De ulike ansiktene til e-posttrusler

E-postsvindel kommer i alle former og størrelser. Noen er så åpenbare at de er latterlige – det er ikke gjort noen innsats for å skjule at det er svindel.

Men ikke tro at alle er slik. E-postsvindel ser bare ut til å bli mer utspekulert og kreativ. Dette er typen som selv den mest datakyndige gen-z-eren, som vokste opp med en iPad, ville sett to ganger på før de innså det. Der man, hvis de ikke var så djevelske, nesten kunne tatt et skritt tilbake og beundret fremgangsmåten. Vi skal vise deg hvordan du gjenkjenner phishing og andre vanlige e-postsvindler, og hvordan du beskytter deg mot dem.

Et raskt tilbakeblikk

Mange av oss husker de aller tidligste dagene med e-postsvindel – glansdager da vi både var mer naive, men også mindre tillitsfulle til e-poster. Når vi mottok en svindel, leste vi den med forvirret interesse og prøvde å forstå hvorfor avsenderen skulle tro at vi var den rette personen å be om hjelp.

Hvem husker The Spanish Prisoner? En uheldig sjel med stor rikdom, som desperat trengte at vi hjalp til med å betale løsepengene hans slik at han kunne bli løslatt fra fengsel. Morsomt nok er denne svindelen faktisk eldre enn e-post, og stammer fra tidlig på 1800-tallet. En eller annen maverick Internet Surfer bestemte seg tydeligvis for å digitalisere den.

Nå for tiden spiller e-postsvindel mye mer på styrkene ved det digitale formatet sitt. I motsetning til noen av de opprinnelige svindlene utnytter de fordelene Internett har kommet til å tilby gjennom årene — som muligheten til enkelt å behandle betalinger på nettet, økt avhengighet av e-post for vår viktigste kommunikasjon og utviklingen av sosiale medier, for å nevne noen få.

Tegn på svindel, med en gang

Før vi ser nærmere på de ulike typene e-postsvindel, skal vi dele noen generelle regler du kan bruke for å hjelpe deg med å identifisere e-postsvindel/spam — fordi de alle deler felles elementer — en avsender, en emnelinje, brødtekst og kanskje viktigst av alt, behovet for å bli lest og trodd.

Selskaps-/avsendernavn

Se etter:

1. Skrivefeil eller feil stilisering — Paypal vs. PayPal.

2. Noe som virker altfor beskrivende eller usannsynlig — AA Car Emergency vs. AA.

3. Selskaper du ikke handler hos/har med å gjøre — En melding fra Barclays når du bruker Lloyds.

4. Alt som virker merkelig — Fra symboler og bisart navngitte selskaper til merkelig mellomrombruk — noen ganger er det bare noe som føles galt med avsenderen.

Avsenders e-postadresse

Se etter:

1. En e-postadresse som ikke passer — Noe som ikke stemmer med selskapsnavnet.

2. Etterligninger — En adresse som er laget for å ligne det ekte selskapet. Dette kan være domenet (@paypalcare.com) eller TLD-en (@paypal.club).

3. Feil— Skrivefeil eller andre uregelmessigheter i adressen.

Emnefelt

Se etter:

1. Fraser som er laget for å skape hastverk — «Advarsel: Siste betalingsvarsel».

2. Språk som lover for mye — «Tjen £1000 på fem minutter».

3. Språk som fremkaller en sterk følelsesmessig reaksjon — «Du er ansatt! Start i morgen!»

4. Skrivefeil — Svindlere er ikke kjent for god grammatikk.

5. Overdreven bruk av tegnsetting eller emojier — Få ekte selskaper bruker dette.

6. Tilstedeværelsen av «Re» — Kan brukes for å antyde at du har svart før, selv om du ikke har det.

7. Knapper og vedlegg— Unngå alltid å klikke på knapper eller laste ned vedlegg i mistenkelige e-poster.

Brødtekst

Se etter:

1. Utrolige løfter— Ligner på versjonen i emnefeltet, men i brødteksten er det mer rom for utdyping, noe som gir mulighet til å gjøre løgnene mer overbevisende.

