E-posthot förklarade: nätfiske, skadlig kod, skräppost, spear phishing och whaling

E-posthot finns i alla former och storlekar, men de är vanligtvis skadliga meddelanden som är avsedda att lura dig att skicka pengar, dela finansiella uppgifter eller lämna ut information om ett företag. De sträcker sig från irriterande plågor som skräppost, skadlig kod och virus till riktade attacker med enorm ekonomisk påverkan, som spear phishing, whaling och business email compromise. 

Vissa är så uppenbara att de är skrattretande - ingen ansträngning har lagts på att dölja bedrägeriet.

Men tro inte att de alla är sådana. E-postbedrägerier verkar bara bli mer lömska och kreativa. Det här är den sortens bedrägerier som till och med den mest datorvana gen z-personen, som växte upp sovande på en iPad, skulle titta två gånger på innan hen insåg. Om de inte vore så djävulska skulle man nästan kunna ta ett steg tillbaka och beundra tillvägagångssättet. Vi ska visa dig hur du känner igen nätfiske och andra vanliga e-postbedrägerier och skyddar dig mot dem.

Vad är e-posthot?

I stället för att försöka hacka sig igenom tuffa digitala brandväggar riktar sig e-posthot mot verkliga människor. Målet är att lura dig att klicka på en dålig länk eller avslöja ditt lösenord. När du väl gör det har angriparna ett perfekt läge för att stjäla pengar, installera virus på din dator eller stjäla din identitet och gå vidare till ett större mål. 

Varför finns e-posthot?

E-posthot finns eftersom e-post, trots att det är en av de mest populära kommunikationsmetoderna i världen, faktiskt inte är särskilt säkert. Nästan alla företag i världen kommunicerar via e-post och för att kontakta en anställd behöver du bara få tag på deras e-postadress. Därifrån är det lätt för en skicklig angripare att manipulera sig in. Det beror på att: 

1. Alla har en e-postadress: E-post fungerar som en offentlig brevlåda. Vem som helst med en internetanslutning kan skicka ett meddelande direkt till din telefon eller dator.

2. E-post är gammalt: Den grundläggande tekniken bakom e-post skapades för årtionden sedan med inbyggt förtroende. Den dubbelkontrollerar inte automatiskt om avsändaren är den de utger sig för att vara.

3. Människor luras lätt: Angripare kan låtsas vara en chef som kräver en brådskande tjänst. Dessutom kan AI-verktyg också hjälpa bedragare att skriva trovärdiga, felfria meddelanden. 

4. Billigt och lönsamt: Att skicka miljontals e-postmeddelanden kostar ingenting. Det räcker med att en person faller för tricket för att bedragaren ska kunna stjäla tusentals dollar.
   

Olika typer av e-posthot 

1. Nätfiske – Den vanligaste typen av e-posthot. Angripare skickar massutskick förklädda till populära varumärken som Netflix, Google eller din bank för att försöka lura dig att klicka på en länk som öppnar en falsk webbplats där du anger ditt lösenord.
   

2. Business email compromise (BEC) – Bedragare utger sig för att vara en vd, chef eller betrodd affärspartner och försöker övertyga någon på ekonomiavdelningen att föra över pengar direkt till bedragarens bankkonto.
   

3. Skadlig kod och ransomware – I den här attacken bär e-postmeddelandet på ett dolt virus. Om du öppnar filen laddar den ner programvara som stjäl dina filer eller låser hela din dator tills du betalar en lösensumma.
   

4. Spoofing och personifiering – Angripare ändrar "Från"-raden i ett e-postmeddelande för att få det att se ut som om det kom från någon du litar på. De kan byta ut bokstäver mot siffror eller registrera domäner som ser nästan identiska ut med riktiga företagsnamn.
   

5. QR-kodsnätfiske ("Quishing") –  Angripare skickar e-postmeddelanden som innehåller en QR-kod i en PDF-bilaga.Attackers. När du skannar koden med kameran på din smartphone leds du bort från datorns säkerhetsverktyg till en falsk inloggningssida där e-postfilter inte kan rädda dig. 

