Sikker nettside: slik sjekker du den, og slik sikrer du din egen

En sikker nettside har to ting på plass: en kryptert forbindelse (HTTPS) og en ekte, pålitelig avsender bak adressen. Hengelåsen i nettleseren viser bare det første. Om en nettside er trygg, finner du derfor ut ved å sjekke den nøyaktige adressen, hvordan du kom dit og om siden ber deg om noe den ikke burde. Er det bedriftens egen nettside det gjelder, handler sikkerhet om noe annet: oppdatert programvare, gode innloggingsrutiner, sikker kode og en test som avdekker hullene før noen andre gjør det. Her går vi gjennom begge deler.

Kort oppsummert

• Hengelås og HTTPS betyr kryptering, ikke ærlighet. Falske sider kan også ha HTTPS, så adressen må sjekkes for seg.
• Sjekk domenet bokstav for bokstav. Feilstavinger og uventede endelser er det vanligste tegnet på en falsk side.
• Ikke klikk deg inn fra SMS og e-post. Skriv inn adressen selv eller søk opp virksomheten.
• Del aldri BankID, passord eller koder, uansett hvem som spør eller hvor ekte siden ser ut.
• Eier du nettsiden, er ansvaret ditt. Oppdateringer, sikre innlogginger, sikker kode og jevnlige sikkerhetstester er det som gjør siden trygg for kundene dine.

Innholdsfortegnelse

• Slik sjekker du om en nettside er sikker
• Hva hengelåsen og HTTPS faktisk betyr
• Slik sjekker du en lenke før du klikker
• Tegn på en falsk nettside eller nettbutikk
• Hvis du allerede har klikket eller lagt inn opplysninger
• Når nettsiden er din: dette gjør den sikker for kundene
• Vårt syn på sikre nettsider
• Få nettsiden din sjekket
• Vanlige spørsmål
• Kilder

Slik sjekker du om en nettside er sikker

De fleste falske nettsider avslører seg hvis du tar deg ti sekunder før du taster inn noe. Gå gjennom disse stegene i rekkefølge, særlig før du logger inn, betaler eller oppgir personopplysninger.

1. Se hvordan du kom til siden. Kom du via en lenke i SMS, e-post eller sosiale medier, skal du være ekstra varsom. Politiet anbefaler å søke opp nettstedet selv i stedet for å klikke på lenker du får tilsendt.
2. Les hele adressen i adressefeltet. Ikke bare begynnelsen. Se etter feilstavede navn, ekstra ord, bindestreker og endelser du ikke forventer, for eksempel en bank som plutselig ligger på noe annet enn .no.
3. Sjekk sikkerhetsstatusen i nettleseren. Klikk på ikonet til venstre for adressen. Google forklarer at statusen viser om forbindelsen er privat, men råder deg samtidig til å kontrollere nettstedets navn i adressefeltet før du oppgir personopplysninger.
4. Reager på advarsler om sertifikat. Får du beskjed om at sertifikatet er ugyldig, utløpt eller selvsignert, er rådet fra Microsoft å la være å skrive inn personopplysninger på siden.
5. Vurder hva siden ber om. En ekte nettbutikk trenger ikke BankID-koden din for å sende deg en pakke. En ekte bank ber deg aldri oppgi passordet på telefon eller i chat.
6. Se etter press. Nedtelling, «siste sjanse», trusler om stengt konto og priser som er for gode til å være sanne er klassiske grep for å få deg til å handle før du tenker.
7. Bruk en lenkeskanner ved tvil. NorSIS anbefaler å bruke en lenkeskanner og vurdere omstendighetene rundt lenken: skrivefeil, lokking, trusler eller tidspress er alle grunner til å stoppe opp.

Det viktigste rådet er det enkleste: er du usikker, gå inn på tjenesten slik du pleier, via bokmerke, app eller ved å skrive adressen selv. Da havner du på den ekte siden uansett hva meldingen påstod.

Hva hengelåsen og HTTPS faktisk betyr

Mange har lært at hengelåsen betyr «trygt». Det stemmer bare halvveis, og det er nettopp den misforståelsen svindlerne lever av.

HTTPS betyr at trafikken mellom deg og nettstedet er kryptert. Ingen på det samme trådløse nettet kan lese eller endre det du sender. Uten HTTPS er forbindelsen ikke privat, og Google skriver at andre da kan se eller endre informasjonen som sendes og mottas.

Men krypteringen sier ingenting om hvem som står bak siden. NorSIS påpeker at HTTPS og hengelås i utgangspunktet bare viser en kryptert tilkobling, og at phishing-sider også kan bruke HTTPS. Et sertifikat er lett og ofte gratis å skaffe, også for en svindler. Microsoft sier det samme om nettleseren Edge: også nettsteder med gyldige sertifikater kan ha dårlig rykte, og adressen må derfor sjekkes separat.

Tenk på det slik: HTTPS er en låst konvolutt. Den hindrer at noen leser brevet underveis, men den forteller ikke om mottakeren er den du tror.