2. Oppfordringer til handling som søker personlig informasjon — Spesielt adresse- eller kortopplysninger.

3. Referanser til noe du ikke husker— Fra hendelser til tjenester du aldri har mottatt

4. Utgi seg for å være noen andre— Noen som hevder å være en venn eller slektning, men de høres ikke ut som seg selv.

Nå som du har litt bakgrunn om hvordan svindlere kan manipulere ulike deler av en e-post, la oss se på konkrete eksempler.

Malware

For mange er malware-angrep sannsynligvis den første typen ondsinnet e-post vi faktisk fryktet. Den gangen kalte vi dem nok bare e-postvirus. Åpne den, skjermen blir svart. Game over. Den typen ting.

I virkeligheten dekker malware et bredt spekter av ondsinnede angrep — og noen av dem er, ærlig talt, en god del skumlere enn en rask datadød.

Overvåking av tastetrykk? Tapping av CPU-en din uten at du vet det? Spionering på deg? Tvinge tvilsomme annonser til å dukke opp hvert femte minutt? Ja, malware dekker et bredt spekter av små programmer som fester seg i datamaskinen din uten at du vet det, og funksjonene deres spenner fra ting forbundet med lyssky spøkefugler til fullblods kriminelle. De er unnvikende og ofte vanskelige å bli kvitt — hvis du i det hele tatt vet at de er der.

Hvordan oppdage malware

Hvis du opplever noen av symptomene som er listet opp ovenfor, er det stor sjanse for at det er malware. Dette kan ha kommet fra en e-post — men ikke nødvendigvis. Det finnes andre måter disse programmene kan feste seg i datamaskinen din på også — nedlastinger, tvilsomme nettsteder og til og med ondsinnede maskinvareenheter. Hvis du noen gang finner en USB-minnepinne på gaten, ikke sjekk hva som er på den.

Beskytt deg mot malware

Med fare for å si det åpenbare, prøv programvare for malware-deteksjon. Men velg noe anerkjent.

Hvis du googler hvordan du kan forhindre malware i utgangspunktet, er det øverste rådet å installere antivirusprogramvare. Personlig kjenner jeg ingen som har gjort dette siden slutten av 2010-tallet, men hvem er vel jeg til å motsi hele menneskehetens kunnskap og masseerfaring homogenisert til et svar på én linje fra Gemini, servert på en brøkdel av etbrøkdels sekund?

Når det er sagt, er trusselbeskyttelsen som tilbys av operativsystemer generelt bedre enn den var i de tidlige dagene, spesielt Windows oppdateres for å beskytte mot trusler, men enda viktigere er at mye e-postprogramvare gjør jobben for oss ved å filtrere ut mistenkelige e-poster før de når oss.

Det er en god idé å finne en e-postleverandør som fremmer god beskyttelse mot malware, og som skanner e-postene dine før de når deg. Dette er spesielt bra når det gjelder å unngå psykologiske angrep (og vi kommer til dem om et øyeblikk).

Hvis vi snakker om beskyttelse, snarere enn forebygging, er det en god idé å ha regelmessige sikkerhetskopier, i tilfelle du blir rammet av et av disse angrepene. Jeg anbefaler personlig noe som Mega Sync, som oppdateres hver gang du trykker lagre på en fil.

Phishing

Nå for tiden er det sannsynligvis en phishing-svindel på e-post du mest sannsynlig vil støte på. Hvorfor? Fordi som en fengende melodi eller lukten av vår, er vi alle mottakelige for sjarmen deres. Men hvordan kan du identifisere phishing?

Phishing-angrep er effektive på grunn av sin allsidighet. Noen ganger er det ikke vanskelig å oppdage phishing. De kan være hva som helst: Bokstavelig talt alt som får noen til å oppgi personopplysningene sine. Tenk på enhver grunn til at du kan føle deg tvunget til å dele personopplysningene dine eller sende noen penger, så har det potensial til å bli en phishing-e-post.

