Slik stanser du phishingangrep i bedriften

Du stanser ikke phishing med ett tiltak, men med flere lag som tar det forrige laget sitt hull. Det første laget filtrerer bort falske e-poster før de kommer frem. Det andre gjør et stjålet passord verdiløst. Det tredje er ansatte som kjenner igjen svindelen og melder fra. Det fjerde er rutiner for betalinger som ikke lar seg overstyre av en e-post. Det femte er en plan for hva dere gjør når noen likevel klikker. Under går vi gjennom hvert lag, i den rekkefølgen en liten eller mellomstor bedrift uten egen IT-avdeling bør ta dem.

Kort oppsummert

• Filtrer før innboksen: Sett opp SPF, DKIM og DMARC, og la e-posttjenesten blokkere kjente ondsinnede domener, farlige vedlegg og makroer.
• Gjør passord mindre verdt: Vanlig totrinnsbekreftelse kan omgås. NSM anbefaler phishingresistent innlogging som passnøkler, først for ledere, økonomi og administratorer.
• Tren og test de ansatte: Opplæring og phishing-tester gjør at folk kjenner igjen svindel, og ett tydelig sted å melde fra gjør at dere oppdager angrep tidlig.
• Lås betalingsrutinene: Endring av kontonummer eller hastebetalinger bekreftes alltid via en annen kanal enn e-posten.
• Ha en plan for klikket: Bytt passord, steng tilganger og vurder om personopplysninger er rammet. Datatilsynet skal da varsles innen 72 timer.

Innholdsfortegnelse

• Hvorfor phishing fortsatt lykkes
• Lag 1: Stopp e-posten før den når innboksen
• Lag 2: Gjør et stjålet passord verdiløst
• Lag 3: Ansatte som kjenner igjen svindel og melder fra
• Lag 4: Rutiner som stopper svindelen selv om e-posten kommer frem
• Når noen har klikket: de første timene
• Hvem dere må varsle
• Slik ser vi det
• Få hjelp til å stanse phishing
• Vanlige spørsmål
• Kilder

Hvorfor phishing fortsatt lykkes

Phishing-e-poster er ikke lenger fulle av stavefeil fra en fremmed adresse. Datatilsynet påpeker at forsøkene i økende grad kommer fra avsendere som ser legitime ut. Derfor holder det sjelden med en generell beskjed om å ikke åpne e-post fra ukjente.

Samtidig har angriperne lært seg å komme forbi tiltakene mange bedrifter stoler på. NSM har varslet at aktører i økende grad tar seg forbi tradisjonell flerfaktorautentisering, for eksempel ved å stjele både passord og engangskode på en falsk innloggingsside. Da NSM hevet det nasjonale cyberrisikonivået til høyt, var phishingresistent flerfaktorautentisering blant tiltakene alle norske virksomheter ble bedt om å sette seg inn i.

Konsekvensen er enkel: Bedriften må anta at noen e-poster kommer frem, og at noen ansatte en dag klikker. Målet er at det klikket ikke skal bli en katastrofe. Det britiske NCSC deler forsvaret inn i fire lag: gjøre det vanskelig å nå brukerne, hjelpe brukerne å kjenne igjen og melde fra, beskytte virksomheten mot e-postene som slipper gjennom, og reagere raskt. Vi følger den samme logikken, tilpasset norske forhold.

Lag 1: Stopp e-posten før den når innboksen

Det billigste phishing-forsøket er det ingen ser. Her gjør teknikken jobben, og de fleste bedrifter har allerede verktøyene i Microsoft 365 eller Google Workspace, men uten at de er riktig satt opp.

SPF, DKIM og DMARC

Disse tre oppføringene i domenets DNS forteller mottakere hvilke servere som har lov til å sende e-post for dere, og hva som skal skje med e-post som utgir seg for å være fra dere uten å være det.

• SPF lister opp hvilke servere som får sende e-post fra domenet.
• DKIM signerer utgående e-post digitalt, slik at mottakeren kan se at den ikke er endret underveis.
• DMARC binder de to sammen og sier hva mottakeren skal gjøre når kontrollen feiler.

