langt de fleste hændelser, vi undersøger, siger medarbejderen bagefter, at der var noget, der føltes underligt.

Den fornemmelse skal have et sted at gå hen. Er der ingen let vej til at spørge, bliver fornemmelsen ignoreret, og så var den værdiløs.

Hvad medarbejderen skal gøre — tre situationer

  • Jeg er i tvivl: Klik ikke. Videresend til IT, eller ring til afsenderen på et nummer du selv finder frem — aldrig på nummeret i mailen. Det er hele svaret; det behøver ikke være mere kompliceret.
  • Jeg klikkede, men indtastede ikke noget: Meld det ind alligevel. Der kan være hentet noget i baggrunden, og der kan være bekræftet, at adressen er aktiv.
  • Jeg indtastede mit kodeord: Meld det ind straks. Kodeordet skal skiftes, aktive sessioner skal lukkes, og der skal tjekkes for nyoprettede videresendelsesregler og nye MFA-metoder. Minutter betyder noget her — angriberen arbejder typisk automatiseret og er inde inden for få minutter.

Det vigtigste er, at det er trygt at melde ind

En kultur, hvor man bliver skældt ud for at klikke, er en kultur hvor fejl bliver skjult. Og en skjult hændelse er langt dyrere end en, der bliver meldt ind inden for fem minutter.

Regn på forskellen. Meldes det ind straks, skiftes et kodeord og sagen er lukket på tyve minutter. Meldes det ind om tre uger, fordi medarbejderen håbede, det gik væk, har angriberen læst med i tre uger, og der skal både undersøges, anmeldes og kommunikeres.

Sig det derfor højt til medarbejderne, og sig det mere end en gang: vi bliver aldrig sure over en indmeldelse. Og hold det, når det sker. Første gang en medarbejder melder ind og bliver rost frem for irettesat, ændrer det kulturen mere end noget kursus.

Gør indmeldingen nem

Der skal være én åbenlys vej: en knap i Outlook, en fast mailadresse, eller et telefonnummer. Ikke et skema. Ikke en procedure med fem trin. Tager det mere end tyve sekunder, sker det ikke midt i en travl dag.

Microsoft 365 har en indbygget rapportér-knap, der både sender mailen til analyse og til jeres IT. Den bør være aktiveret og synlig for alle.

Teknik der fjerner en stor del af mængden

Medarbejdertræning skal understøttes af teknik. Er der 40 phishing-mails om ugen, kan man ikke forvente, at ingen klikker nogensinde. Er der to, kan man.

Vi anbefaler som minimum:

  • MFA på alle konti, app-baseret med talmatch.
  • Eksternt banner på mails udefra.
  • Korrekt SPF, DKIM og DMARC, med DMARC helt frem til reject.
  • AI-baseret filtrering mod direktørsvindel, der kigger på afsendermønstre frem for kun vedhæftede filer.
  • Blokering af automatisk ekstern videresendelse.
  • Overvågning af mistænkelige logins og nyoprettede mailregler.
  • Kontrol af links ved klik, så en side der er blevet ondsindet siden mailen ankom, også fanges.

Brug jeres egne hændelser som træning

Den bedste træning er den phishing-mail, der ramte kollegaen på økonomi i sidste uge. Vis den på storskærmen. Peg på de tre tegn. Fortæl hvad der skete, og hvad der blev gjort.

Det tager fem minutter og huskes i månedsvis, fordi det er genkendeligt. Et generelt e-learningmodul om phishing huskes ikke, fordi eksemplerne er amerikanske og handler om en bank, ingen bruger.

Anonymisér gerne, hvem der modtog den, hvis der er behov for det. Pointen er mailen, ikke personen.

Netdk træner og beskytter

Vores sikkerhedspakker indeholder både den tekniske filtrering og adfærdstræning for medarbejderne. Vi kommer ud til virksomheder i Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder og holder korte, konkrete oplæg — ikke to timers slideshow.

Vi bruger gerne eksempler fra jeres egen branche, og vi tager de mest udsatte roller — bogholderi, HR og ledelse — særskilt, fordi de rammes af forskellige typer angreb.

Næste skridt

Vil I have en gratis gennemgang af jeres mailsikkerhed? Ring på 70 23 57 70. Vi tjekker samtidig, om nogen kan sende mail i jeres navn, og om der ligger videresendelsesregler, ingen har oprettet.