De olika ansiktena av e-posthot

E-postbedrägerier finns i alla former och storlekar. Vissa är så uppenbara att de är skrattretande - ingen ansträngning har lagts på att dölja att det är ett bedrägeri.

Men tro inte att alla är sådana. E-postbedrägerier verkar bara bli mer lömska och kreativa. Det här är den sortens bedrägerier som till och med den mest datorvana gen-z:aren, som växte upp med en iPad, skulle titta två gånger på innan hen insåg vad det var. Sådana där man, om de inte vore så djävulska, nästan skulle kunna ta ett steg tillbaka och beundra upplägget. Vi ska visa dig hur du känner igen phishing och andra vanliga e-postbedrägerier och skyddar dig mot dem.

En snabb tillbakablick

Många av oss minns de allra tidigaste dagarna av e-postbedrägerier—ljuva dagar när vi både var mer naiva, men också mindre benägna att lita på e-post. När vi fick ett bedrägeri läste vi det med förvirrat intresse och försökte förstå varför avsändaren skulle tro att vi var rätt person att be om hjälp.

Vem minns The Spanish Prisoner? En olycklig själ med stor förmögenhet, som desperat behövde vår hjälp för att betala sin lösensumma så att han kunde släppas ur fängelset. Lustigt nog är det här bedrägeriet faktiskt äldre än e-post och har sitt ursprung i början av 1800-talet. Någon våghalsig internetsurfare bestämde sig uppenbarligen någonstans för att digitalisera det.

Nuförtiden spelar e-postbedrägerier mycket mer på styrkorna i sitt digitala format. Till skillnad från vissa av de ursprungliga bedrägerierna utnyttjar de fördelar som internet har kommit att erbjuda genom åren — som möjligheten att enkelt behandla betalningar online, ett ökat beroende av e-post för vår viktigaste kommunikation och utvecklingen av sociala medier, för att bara nämna några.

Tecken på ett bedrägeri direkt från start

Innan vi tittar närmare på de olika typerna av e-postbedrägerier ska vi dela med oss av några allmänna regler som du kan använda för att hjälpa dig att identifiera ett e-postbedrägeri/spam — eftersom de alla delar gemensamma element — en avsändare, en ämnesrad, brödtext och kanske viktigast av allt, behovet av att bli läst och trodd.

Företags-/avsändarnamn

Var uppmärksam på:

1. Stavfel eller felaktig stilisering — Paypal vs. PayPal.

2. Något som känns överdrivet beskrivande eller osannolikt — AA Car Emergency vs. AA.

3. Företag du inte handlar hos/har att göra med — Ett meddelande från Barclays när du har bankkonto hos Lloyds.

4. Allt som verkar konstigt — Från symboler och märkligt namngivna företag till konstiga mellanrum — ibland är det bara något som känns fel med avsändaren.

Avsändarens e-postadress

Var uppmärksam på:

1. En orimlig e-postadress — Något som inte stämmer överens med företagsnamnet.

2. Förväxlingsbara adresser — En adress som är utformad för att se ut som det riktiga företaget. Det kan vara domänen (@paypalcare.com) eller TLD:n (@paypal.club).

3. Fel— Stavfel eller andra oegentligheter i adressen.

Ämnesrader

Var uppmärksam på:

1. Fraser utformade för att skapa brådska — ”Varning: Sista betalningspåminnelse”.

2. Språk som lovar för mycket — ”Tjäna £1000 på fem minuter”.

3. Språk som framkallar en stark känslomässig reaktion — ”Du är anställd! Börja i morgon!”

4. Stavfel — Bedragare är inte kända för sin goda grammatik.

5. Överdriven användning av skiljetecken eller emojis — Få riktiga företag använder sådant.

6. Förekomsten av ”Re” — Kan användas för att antyda att du har svarat tidigare när du inte har gjort det.

7. Knappar och bilagor— Avstå alltid från att klicka på knappar eller ladda ner bilagor i misstänkta e-postmeddelanden.

Brödtext

Var uppmärksam på:

1. Otroliga löften— Liknande ämnesradsversionen, men i brödtexten finns det utrymme att utveckla, vilket ger möjlighet att göra lögnerna mer övertygande.

2. Uppmaningar till handling som söker personlig information — Särskilt adress- eller kortuppgifter.

3. Referenser till sådant du inte minns— Från händelser till tjänster du aldrig har fått

4. Imitation— Någon som påstår sig vara en vän eller släkting, men de låter inte som sig själva.

Nu när du har lite bakgrund om hur bedragare kan manipulera olika delar av ett e-postmeddelande, låt oss titta på specifika exempel.