Datatilsynet anbefaler automatisk filtrering av e-post som feiler SPF- eller DKIM-kontroll, i tillegg til blokkeringslister for kjente ondsinnede domener. Amerikanske CISA, NSA og FBI går et steg lenger i sin veiledning for små og mellomstore virksomheter: Aktiver DMARC for innkommende e-post, og sett DMARC til «reject» for e-post dere sender, slik at svindlere ikke kan forfalske bedriftens domene overfor kunder og leverandører.

Stå DMARC på «none», som det ofte gjør etter et halvferdig oppsett, blir forfalsket e-post fra domenet deres levert som normalt. Det er en av de vanligste svakhetene vi ser.

Filtrering av innhold, lenker og vedlegg

Utover avsenderkontrollen bør e-posttjenesten sjekke selve innholdet. CISA beskriver i sin Capacity Enhancement Guide filtrering basert på innhold og headere, kontroll av lenker og egne regler tilpasset virksomheten. Konkret betyr det:

• Blokker kjørbare filtyper som .exe og .scr i vedlegg.
• Blokker makroer i Office-filer fra internett.
• Merk e-post fra eksterne avsendere tydelig, slik at en falsk «e-post fra sjefen» skiller seg ut.
• Bruk DNS-filtrering, så en ansatt som klikker på en kjent svindelside blir stoppet før siden lastes.

Lag 2: Gjør et stjålet passord verdiløst

Selv med godt filter kommer noen e-poster frem. Det neste laget sørger for at et passord som tastes inn på en falsk side ikke gir angriperen noe.

Fra totrinnsbekreftelse til phishingresistent innlogging

Totrinnsbekreftelse med SMS-kode eller godkjenning i en app er langt bedre enn bare passord, og Politiet anbefaler å bruke det på all e-post. Problemet er at koder også kan fiskes. Derfor anbefalte NSM i et varsel fra desember 2024 at virksomheter går over til passnøkler eller andre FIDO2-løsninger. En passnøkkel er knyttet til det ekte nettstedet og fungerer rett og slett ikke på en falsk kopi.

NSM anbefaler å starte med Microsoft 365 og andre skyløsninger, identitetsløsninger og tjenester som er eksponert mot internett. Ved gradvis utrulling bør de mest utsatte brukerne komme først: økonomiansvarlige, ledere og systemadministratorer.

Minste privilegium og egne passord

Jo mindre en enkelt konto har tilgang til, jo mindre skade gjør den i feil hender. Gi ansatte tilgang til det de trenger i jobben, ikke mer, og bruk egne administratorkontoer til administrasjon. Politiet minner også om å aldri bruke samme passord flere steder, fordi ett stjålet passord da åpner mange dører.

Lag 3: Ansatte som kjenner igjen svindel og melder fra

Teknikken stopper mye, men de ansatte er siste kontroll før et klikk. Målet er ikke at alle skal bli sikkerhetseksperter, men at alle stopper opp ved de samme varselsignalene og vet hvem de skal si fra til.

Varselsignalene

Microsoft anbefaler å være mistenksom overfor alle meldinger som krever at du klikker, ringer eller åpner noe umiddelbart, og å gå til nettstedet via en lagret favoritt i stedet for lenken. Ser meldingen ut til å komme fra en kollega eller kjent kontakt, bekreft via en annen kanal, som telefon eller SMS.

Opplæring og phishing-tester

Datatilsynet trekker frem både opplæring, phishing-tester og et eget kontaktpunkt for rapportering som tiltak virksomheten bør ha. CISA anbefaler at opplæringen gjentas minst årlig. En phishing-test er en realistisk, men ufarlig, falsk e-post sendt til de ansatte. Den viser hvor mange som klikker, hvem som melder fra, og hvilke typer e-post som lurer folk hos dere. Resultatet er langt mer nyttig enn en generell presentasjon, fordi opplæringen kan rettes mot de svakhetene dere faktisk har.

Gjør det lett å melde fra

Universitetet i Oslo påpeker et poeng som gjelder like mye i en bedrift på ti ansatte: Jo bedre laget en phishing-e-post er, jo større er sjansen for at flere blir lurt, og derfor er rask rapportering ekstra viktig. Bestem ett sted folk melder fra, en knapp i e-postprogrammet, en fast e-postadresse eller en navngitt person. Takk alle som melder, også når det var falsk alarm. Den som er redd for å bli kjeftet på, melder ikke fra om klikket sitt.