Her er bare noen få eksempler, og husk at nøkkelen til phishing er at alle disse e-postene ser ekte ut, men er falske:

1. Varsel om tilbakestilling av passord.

2. Fyll ut manglende bankopplysninger.

3. Fullfør postadressen din for å aktivere levering.

4. Forny abonnementet ditt.

5. Du er vinner av en konkurranse!

6. En venn i nød som ber om hjelp.

7. Varsel om skatterefusjon.

8. Ber om veldedige donasjoner.

Hvis du ikke har sett en phishing-svindel, er du i det hele tatt en fisk? De er så allestedsnærværende at det er vanskelig å forestille seg e-post uten dem. Men det finnes mer enn én måte å fiske på…

Spear phishing og whaling

Spear phishing og whaling retter seg mot bestemte personer, ofte med mer aggressive taktikker.

Spear phishing bruker personlig kunnskap, vanligvis hentet fra flere kilder, for å lage mer overbevisende e-poster. Fordi den er skrevet med personlig informasjon, kan den referere til ekte venner, situasjoner eller til og med utgi seg for å være en bank (osv.) på en mer overbevisende måte. Hvis du synes dette virker usannsynlig å skje med deg, bør du huske på at de fleste har mer offentlig tilgjengelig informasjon på nettet enn de er klar over.

Hvis noen utga seg for å være vennen din og refererte til en svært spesifikk hendelse dere begge deltok på for ti år siden, hvorfor skulle du ikke tro på det? Det kan ta litt tid før du husker at du skrev om det i detalj på Facebook, og at innlegget er offentlig synlig. Når de ber om å få låne penger, kanskje du ville hjulpet til.

Vi er alle mottakelige for spear phishing, noe som gjør det farligere enn de mer åpenbare svindlene. Ett heldig forbehold er at forskningsnivået som kreves for å gjennomføre en spear phishing-svindel vellykket, virker avskrekkende på de fleste svindlere. Det er enklere å spre risikoen med en masseutsendt e-post som færre vil svare på. Men er det her AI vil komme inn i fremtiden? Vi må være årvåkne.

Whaling

Så, hva er whaling? Vel, på mange måter er et whaling-angrep stort sett det samme som spear phishing, men det er spesifikt rettet mot velstående personer, som administrerende direktører.

Den triste virkeligheten er at statusen deres både gjør dem til bedre mål å investere tid i, og at andre faktorer (som rikdommen deres, ansvaret deres, mangel på tid og store kontaktnett) betyr at det finnes flere potensielle svakheter å utnytte. For eksempel trenger de kanskje bare å overbevise en PA eller sekretær om at de har administrerende direktørs godkjenning. Så det virker som kommersiell whaling alltid er en dårlig ting.

Hvordan beskytte seg mot spear phishing og whaling

Utover det som er oppført i den generelle veiledningen vår ovenfor, bør du også sette opp sterk spamfiltrering. Den menneskelige faktoren er virkelig der phishing-e-poster skinner. Hvis malware er et enkelt triks, krever phishing på et vis at vi medvirker. Vi må tross alt gi fra oss informasjonen vår. Som vi har diskutert, gjør den dette ved å appellere til vår følelsesmessige respons.

Så det sterkeste våpenet mot dette er å sørge for at vi aldri kommer i kontakt med det i utgangspunktet. Spamfiltre ser etter flere elementer når de vurderer en e-post, som vi mennesker ikke kan. De kryssjekker svartelister, kjente atferdsmønstre og til og med en metode kjent som bayesisk filtrering. Dette sammenligner innholdet i en e-post med kjent spam kontra legitime e-poster for å beregne sannsynligheten for at det er spam. Gode spamfiltre vil også ta hensyn til hva andre brukere markerer som spam, og dermed skape det som kalles en tilbakemeldingssløyfe fra brukere.

Kompromittert bedrifts-e-post

Litt annerledes enn alt vi har sett på så langt, kommer dette fra motsatt vinkel — ideen om at en legitim e-postkonto har blitt kompromittert. Det trenger ikke å være en bedriftskonto, men for denne delen er det noen mer interessante faktorer å snakke om hvis vi forestiller oss at det er det.

Hvis en svindler ulovlig kan få tilgang til en bedrifts e-postkonto, kan de utgi seg for å være ansatte for å be om midler, eller til og med få tilgang til andre interne systemer som kan inneholde sensitive data.