Slik sjekker du en lenke før du klikker

De fleste falske nettsider får besøk gjennom lenker. Derfor lønner det seg å sjekke lenken før du havner på siden.

• Hold pekeren over lenken. På PC viser nettleseren eller e-postprogrammet den faktiske adressen nederst i vinduet. NorSIS anbefaler å se den reelle adressen før du klikker. På mobil kan du holde fingeren på lenken for å se adressen uten å åpne den.
• Vær skeptisk til forkortede lenker. Tjenester som korter ned adresser skjuler hvor du faktisk ender. NorSIS råder til å unngå dem når du ikke vet hvem som har laget dem.
• Sjekk avsenderen. NorSIS anbefaler å kontrollere avsenderadressen, lenkemålet og om domenet er feilstavet eller har en uventet endelse. Et visningsnavn som sier «DNB» eller «Posten» betyr lite hvis adressen bak er en tilfeldig gmail-konto.
• Spør avsenderen gjennom en annen kanal. Får du en lenke fra en kollega eller leverandør som virker rar, ring eller send en ny melding og spør om de faktisk har sendt den.
• Skriv inn adressen selv. Er du usikker på hvor en lenke fører, er det tryggeste å gå direkte til nettstedet uten å bruke lenken.

For bedrifter er dette ikke bare et personlig råd. En ansatt som klikker på feil lenke kan gi angripere tilgang til e-post, økonomisystem og kundedata. Vi har skrevet mer om tiltakene som beskytter bedriften mot dataangrep.

Tegn på en falsk nettside eller nettbutikk

Falske nettbutikker og innloggingssider er ofte gode kopier. Logoen er riktig, fargene stemmer og bildene er stjålet fra den ekte siden. Det som avslører dem, er detaljene rundt.

Adressen er nesten riktig. En ekstra bokstav, en bindestrek, «-norge», «-salg» eller en endelse som .shop, .top eller .xyz der du ventet .no. Dette er det tydeligste tegnet, og det NorSIS trekker fram først.

Prisene er urealistisk lave. Merkevarer til 70 prosent rabatt hele året, eller en «utsalgsperiode» som aldri tar slutt, er et varsel.

Kontaktinformasjonen mangler eller er vag. En seriøs norsk nettbutikk viser hvem som driver den, med adresse, e-post og organisasjonsnummer. Et organisasjonsnummer kan du slå opp i Brønnøysundregistrene og se om navnet stemmer med butikken.

Språket skurrer. Rar grammatikk, maskinoversatte setninger og blanding av språk tyder på at siden er laget raskt og i stor skala.

Betalingen er uvanlig. Ber butikken om bankoverføring til en privatkonto, gavekort eller kryptovaluta i stedet for vanlige betalingsløsninger, bør du avbryte.

Anmeldelsene finnes bare på siden selv. Søk opp butikkens navn sammen med ord som «svindel» eller «erfaring» og se hva andre skriver på uavhengige steder.

Siden ber om mer enn den trenger. En innloggingsside som vil ha både passord, kortnummer og BankID-kode på én gang, er ikke en vanlig innloggingsside.

Hvis du allerede har klikket eller lagt inn opplysninger

Det skjer med de flinkeste. Det som teller, er hvor raskt du handler.

1. Avslutt kontakten. Lukk siden, legg på telefonen eller slutt å svare på meldingen.
2. Kontakt virksomheten via offisielle kanaler. Politiet minner om at svindlere kan forfalske telefonnumre, e-postadresser og SMS, så bruk nummeret på kortet ditt eller den ekte nettsiden.
3. Ring banken med en gang hvis du har oppgitt kortnummer, BankID eller kontoopplysninger. Be om å sperre kort og stanse transaksjoner.
4. Bytt passord på kontoen du logget inn på, og på alle andre kontoer der du har brukt samme passord. Slå på totrinnsinnlogging der det finnes.
5. Si fra internt hvis det skjedde på jobb. Jo raskere IT-ansvarlig eller leverandøren vet om det, jo mindre skade rekker angriperen å gjøre.
6. Anmeld svindelen til politiet, og ta vare på skjermbilder, meldinger og kvitteringer.

Husk regelen som gjelder uansett: Politiet råder deg til aldri å dele BankID, passord eller sensitive personopplysninger, uansett hvem som spør.

Når nettsiden er din: dette gjør den sikker for kundene

Alt over handler om å gjenkjenne en trygg side som besøkende. Men for deg som driver en bedrift, er spørsmålet like ofte motsatt: er vår egen nettside sikker? Kundene dine gjør de samme sjekkene på din side som de gjør på alle andre. Og en hacket bedriftsside kan brukes til å spre skadevare eller lure nettopp de kundene som stoler mest på deg.

En sikker nettside for en bedrift hviler på noen få, konkrete grep:

Det siste punktet overrasker mange. Datatilsynet anbefaler virksomheter å bruke automatisk e-postfiltrering og kontroll av SPF og DKIM. Uten dette kan svindlere sende e-post som ser ut til å komme fra ditt domene, med lenker til en falsk kopi av nettsiden din. Da er det din merkevare kundene mister tilliten til.