Lag 4: Rutiner som stopper svindelen selv om e-posten kommer frem

Mange av de dyreste angrepene inneholder verken lenke eller vedlegg. Det er en vanlig e-post fra en «leverandør» med nytt kontonummer, eller fra «daglig leder» som trenger en rask overføring. Her er det rutiner, ikke teknikk, som redder dere.

Politiets råd mot bedrageri mot virksomheter er tydelige:

1. Endre aldri betalingsdetaljer på bakgrunn av en e-postdialog.
2. Bekreft betalingsopplysninger via en annen kanal, helst en kryptert meldingstjeneste.
3. Avtal tidlig, gjerne når kontrakten inngås, hvilken kanal dere skal bruke for å kontrollere betalingsopplysninger.
4. Følg alle sikkerhetsrutiner for betaling og innkjøp, og hopp aldri over et trinn fordi noen har det travelt.

I veiledningen for ansatte på hjemmekontor anbefaler Politiet også å ringe den som sendte forespørselen ved tvil, særlig ved økonomiske forespørsler som kan være direktørsvindel. Skriv rutinen ned, og la ledelsen si høyt at ingen får kritikk for å ringe og sjekke en betaling, heller ikke når det er daglig leder selv som spør.

Når noen har klikket: de første timene

Skjer det likevel, teller tiden. NSMs beredskapsråd starter med å stoppe opp, melde fra og utpeke én som leder håndteringen. Deretter:

1. Meld fra internt med en gang. Den ansatte kontakter det avtalte kontaktpunktet, uten å slette e-posten først.
2. Steng angriperen ute. Datatilsynet anbefaler å endre passord og lukke åpne tilganger for den kompromitterte kontoen, og undersøke om flere kontoer eller systemer er rammet.
3. Sjekk totrinnsbekreftelsen. UiO råder til å se etter om noen har lagt til egne enheter eller misbrukt tofaktoren, og slette alle enheter du ikke kjenner igjen.
4. Se etter skjulte endringer. Angripere legger ofte inn videresendingsregler i e-posten for å lese med i stillhet. Gå gjennom regler, delte filer og innloggingslogger.
5. Ring banken hvis penger er involvert. Politiet sier at man skal ta umiddelbar kontakt med egen bank ved mistanke om bedrageri. Jo raskere, jo større sjanse for å stoppe en overføring.
6. Bytt passord overalt det er gjenbrukt. Ble passordet brukt andre steder, må det endres der også.
7. Rydd opp og overvåk. NSMs sjekkliste for digitale angrep anbefaler å kontrollere at sikkerhetskopier er fri for skadevare før gjenoppretting, installere sikkerhetsoppdateringer og skjerpe overvåkingen for å oppdage nye forsøk.

Phishing er ofte første steg i et større angrep. Les mer om hvordan dere stopper løsepengevirus i bedriften, og husk NSMs råd om tre kopier av data, på to ulike medier, der én er frakoblet.

Hvem dere må varsle

Et vellykket phishingangrep er ikke bare et IT-problem. Det kan utløse plikter etter personvernregelverket.

Datatilsynet. Ifølge Datatilsynets veiledning om digitale angrep har vellykkede phishing- og e-postangrep høy risiko for alvorlige brudd på personopplysningssikkerheten. Er personvernkonsekvensene uklare, skal dere prioritere egen håndtering, men første melding må gis innen 72 timer og følges opp med mer informasjon senere. Meldingen sendes av den behandlingsansvarlige gjennom Altinn. Dersom bruddet gir høy risiko for de berørte, må også de informeres, etter GDPR artikkel 34.

Politiet. Svindel og datainnbrudd kan anmeldes, og NSMs sjekkliste nevner rapportering til politiet som en del av hendelseshåndteringen.

NSM og sektorresponsmiljøet. NSMs nasjonale cybersikkerhetssenter koordinerer håndteringen av alvorlige digitale angrep. Hører bedriften til en sektor med eget responsmiljø, skal det også varsles.

Kunder og leverandører. Har angriperen fått tilgang til en e-postkonto, kan neste svindelforsøk bli sendt fra den, til deres egne kontakter. Et kort varsel om å være ekstra påpasselige med e-post fra dere kan stoppe neste ledd.