Malware

För många är malware-attacker förmodligen den första typen av skadligt e-postmeddelande som vi faktiskt fruktade. Då kallade vi dem nog bara e-postvirus. Öppna det, skärmen blir svart. Game over. Den typen av grej.

I verkligheten omfattar malware en mängd olika skadliga attacker — och vissa av dem är, ärligt talat, betydligt läskigare än en snabb datordöd.

Övervakning av tangenttryckningar? Tömning av din CPU utan din vetskap? Spioneri på dig? Tvinga fram tvivelaktiga annonser som poppar upp var femte minut? Ja, malware omfattar en mängd olika små program som bäddar in sig i din dator utan din vetskap, och deras funktioner sträcker sig från sådant som förknippas med skumma skämtare till fullfjädrade brottslingar. De är svårupptäckta och ofta knepiga att bli av med — om du ens vet att de finns där.

Så upptäcker du malware

Om du upplever något av symptomen som listas ovan är det stor chans att det är malware. Det kan ha kommit från ett e-postmeddelande — men inte nödvändigtvis. Det finns andra sätt som dessa program kan bädda in sig i din dator också — nedladdningar, skumma webbplatser och till och med skadliga hårdvaruenheter. Om du någonsin hittar ett USB-minne på gatan, kolla inte vad som finns på det.

Skydda dig mot malware

Med risk för att säga det uppenbara, prova programvara för upptäckt av malware. Men välj något välrenommerat.

Om du googlar hur man förebygger malware från första början är det främsta rådet att installera antivirusprogram. Personligen känner jag ingen som har gjort det sedan slutet av 2010-talet, men vem är jag att motsäga all mänsklig kunskap och masserfarenhet homogeniserad till ett enradsvar från Gemini, serverat på en bråkdel av enbråkdel av en sekund?

Med det sagt är det skydd mot hot som operativsystem erbjuder generellt bättre än det var förr, särskilt Windows uppdateras för att skydda mot hot, men ännu viktigare är att mycket e-postprogramvara gör jobbet åt oss genom att filtrera bort misstänkta e-postmeddelanden innan de når oss.

Det är en bra idé att hitta en e-postleverantör som främjar gott skydd mot malware och skannar dina e-postmeddelanden innan de når dig. Det är särskilt bra när det gäller att undvika psykologiska attacker (och vi kommer till dem om en stund).

Om vi talar om skydd snarare än förebyggande är det en bra idé att ha regelbundna säkerhetskopior, ifall du drabbas av en sådan här attack. Jag rekommenderar personligen något som Mega Sync, som uppdateras varje gång du sparar en fil.

Phishing

Nuförtiden är det förmodligen mest sannolikt att du stöter på ett phishingbedrägeri via e-post. Varför? För att vi alla, precis som för en medryckande melodi eller doften av vår, är mottagliga för deras charm. Men hur kan du identifiera phishing?

Phishingattacker är effektiva på grund av sin mångsidighet. Ibland är det inte svårt att upptäcka phishing. De kan vara vad som helst: bokstavligen vad som helst som får någon att mata in sina personuppgifter. Tänk på vilken anledning som helst till att du kan känna dig tvungen att dela dina personuppgifter eller skicka någon pengar, så har det potential att bli ett phishingmejl.

Här är bara några exempel, och kom ihåg att nyckeln till phishing är att alla dessa e-postmeddelanden ser ut att vara äkta, men är falska:

1. Meddelande om återställning av lösenord.

2. Fyll i saknade bankuppgifter.

3. Komplettera din postadress för att möjliggöra leverans.

4. Förnya din prenumeration.

5. Du är vinnare i en tävling!

6. En vän i nöd som ber om hjälp.

7. Meddelande om skatteåterbäring.

8. Begäran om välgörenhetsdonationer.

Om du inte har sett ett phishingbedrägeri, är du ens en fisk? De är så allestädes närvarande att det är svårt att föreställa sig e-post utan dem. Men det finns mer än ett sätt att fiska…

Spear phishing och whaling

Spear phishing och whaling riktar sig mot specifika individer, ofta med mer aggressiva taktiker.

Spear phishing använder personlig kunskap, vanligtvis hämtad från flera källor, för att skapa mer övertygande e-postmeddelanden. Eftersom det skrivs med hjälp av personlig information kan det hänvisa till verkliga vänner, situationer eller till och med utge sig för att vara en bank (osv.) på ett mer övertygande sätt. Om du tycker att detta känns osannolikt att hända dig, tänk då på att de flesta människor har mer offentligt tillgänglig information online än de inser.