Teknikken er bare halve jobben. De ansatte er ofte den første forsvarslinjen, og Datatilsynet anbefaler å kombinere opplæring og bevisstgjøring med phishing-tester og et fast kontaktpunkt der ansatte kan få hjelp med mistenkelige meldinger. Det er nettopp det vi gjør gjennom opplæring og phishing-test for ansatte.

Hvordan vet du at det faktisk er sikkert?

En sjekkliste forteller hva som bør være på plass. Den forteller ikke om det er på plass. Det eneste som svarer på det, er å teste siden slik en angriper ville gjort: prøve innloggingen, skjemaene, gamle tillegg, feilkonfigurasjoner og alt annet som er synlig utenfra. Det kalles en sikkerhetstest eller penetrasjonstest. Får du nettsiden laget fra bunnen av, kan sikkerheten bygges inn fra første linje kode, i stedet for å lappes på etterpå.

Vårt syn på sikre nettsider

De fleste små og mellomstore bedrifter vi møter, tror nettsiden er trygg fordi hengelåsen er der. Men hengelåsen er bare der fordi sertifikatet er på plass. Den sier ingenting om tillegget som ikke er oppdatert på tre år, admin-kontoen til en tidligere ansatt eller kontaktskjemaet som sender data rett ut.

Vi mener problemet sjelden er vilje. Det er at sikkerhet ofte blir presentert som en lang teknisk rapport som ingen i ledelsen har tid til å lese, og som ingen har ansvar for å følge opp. Da blir funnene liggende.

Derfor jobber vi annerledes. Når vi tester en nettside, får ledelsen en kort og forståelig oppsummering av hva vi fant og hva det betyr for bedriften. Så retter vi hullene selv, i stedet for å overlate det til deg. Du snakker direkte med fagpersonen som gjør jobben, uten selgere eller mellomledd.

En sikker nettside er ikke et produkt du kjøper én gang. Det er en side som er bygget riktig, holdt oppdatert og sjekket av noen som vet hva de ser etter. Det er det kundene dine forventer når de taster inn navnet og kortnummeret sitt hos deg.

Sejad

Få nettsiden din sjekket

Vil du vite om din egen nettside holder mål, er en sikkerhetstest av nettside, app og systemer stedet å starte. Vi finner hullene, forklarer dem på et språk ledelsen forstår, og fikser dem sammen med deg.

Skal du lage ny nettside eller nettbutikk, bygger vi den med sikkerheten innebygget fra start, og vi tilbyr også sikker utvikling og kodegjennomgang av løsninger du allerede har. Vil du begynne enkelt, kan du ta en gratis sjekk av e-posten din og se hvordan domenet ditt står seg mot falske e-poster.

Vanlige spørsmål

Er en nettside trygg hvis den har hengelås?

Nei, ikke nødvendigvis. Hengelåsen viser at forbindelsen er kryptert, slik at ingen kan lese det du sender underveis. Den sier ingenting om hvem som driver siden, og falske sider bruker ofte HTTPS. Sjekk derfor alltid den nøyaktige adressen i tillegg.

Hvordan kan jeg sjekke om en lenke er trygg?

Hold pekeren eller fingeren over lenken og les den faktiske adressen før du åpner den. Se etter feilstavinger og uventede endelser, og vær skeptisk til forkortede lenker. Er du i tvil, skriv inn adressen til tjenesten selv eller spør avsenderen gjennom en annen kanal.

Hvordan ser jeg om en nettbutikk er falsk?

Se etter en adresse som nesten ligner den ekte, urealistisk lave priser, manglende kontaktinformasjon og organisasjonsnummer, dårlig språk og uvanlige betalingsmåter. Søk opp butikkens navn og les hva andre skriver på uavhengige steder før du handler.

Hva gjør jeg hvis jeg har lagt inn opplysninger på en falsk side?

Ring banken umiddelbart hvis du har oppgitt kort- eller BankID-opplysninger, og bytt passord på berørte kontoer. Kontakt virksomheten gjennom offisielle kanaler, ikke via meldingen du fikk. Ta vare på skjermbilder og anmeld svindelen til politiet.

Hvor ofte bør en bedrift teste sin egen nettside?

Det avhenger av hvor mye siden endres og hvilke data den håndterer. En god tommelfingerregel er å teste etter større endringer, som ny nettbutikk, ny innlogging eller nye integrasjoner, og ellers jevnlig. Vi hjelper deg å finne et nivå som passer bedriften.

Kilder

NorSIS: Er lenken og vedlegget trygt? NorSIS: Hva er phishing? Politiet: Beskytt deg mot svindel og ID-tyveri Google Chrome: Sjekk om tilkoblingen til et nettsted er sikker Microsoft: Surfe på nettet på en sikker måte i Microsoft Edge Datatilsynet: Phishing, hvordan beskytte virksomheten

Anbefalinger

• Sikker sky og e-post: Microsoft 365, Google og AWS
• Sikkerhetstest av nettside, app og systemer
• Sikker utvikling og kodegjennomgang
• Risiko og regler: GDPR, NIS2 og sikkerhetsrutiner