En snabb tillbakablick

Många av oss minns de allra tidigaste dagarna av e-postbedrägerier—ljuva dagar då vi både var mer naiva men också mindre benägna att lita på e-postmeddelanden. När vi fick ett bedrägeri läste vi det med förvirrat intresse och försökte förstå varför avsändaren trodde att vi var rätt person att be om hjälp.

Vem minns The Spanish Prisoner? En olycklig själ med stor förmögenhet som desperat behövde vår hjälp för att betala sin lösensumma så att han kunde släppas ur fängelset. Lustigt nog är detta bedrägeri faktiskt äldre än e-post och har sitt ursprung i början av 1800-talet. Någon rebellisk internetsurfare bestämde sig uppenbarligen någonstans för att digitalisera det.

Nuförtiden spelar e-postbedrägerier mycket mer på styrkorna i sitt digitala format. Till skillnad från vissa av de ursprungliga bedrägerierna utnyttjar de fördelar som internet har kommit att erbjuda genom åren — som möjligheten att enkelt behandla betalningar online, ett ökat beroende av e-post för vår viktigaste kommunikation och utvecklingen av sociala medier, för att bara nämna några.

Vanliga tecken på ett nätfiskemejl

Innan vi tittar närmare på de olika typerna av e-postbedrägerier ska vi dela med oss av några allmänna regler som du kan använda för att hjälpa dig att identifiera ett e-postbedrägeri/skräppost — eftersom de alla delar gemensamma element — en avsändare, en ämnesrad, brödtext och kanske viktigast av allt, behovet av att läsas och tros på.

Företags-/avsändarnamn

Var uppmärksam på:

1. Stavfel eller felaktig stilisering — Paypal vs. PayPal.

2. Något som känns överdrivet beskrivande eller osannolikt — AA Car Emergency vs. AA.

3. Företag du inte handlar med/har att göra med — Ett meddelande från Barclays när du har Lloyds som bank.

4. Allt som verkar konstigt — Från symboler och märkligt namngivna företag till konstig spacing — ibland är det något som bara känns fel med avsändaren.

Avsändarens e-postadress

Var uppmärksam på:

1. En inkongruent e-postadress — Något som inte stämmer överens med företagsnamnet.

2. Förväxlingsbara adresser — En adress som är utformad för att se ut som det riktiga företaget. Det kan vara domänen (@paypalcare.com) eller TLD:n (@paypal.club).

3. Fel— Stavfel eller andra oegentligheter i adressen.

Ämnesrader

Var uppmärksam på:

1. Fraser utformade för att skapa brådska — ”Varning: Sista betalningspåminnelsen”.

2. Överdrivet lovande språk — ”Tjäna £1000 på fem minuter”.

3. Språk som framkallar en stark känslomässig reaktion — ”Du är anställd! Börja i morgon!”

4. Stavfel — Bedragare är inte kända för sin goda grammatik.

5. Överdriven användning av skiljetecken eller emojis — Få riktiga företag använder dessa.

6. Förekomsten av ”Re” — Kan användas för att antyda att du har svarat tidigare när du inte har gjort det.

7. Knappar och bilagor— Avstå alltid från att klicka på knappar eller ladda ner bilagor i misstänkta e-postmeddelanden.

Brödtext

Var uppmärksam på:

1. Otroliga löften— Liknande ämnesradsversionen, men det finns utrymme för utveckling i brödtexten vilket ger möjlighet att göra lögner mer övertygande.

2. Uppmaningar till handling som söker personlig information — Särskilt adress- eller kortuppgifter.

3. Referenser till något du inte minns— Från händelser till tjänster du aldrig har fått

4. Personifiering— Någon som påstår sig vara en vän eller släkting, men de låter inte som sig själva.

Nu när du har lite bakgrund om hur bedragare kan manipulera olika delar av ett e-postmeddelande ska vi titta på specifika exempel.

Typer av e-posthot

Skadlig kod

För många är attacker med skadlig kod förmodligen den första typen av skumt e-postmeddelande som vi faktiskt fruktade. Då kallade vi dem nog bara för e-postvirus. Öppna det, skärmen blir svart. Game over. Den sortens grej.