Om någon utgav sig för att vara din vän och hänvisade till en mycket specifik händelse som ni båda deltog i för ett decennium sedan, varför skulle du inte tro på det? Det kan ta ett tag innan du kommer ihåg att du skrev om det i detalj på Facebook och att inlägget är offentligt synligt. När de ber dig låna ut pengar kanske du hjälper till.

Vi är alla mottagliga för spear phishing, vilket gör det farligare än de mer uppenbara bedrägerierna. Ett lyckligt undantag är att den nivå av efterforskning som krävs för att lyckas med ett spear phishing-bedrägeri avskräcker de flesta bedragare. Det är lättare att sprida riskerna med ett massutskick som färre personer kommer att svara på. Men är det där AI kommer in i bilden i framtiden? Vi måste vara vaksamma.

Whaling

Så, vad är whaling? På många sätt är en whalingattack i stort sett samma sak som spear phishing, men den är specifikt inriktad på förmögna individer, som vd:ar.

Den sorgliga verkligheten är att deras status både gör dem till bättre mål att investera tid i, och att andra faktorer (som deras förmögenhet, ansvar, tidsbrist och stora kontaktnät) innebär att det finns flera potentiella svagheter att utnyttja. Till exempel kanske de bara behöver övertyga en assistent eller sekreterare om att de har vd:ns godkännande. Så det verkar som att kommersiell whaling alltid är något dåligt.

Så skyddar du dig mot spear phishing och whaling

Utöver det som listas i vår allmänna guide ovan bör du också ställa in stark spamfiltrering. Den mänskliga faktorn är verkligen där phishingmejl glänser. Om malware är ett enkelt trick, kräver phishing på någon nivå att vi är medskyldiga. Vi måste trots allt lämna ut vår information. Som vi har diskuterat gör det detta genom att vädja till vår känslomässiga reaktion.

Så att se till att vi aldrig kommer i kontakt med det från första början är det starkaste sättet att bekämpa det. Spamfilter letar efter flera element när de bedömer ett e-postmeddelande som vi människor inte kan. De korsrefererar svartlistor, kända beteendemönster och till och med en metod som kallas Bayesisk filtrering. Den jämför innehållet i ett e-postmeddelande med känd spam respektive legitim e-post för att beräkna sannolikheten för att det är spam. Bra spamfilter tar också hänsyn till vad andra användare markerar som spam, vilket skapar det som kallas en användaråterkopplingsloop.

Komprometterad företags-e-post

Lite annorlunda än allt vi har tittat på hittills kommer detta från motsatt vinkel — idén att ett legitimt e-postkonto har komprometterats. Det behöver inte vara ett företagskonto, men för den här posten finns det några mer intressanta faktorer att prata om om vi föreställer oss att det är det.

Om en bedragare olagligt kan få tillgång till ett företags e-postkonto kan de utge sig för att vara anställda för att begära pengar eller till och med åtkomst till andra interna system som kan innehålla känsliga data.

Att kompromettera ett företagskonto drar också nytta av en annan social egenhet som finns i många företag, särskilt större: Det är osannolikt att varje anställd känner alla andra. Detta, kombinerat med att människor förväntas vara artiga i en arbetsmiljö, innebär att dessa e-postmeddelanden har extra fördelar jämfört med privata konton.

Så skyddar du dig mot detta

Att säkerställa att alla anställda använder tvåfaktorsautentisering (e-post 2FA) och väljer starka lösenord minskar risken för stulna/hackade konton avsevärt. 2FA säkerställer att kontoinnehavaren alltid får veta om någon försöker ta sig in, och ett starkt lösenord gör brute-force-attacker svårare.

Du kan också minska sannolikheten för framtida problem genom att omedelbart avaktivera konton för anställda som lämnar företaget. En kyrkogård av oanvända konton som samlar damm är bara en olycka som väntar på att hända.

Falska fakturor

Ett av teman du kanske märker är utnyttjandet av olika känslomässiga ytterligheter. Hittills har vi tittat på rädslan eller vårdslösheten hos en vd och den påstådda likgiltigheten hos en anställd gentemot en annan. Nu ska vi prova ilska.

Någon påstår att du är skyldig dem pengar och kräver omedelbar återbetalning. De är arga, de säger saker som får dig att tvivla på ditt eget minne eller skapar en situation som du inte kan vara säker på inte är verklig. Giftigheten och ilskan fortsätter tills det nästan verkar enklare att betala dem.