Å kompromittere en bedriftskonto utnytter også en annen sosial særegenhet som finnes i mange bedrifter, særlig større: Det er usannsynlig at alle ansatte kjenner alle andre. Dette, kombinert med at folk forventes å være høflige i et arbeidsmiljø, betyr at disse e-postene har ekstra fordeler sammenlignet med private kontoer.

Hvordan beskytte seg mot dette

Å sørge for at alle ansatte bruker tofaktorautentisering (e-post 2FA), og velger sterke passord, reduserer risikoen for stjålne/hackede kontoer betydelig. 2FA sørger for at kontoinnehaveren alltid vil vite om noen prøver å bryte seg inn, og et sterkt passord gjør brute-force-angrep vanskeligere.

Du kan også redusere sannsynligheten for fremtidige problemer ved å deaktivere kontoene til ansatte som forlater selskapet umiddelbart. En gravplass av ubrukte kontoer som samler støv er bare en ulykke som venter på å skje.

Falske fakturaer

Et av temaene du kanskje legger merke til, er utnyttelsen av ulike følelsesmessige ytterpunkter. Så langt har vi vurdert frykten eller uforsiktigheten til en administrerende direktør og den antatte likegyldigheten fra én ansatt overfor en annen. Nå kan vi prøve sinne.

Noen hevder at du skylder dem penger og krever umiddelbar tilbakebetaling. De er sinte, de sier ting som får deg til å tvile på din egen hukommelse, eller skaper en situasjon du ikke kan være sikker på ikke er ekte. Giften og sinnet eskalerer til det nesten virker enklere å betale dem.

Dette føles kanskje ikke så sannsynlig for mange av oss, men kanskje det er det verste med det: Sjansen er stor for at «vi» ikke er målene deres. De som blir rammet, vil være de sårbare. De som kanskje virkelig ikke husker, eller som stoler mer på fremmede.

Forebygging

Hvis vi antar at vi ikke betaler tilfeldige fakturaer vi får på e-post, kan det være verdt å bruke denne anledningen til å foreslå at du snakker med dem i livet ditt som har mindre erfaring på nettet. Spør om de trenger hjelp til å identifisere svindel, og forklar at bare fordi noen krever penger, betyr ikke det at kravet deres er legitimt. Vi må tross alt ta vare på hverandre, og ingen ønsker å se noen gå rett inn i en åpenbar svindel.

Det finnes ressurser du kan veilede folk til som kan ta dem gjennom det på en brukervennlig måte.

Svindel med jobbtilbud

I motsetning til noen av de andre kan disse være vanskelige å oppdage selv for de mest erfarne av oss. En grunn til dette er at de ikke eksisterer i e-postens vakuum. Hvis noen av oss fikk en e-post ut av det blå som sa at vi hadde fått en jobb, ville vi med en gang visst at det var spam. Men hva om det ikke var slik det skjedde?

Hva om svindelen startet som en ekte annonse på et ekte jobbnettsted? Du søkte på den sammen med en haug andre ekte jobber, og den virket like sannsynlig som alle de andre. Vel, da er dette en e-post du forventer — håper på, til og med. Og, på samme måte som spear phishing, skaper dette en mer omfattende mulighet for svindel. Fordi du nå er en villig deltaker — i hvert fall i starten.

Men i hva? Disse svindlene kan ta utallige former, men i bunn og grunn, som de gamle pyramidespillene fra fortiden, ber de om penger på forhånd under dekke av å dekke kostnader, kjøpe utstyr eller til og med opplæring til stillingen — og ingenting av det er ekte. Noen ganger kan det til og med være andre i systemet som også tror det er ekte, og dette kan gi inntrykk av legitimitet der det ikke finnes noen.

Hvordan oppdage svindel med jobbtilbud

Det finnes visse tegn du kan se etter når du søker på jobber, som kan indikere at jobben ikke er legitim:

1. Urealistiske lønninger — Hvis noe virker for godt til å være sant, er det sannsynligvis det.

2. Vage eller usannsynlige jobber — Ville noen virkelig trenge eller ønske at noen utførte denne rollen?

3. Ingen intervjuer nødvendig — Eller ivrig jobbtilbud uten nødvendig kontroll.

4. Uprofesjonell kommunikasjon — Ber om mer data enn det som burde være nødvendig.

5. Manglende tilstedeværelse på nettet for selskapet — Eller et selskap hvis nettsted ser litt tvilsomt ut. Arkivbilder, usannsynlige anmeldelser, ikke noe reelt innhold — den typen ting.