I verkligheten omfattar skadlig kod en mängd olika skadliga attacker — och vissa av dem är, ärligt talat, en hel del läskigare än en snabb datordöd.

Övervaka tangenttryckningar? Tömma din CPU utan din vetskap? Spionera på dig? Tvinga fram skumma annonser som poppar upp var femte minut? Ja, skadlig kod omfattar en mängd olika små program som bäddar in sig i din dator utan din vetskap, och deras funktioner sträcker sig från sådant som förknippas med skumma skämtare till fullfjädrade brottslingar. De är svårupptäckta och ofta knepiga att bli av med — om du ens vet att de finns där.

Så upptäcker du skadlig kod

Om du upplever något av symptomen som listas ovan är det stor chans att det är skadlig kod. Det kan ha kommit från ett e-postmeddelande — men inte nödvändigtvis. Det finns andra sätt som dessa program också kan bädda in sig i din dator på — nedladdningar, skumma webbplatser och till och med skadliga hårdvaruenheter. Om du någonsin hittar ett USB-minne på gatan, titta inte vad som finns på det.

Skydda dig mot skadlig kod

Med risk för att säga det uppenbara, prova programvara för upptäckt av skadlig kod. Men välj något välrenommerat.

Om du googlar hur man förebygger skadlig kod från första början är det främsta rådet att installera antivirusprogram. Personligen känner jag ingen som har gjort detta sedan slutet av 2010-talet, men vem är jag att motsäga hela mänsklighetens kunskap och massiva erfarenhet homogeniserad till ett enradigt svar från Gemini, serverat på en bråkdel av enbråkdel av en sekund?

Med det sagt är det skydd mot hot som operativsystem erbjuder generellt bättre än det var i början, särskilt Windows uppdateras för att skydda mot hot, men ännu viktigare är att mycket e-postprogramvara gör jobbet åt oss genom att filtrera bort misstänkta e-postmeddelanden innan de når oss.

Det är en bra idé att hitta en e-postleverantör som främjar gott skydd mot skadlig kod och skannar dina e-postmeddelanden innan de når dig. Detta är särskilt bra när det gäller att undvika psykologiska attacker (och vi kommer till dem om en stund).

Om vi talar om skydd snarare än förebyggande är det en bra idé att ha regelbundna säkerhetskopior, ifall du drabbas av en av dessa attacker. Jag rekommenderar personligen något som Mega Sync, som uppdateras varje gång du trycker på spara på en fil.

Nätfiske

Nuförtiden är det förmodligen mest sannolikt att du stöter på ett nätfiskebedrägeri via e-post. Varför? För att vi alla, som med en medryckande melodi eller doften av vår, är mottagliga för deras charm. Men hur kan du identifiera nätfiske?

Nätfiskeattacker är effektiva på grund av sin mångsidighet. Ibland är det inte svårt att upptäcka nätfiske. De kan vara vad som helst: bokstavligen vad som helst som får någon att ange sina personuppgifter. Tänk på vilken anledning som helst till att du kan känna dig tvungen att dela dina personuppgifter eller skicka någon pengar, så har det potential att bli ett nätfiskemejl.

Här är bara några exempel, och kom ihåg att nyckeln till nätfiske är att alla dessa e-postmeddelanden ser ut som riktiga, men är falska:

1. Meddelande om återställning av lösenord.

2. Fyll i saknade bankuppgifter.

3. Komplettera din postadress för att aktivera leverans.

4. Förnya din prenumeration.

5. Du är vinnare i en tävling!

6. En vän i nöd som ber om hjälp.

7. Meddelande om skatteåterbäring.

8. Begäran om välgörenhetsdonationer.

Om du inte har sett ett nätfiskebedrägeri, är du ens en fisk? De är så allestädes närvarande att det är svårt att föreställa sig e-post utan dem. Men det finns mer än ett sätt att fiska…

Spear phishing och whaling

Spear phishing och whaling riktar sig mot specifika individer, ofta med mer aggressiva taktiker.