Vil dere ha rutinene for avvik og varsling på plass før noe skjer, hjelper vi med risiko, GDPR og NIS2.

Slik ser vi det

Når vi gjennomgår e-post og sky hos små og mellomstore bedrifter, er det sjelden mangel på verktøy som er problemet. Microsoft 365 og Google Workspace har det meste innebygget. Det som mangler, er at noen har slått det på, satt det riktig opp og sjekket at det faktisk virker.

Vi ser DMARC som aldri ble satt til «reject», administratorkontoer uten sterk innlogging og betalingsrutiner som bare finnes i hodet til én person. Ingen av delene er vanskelig å fikse, men det krever at noen tar ansvar for det.

Derfor leverer vi ikke bare en teknisk rapport. Ledelsen får en kort oppsummering av hva vi fant og hva det betyr for bedriften, og vi retter hullene selv sammen med dere. Dere snakker direkte med fagpersonen som gjør jobben, uten mellomledd. For en bedrift uten egen IT-avdeling er det forskjellen mellom å vite om problemet og å ha løst det.

Og vi tester de ansatte med realistiske phishing-e-poster, ikke for å ta noen, men for at opplæringen skal treffe det som faktisk lurer folk hos dere.

Sejad

Få hjelp til å stanse phishing

Den raskeste starten er å vite hvordan e-posten deres står i dag. Med vår gratis sjekk av e-posten din ser vi blant annet på om domenet er beskyttet mot forfalskning, og dere får en forståelig oversikt over hva som bør gjøres.

Vil dere gå hele veien, setter vi opp og gjennomgår sikker sky og e-post i Microsoft 365 eller Google, og vi holder opplæring og phishing-test for ansatte. Trenger dere en bredere plan, finner dere den i vår gjennomgang av tiltakene som beskytter bedriften mot dataangrep.

Vanlige spørsmål

Kan en e-post som ser ut til å komme fra meg selv bety at jeg er hacket?

Ikke nødvendigvis. Avsenderadressen kan forfalskes, og det er nettopp dette DMARC satt til «reject» er laget for å hindre. Sjekk likevel sendt-mappen, innloggingsaktiviteten og videresendingsreglene, og bytt passord hvis noe ser fremmed ut.

Hva er vishing?

Vishing er phishing over telefon: Svindleren ringer og utgir seg for å være banken, IT-støtte eller en leverandør. Datatilsynet råder til å holde hodet kaldt og aldri la seg presse til å sende penger eller dele informasjon. Legg på og ring tilbake på et nummer du vet er riktig.

Hva gjør jeg hvis bedriften allerede er svindlet?

Kontakt banken med en gang for å forsøke å stoppe overføringen, og anmeld forholdet til politiet. Steng tilgangen til kontoer som kan være kompromittert, og vurder om personopplysninger er rammet. I så fall skal Datatilsynet ha første melding innen 72 timer.

Holder det med totrinnsbekreftelse?

Det stopper mye, men ikke alt. NSM advarer om at avansert phishing kan omgå tradisjonell flerfaktorautentisering, og anbefaler passnøkler eller andre FIDO2-løsninger. Start med ledere, økonomi og administratorer.

Kilder

Datatilsynet: Phishing, hvordan beskytte virksomheten Datatilsynet: Håndtering av personvernet ved digitale angrep Datatilsynet: Meld avvik til Datatilsynet Datatilsynet: Håndtering av epost- og telefonsvindel NSM: Anbefaler overgang til phishingresistent autentisering NSM: Hever det nasjonale cyberrisikonivået til høyt NSM: Håndtering av digitale angrep, sjekkliste Politiet: Hvordan unngå bedrageri mot din virksomhet? Politiet: Sikkert hjemmekontor for ansatte Microsoft Support: Beskytt deg mot phishing Universitetet i Oslo: Nettsvindel, phishing, spam og hacking CISA m.fl.: Phishing Guidance, Stopping the Attack Cycle at Phase One CISA: Capacity Enhancement Guide, Counter-Phishing NCSC UK: Phishing attacks, defending your organisation

Anbefalinger

• Slik beskytter du bedriften mot dataangrep: tiltakene som virker
• Opplæring og phishing-test for ansatte
• Slik stopper du løsepengevirus i bedriften
• Hjelp med cybersikkerhet: slik får bedriften riktig hjelp