Phishing, alltså bluffmejl som lurar mottagaren att klicka, logga in eller betala, är fortfarande ett av de vanligaste sätten för bedragare att ta sig in i ett företag. Det räcker att en enda medarbetare klickar på fel länk en stressig morgon, så kan en angripare komma åt e-post, filer och kundregister. Och problemet har inte blivit mindre med åren: dagens bluffmejl är ofta välskrivna, personliga och svåra att skilja från äkta meddelanden.
Den goda nyheten är att de flesta phishing-försök går att stoppa med några grundläggande vanor och rätt tekniska skydd. I den här guiden går vi igenom hur phishing ser ut idag, vilka varningstecken ni ska reagera på, vad ni absolut inte ska göra och hur ni bygger ett skydd som håller även när någon väl råkar klicka.
Den klassiska bilden av bluffmejl, med dålig svenska, konstiga avsändare och en prins som vill skicka pengar, stämmer allt sämre. Många moderna bluffmejl är välformulerade och anpassade efter just er bransch eller roll. De spelar ofta på tidspress, auktoritet eller nyfikenhet för att få er att agera innan ni hinner tänka efter.
Vanliga former att hålla utkik efter:
- Falska inloggningssidor som ser ut som Microsoft 365, banken eller en leverantörsportal, men som ligger på en annan adress.
- Fakturabedrägeri där en "leverantör" plötsligt har nytt bankgiro, eller där en chef "brådskande" ber om en betalning.
- VD-bedrägeri, där avsändaren utger sig för att vara chefen och ber en medarbetare köpa presentkort eller godkänna en överföring.
- QR-koder i mejl eller bilagor som leder till en bluffsida. Ett knep för att kringgå filter och få er att skanna med mobilen i stället.
- Bilagor och länkar som påstås vara en faktura, ett spårningsnummer eller ett delat dokument.
Det går alltså inte längre att lita enbart på magkänslan. Skyddet måste bygga på tydliga rutiner och teknik som fångar det som ögat missar i stunden.
De flesta bluffmejl avslöjar sig om man vet vad man ska titta efter. Lär hela teamet att stanna upp vid något av dessa tecken:
- Oväntad brådska eller hot: "Agera inom 24 timmar, annars stängs kontot."
- Avsändaradress som inte stämmer. Håll muspekaren över namnet och läs den faktiska adressen, inte bara visningsnamnet.
- Länkar som pekar någon annanstans än de utger sig för. Hovra över länken (på dator) och granska adressen innan ni klickar.
- Begäran om lösenord, BankID, koder eller betalningsuppgifter. Seriösa avsändare frågar aldrig om detta via mejl.
- Ändrade kontouppgifter eller nytt bankgiro hos en känd leverantör.
- Hälsningar och formuleringar som är opersonliga eller "nästan rätt" men ändå lite fel.
- Bilagor ni inte väntade er, särskilt filer som vill att ni "aktiverar innehåll".
En enkel tumregel: om ett mejl väcker starka känslor, som stress, rädsla eller nyfikenhet, är det extra skäl att sakta ner och kontrollera.
När misstanken väcks är det lika viktigt att veta vad man ska låta bli:
- Klicka inte på länkar eller knappar i mejlet för att "kolla om det är på riktigt".
- Öppna inte bilagor ni inte väntat er, och aktivera aldrig makron i ett dokument på uppmaning.
- Svara inte på mejlet och lämna aldrig ut lösenord, koder eller betalningsuppgifter.
- Skanna inte QR-koder från okända eller oväntade mejl med mobilen.
- Lita inte enbart på att avsändaren ser bekant ut. Namn och logotyper är lätta att förfalska.
Vill ni verifiera ett mejl? Kontakta avsändaren via en kanal ni redan känner till. Ring numret ni har sedan tidigare, eller logga in på tjänsten genom att själva skriva adressen i webbläsaren, aldrig via länken i mejlet.
Människor gör misstag, och därför ska tekniken finnas där som skyddsnät. Två åtgärder gör störst skillnad.
Flerfaktorsautentisering (MFA) innebär att ett stulet lösenord inte räcker för att logga in. Det krävs även en kod eller bekräftelse från till exempel en app. MFA stoppar en stor del av alla kontokapningar. Tänk samtidigt på att bedragare numera försöker kringgå MFA, antingen genom att lura fram engångskoder i realtid eller genom att skicka upprepade inloggningsförfrågningar tills någon godkänner av misstag. Godkänn därför aldrig en inloggning ni inte själva startat, och överväg starkare, så kallade phishing-resistenta metoder som säkerhetsnycklar för känsliga konton.
E-postfilter och skydd i er e-postmiljö, exempelvis i Microsoft 365, fångar en stor del av skräpposten och kända bluffmejl innan de når inkorgen. Komplettera med skydd som granskar länkar och bilagor, samt tydliga rutiner för vem som får godkänna betalningar och ändra kontouppgifter. Inget filter är perfekt, men kombinationen av bra filter och vaksam personal är svår att ta sig förbi.
Det händer i de bästa av organisationer. Det viktigaste är att agera snabbt och utan skuldbeläggande, så att medarbetare vågar säga till direkt i stället för att dölja misstaget.
Gör så här om ni misstänker att någon klickat eller loggat in på en bluffsida:
- Byt lösenord omedelbart på det berörda kontot, och på andra konton där samma lösenord använts.
- Kontrollera att MFA är aktivt och logga ut aktiva sessioner om det går.
- Koppla bort en eventuellt infekterad dator från nätverket och kör en säkerhetskontroll.
- Var extra vaksamma på utgående mejl och på regler som plötsligt vidarebefordrar post, ett vanligt spår efter en kapning.
- Kontakta er IT-partner och, vid bedrägeri eller dataintrång, överväg polisanmälan.
Långsiktigt är personalmedvetenhet ett av de billigaste och mest effektiva skydden. Återkommande, korta utbildningar och vänliga testutskick gör att fler känner igen mönstren, och att tröskeln för att fråga "är det här på riktigt?" blir låg. Säkerhet är ett lagarbete, inte en enskild medarbetares ansvar.