Spear phishing använder personlig kunskap, vanligtvis hämtad från flera källor, för att skapa mer övertygande e-postmeddelanden. Eftersom det skrivs med hjälp av personlig information kan det hänvisa till riktiga vänner, situationer eller till och med utge sig för att vara en bank (osv.) på ett mer övertygande sätt. Om du tycker att detta känns osannolikt att hända dig, tänk på att de flesta människor har mer offentligt tillgänglig information online än de inser.

Om någon utgav sig för att vara din vän och hänvisade till en mycket specifik händelse som ni båda deltog i för ett decennium sedan, varför skulle du inte tro på det? Det kan ta ett tag att komma ihåg att du skrev om det i detalj på Facebook och att inlägget är offentligt synligt. När de ber dig låna pengar kanske du skulle hjälpa till.

Vi är alla mottagliga för spear phishing, vilket gör det farligare än de mer uppenbara bedrägerierna. Ett lyckligt undantag är att den nivå av efterforskning som krävs för att lyckas med ett spear phishing-bedrägeri avskräcker de flesta bedragare. Det är lättare att satsa på ett massutskick som färre människor kommer att svara på. Men är det där AI kommer att komma in i framtiden? Vi måste vara vaksamma.

Whaling

Så, vad är whaling? På många sätt är en whalingattack i stort sett samma sak som spear phishing, men den är specifikt inriktad på att rikta sig mot förmögna personer, som vd:ar.

Den sorgliga verkligheten är att deras status både gör dem till bättre mål att investera tid i, och att andra faktorer (som deras förmögenhet, ansvar, tidsbrist och stora kontaktnät) innebär att det finns flera potentiella svagheter att utnyttja. Till exempel kanske de bara behöver övertyga en assistent eller sekreterare om att de har vd:ns godkännande. Så det verkar som att kommersiell whaling alltid är något dåligt.

Så skyddar du dig mot spear phishing och whaling

Utöver det som listas i vår allmänna guide ovan bör du också ställa in stark spamfiltrering. Den mänskliga faktorn är verkligen där nätfiskemejl glänser. Om skadlig kod är ett enkelt trick, kräver nätfiske på någon nivå att vi är medskyldiga. Vi måste trots allt lämna ut vår information. Som vi har diskuterat gör det detta genom att vädja till vår känslomässiga reaktion.

Så att se till att vi aldrig kommer i kontakt med det från första början är det starkaste sättet att bekämpa det. Spamfilter letar efter flera element när de bedömer ett e-postmeddelande som vi människor inte kan. De korsrefererar svartlistor, kända beteendemönster och till och med en metod som kallas Bayesisk filtrering. Den jämför innehållet i ett e-postmeddelande med känd skräppost respektive legitima e-postmeddelanden för att beräkna sannolikheten för att det är skräppost. Dessutom tar bra spamfilter hänsyn till vad andra användare markerar som skräppost, vilket skapar det som kallas en användaråterkopplingsslinga.

Komprometterad företagsmejl

Lite annorlunda än allt vi har tittat på hittills kommer detta från motsatt vinkel — idén att ett legitimt e-postkonto har komprometterats. Det behöver inte vara ett företagskonto, men för den här postens skull finns det några mer intressanta faktorer att prata om om vi föreställer oss att det är det.

Om en bedragare olagligt kan få tillgång till ett företags e-postkonto kan de utge sig för att vara anställda för att begära pengar eller till och med få tillgång till andra interna system som kan innehålla känsliga uppgifter.

Att kompromettera ett företagskonto drar också nytta av en annan social egenhet som finns i många företag, särskilt större: Det är osannolikt att varje anställd känner alla andra. Detta, i kombination med att människor förväntas vara artiga i en arbetsmiljö, innebär att dessa e-postmeddelanden har extra fördelar jämfört med privata konton.

Så skyddar du dig mot detta

Att säkerställa att alla anställda använder tvåfaktorsautentisering (email 2FA) och väljer starka lösenord minskar risken för stulna/hackade konton avsevärt. 2FA säkerställer att kontoinnehavaren alltid får veta om någon försöker bryta sig in, och ett starkt lösenord gör brute-force-attacker svårare.