Samtidig vil du ikke utelukke legitime jobber bare på grunn av en dårlig sammensatt annonse. Så det viktigste å se etter er noen som ber om penger før du starter. Det finnes nesten ingen tilfeller der en jobb skal kreve at du betaler noe på forhånd, langt mindre utfører oppgaver gratis.

Uansett hvor sikker du er på prosessen frem til det punktet, i det øyeblikket det blir snakk om å overføre penger, kan du være trygg på at det er svindel.

Romantisk svindel

Uten tvil den sterkeste følelsesmessige manipulasjonen av alle: Hvordan vi føler når vi er forelsket.

Jeg har personlig erfaring med at noen på en datingapp ba om å få låne penger (som er der denne typen svindel mest sannsynlig forekommer i dag). Det er ikke så uvanlig som du kanskje tror — og i noen tilfeller kan vi til og med slite med å tenke på det som svindel…

Grensene blir raskt uklare når hjertet begynner å styre hodet. Kanskje en del av oss til og med tenker «kanskje blir jeg lurt, men hva er vel en tier når det gjelder kjærlighet?». Men den personen kan bruke hele dagen på datingappen. Hvis de får ti personer om dagen til å gi en tier, er det faktisk ikke en dårlig lønn. Og det ville helt klart blitt klassifisert som svindel.

Hvordan unngå å bli forelsket i en romantisk svindel

Med fare for å høres ut som en hjertespalte, ikke la deg styre av hjertet. Hvis hodet ditt sier at det er svindel, så er det sannsynligvis det. Gi aldri penger til noen du ikke kjenner godt, uansett hvor mye de hevder å elske deg. Det er et trist faktum i livet at folk bruker sterke følelser til manipulasjon.

Premiesvindel

De fleste av oss husker nok å ha fått en flyer i posten som sa at vi hadde vunnet i et lotteri, og at vi måtte ringe et nummer for å hente premien. Jeg antar det var uunngåelig at også dette skulle bli til en e-post.

Det er ikke så mye å si her som ikke allerede er sagt i de andre delene. Kanskje vi bare kan lage et mantra for livet. Hvis en e-post sier at du har vunnet en premie, så har du ikke vunnet en premie*.

*Med mindre du vant en premie. Men du vant definitivt ikke en premie. Slutt å tenke på premien.

Forebygging

Hør her, du vant virkelig, virkelig ikke en premie. Kjøp en lottokupong hvis du må — men trykk på spamknappen.

Beskytt deg selv og andre

På alvorlig vis, enten det er spam eller svindel, er det virkelig ikke noe å le av. Folk blir faktisk skadet, mister penger eller føler seg dumme i etterkant.

Vi har foreslått flere måter å beskytte deg på, men det koker egentlig ned til tre ting:

• Aktiver så mye sikkerhet som du kan

Uansett hva leverandøren din tilbyr, enten det er 2FA, automatisk genererte passord eller til og med kryptering — hva som helst. Sett det opp. Det gjør bare kontoen din litt vanskeligere å kapre.

• Velg en sikkerhetsbevisst leverandør

En leverandør med sterk programvare for spamhåndtering og hyppige sikkerhetsoppdateringer er sannsynligvis din beste form for løpende beskyttelse som bedrift. De fleste svindlene vi har beskrevet begynner og slutter med spamhåndtering. Hvis vi aldri ser dem, blir de aldri et problem.

• Hold deg oppdatert

Phishing-svindel slutter aldri å utvikle seg. De retter seg mot deg, ikke innboksen din, så du er ditt eget beste forsvar.

Er det noen metoder du bruker for å unngå å falle for spam og svindel? Vi vil gjerne høre dem! Legg igjen tanker eller spørsmål i kommentarfeltet nedenfor