Du kan också minska sannolikheten för framtida problem genom att omedelbart inaktivera konton för anställda som lämnar företaget. En kyrkogård av oanvända konton som samlar damm är bara en olycka som väntar på att hända.

Falska fakturor

Ett av de teman du kanske märker är utnyttjandet av olika känslomässiga ytterligheter. Hittills har vi tittat på rädslan eller vårdslösheten hos en vd och den påstådda likgiltigheten från en anställd gentemot en annan. Nu ska vi titta på ilska.

Någon hävdar att du är skyldig dem pengar och kräver omedelbar återbetalning. De är arga, de säger saker som får dig att tvivla på ditt eget minne, eller skapar en situation som du inte kan vara säker på inte är verklig. Giftigheten och ilskan fortsätter tills det nästan verkar enklare att betala dem.

Detta kanske inte känns så sannolikt för många av oss, men kanske är det det värsta med det: Chansen är att ”vi” inte är deras mål. Deras framgång kommer att ligga hos de sårbara. De som kanske verkligen inte kan minnas, eller litar mer på främlingar.

Förebyggande

Om vi antar att vi inte kommer att betala slumpmässiga fakturor som vi får via e-post, kan det vara värt att använda detta tillfälle för att föreslå att prata med dem i ditt liv som är mindre erfarna på nätet. Fråga dem om de behöver hjälp med att identifiera bedrägerier, och förklara att bara för att någon kräver pengar betyder det inte att deras anspråk är legitimt. Vi behöver trots allt ta hand om varandra, och ingen vill se någon gå rakt in i ett uppenbart bedrägeri.

Det finns resurser du kan hänvisa människor till som kan guida dem genom det på ett användarvänligt sätt.

Skräppost vs nätfiske vs skadlig kod

Skräppost är den minst farliga av de tre. Marknadsförare och annonsörer skickar mängder av automatiserade meddelanden som marknadsför rabatterbjudanden och produkter. Även om det är jobbigt att rensa bort från inkorgen försöker den inte aktivt stjäla dina pengar eller skada din dator.

Nätfiske är däremot mycket farligare. Dessa mejl lurar dig att klicka på en skadlig länk som tar dig till en falsk inloggningssida utformad för att stjäla känslig information som dina användarnamn och lösenord.

Skadlig kod kommer ofta förklädd som en oskyldig bilaga i ett e-postmeddelande du får. När den väl öppnas kan den installera farliga program på din enhet som registrerar dina tangenttryckningar, stjäl dina privata filer eller låser dig ute från hela ditt system.

Den viktigaste skillnaden:

• Skräppost försöker sälja till dig.

• Nätfiske försöker lura dig att lämna ut dina uppgifter.

• Skadlig kod försöker infektera din dator direkt.

Skydda dig själv och andra

På allvar, oavsett om det är skräppost eller bedrägeri, är det verkligen inget att skratta åt. Människor blir verkligen skadade, förlorar pengar eller känner sig dumma efteråt.

Vi har föreslagit flera sätt att skydda dig själv, men i grunden handlar det om tre saker:

Aktivera så mycket säkerhet som du kan

Vad din leverantör än erbjuder, oavsett om det är 2FA, automatiskt genererade lösenord eller till och med kryptering — vad du än kan komma på. Ställ in detta. Det gör bara ditt konto lite svårare att kapa.

Välj en säkerhetsinriktad leverantör

En leverantör med stark programvara för hantering av skräppost och frekventa säkerhetsuppdateringar är förmodligen ditt bästa fortlöpande skydd som företag. De flesta av bedrägerierna vi har beskrivit börjar och slutar med hantering av skräppost. Om vi aldrig ser dem blir de aldrig ett problem.

Håll dig uppdaterad

Nätfiskebedrägerier slutar aldrig att utvecklas. De riktar sig mot dig, inte din inkorg, så du är ditt eget bästa försvar.

Finns det några metoder du använder för att undvika att falla för skräppost och bedrägerier? Vi vill gärna höra dem! Lämna gärna tankar eller frågor i kommentarsfältet nedan