Det här kanske inte känns så sannolikt för många av oss, men kanske är det det värsta med det: Chansen är att ”vi” inte är deras mål. Deras framgång kommer att vara de sårbara. De som kanske verkligen inte kan minnas, eller som litar mer på främlingar.

Förebyggande

Om vi antar att vi inte kommer att betala slumpmässiga fakturor som vi får via e-post, kan det vara värt att använda detta tillfälle till att föreslå att prata med dem i ditt liv som är mindre erfarna online. Fråga dem om de behöver hjälp med att identifiera bedrägerier och förklara att bara för att någon kräver pengar betyder det inte att deras anspråk är legitimt. Vi behöver trots allt ta hand om varandra, och ingen vill se någon gå rakt in i ett uppenbart bedrägeri.

Det finns resurser du kan hänvisa människor till som kan guida dem genom detta på ett användarvänligt sätt.

Bedrägerier med jobberbjudanden

Till skillnad från vissa av de andra kan dessa vara svåra att upptäcka även för de mest erfarna av oss. En anledning till detta är att de inte existerar i e-postens vakuum. Om någon av oss fick ett e-postmeddelande från ingenstans som sa att vi hade fått ett jobb, skulle vi direkt veta att det var spam. Men tänk om det inte var så det gick till?

Tänk om bedrägeriet började som en riktig annons på en riktig jobbsajt? Du sökte det tillsammans med en massa andra riktiga jobb, och det verkade lika sannolikt som alla de andra. Då är detta ett e-postmeddelande du förväntar dig — hoppas på, till och med. Och, likt spear phishing, skapar detta en mer genomarbetad möjlighet för ett bedrägeri. För att du nu är en villig deltagare — åtminstone till en början.

Men i vad? Dessa bedrägerier kan ta otaliga former, men i grunden, likt det förflutnas pyramidspel, ber de om pengar i förskott under förevändning att täcka kostnader, köpa utrustning eller till och med utbildning för tjänsten — och inget av det är verkligt. Ibland kan det till och med finnas andra i systemet som också tror att det är verkligt, och detta kan ge sken av legitimitet där ingen finns.

Så upptäcker du ett bedrägeri med jobberbjudande

Det finns vissa ledtrådar du kan hålla utkik efter när du söker jobb som kan tyda på att jobbet inte är legitimt:

1. Orealistiska löner — Om något verkar för bra för att vara sant, så är det förmodligen det.

2. Vaga eller osannolika jobb — Skulle någon verkligen behöva eller vilja att någon utför den här rollen?

3. Inga intervjuer behövs — Eller ivrigt jobberbjudande utan ordentlig kontroll.

4. Oprofessionell kommunikation — Begär mer data än vad som borde krävas.

5. Företaget saknar närvaro online — Eller ett företag vars webbplats ser lite skum ut. Arkivbilder, osannolika recensioner, inget riktigt innehåll — den typen av saker.

Samtidigt vill du inte utesluta legitima jobb bara på grund av en dåligt ihopkommen annons. Så det viktigaste att hålla utkik efter är någon som ber om pengar innan du börjar. Det finns nästan inga fall där ett jobb ska kräva att du betalar något i förskott, än mindre utför några arbetsuppgifter gratis.

Hur säker du än är på processen fram till den punkten, så fort samtalet börjar handla om att överföra pengar kan du vara säker — det är ett bedrägeri.

Romansbedrägerier

Förmodligen den starkaste känslomässiga manipulationen av alla: hur vi känner när vi är kära.

Jag har personlig erfarenhet av att någon på en dejtingapp bad om att få låna pengar (vilket är där den här typen av bedrägeri troligen oftast förekommer nuförtiden). Det är inte så ovanligt som du kanske tror — och i vissa fall kan vi till och med ha svårt att ens tänka på det som ett bedrägeri…

Gränserna suddas snabbt ut när våra hjärtan börjar styra våra huvuden. Kanske tänker en del av oss till och med ”kanske blir jag lurad, men vad är en hundralapp när det gäller kärlek?”. Men den personen kan sitta hela dagen på dejtingappen. Om de får tio personer om dagen att skänka en hundralapp, så är det faktiskt inte en dålig lön. Och det skulle definitivt klassas som ett bedrägeri.

Så undviker du att bli kär i ett romansbedrägeri

Med risk för att låta som en kontaktannonserådgivare: låt dig inte styras av hjärtat. Om ditt huvud säger att det är ett bedrägeri, så är det förmodligen det. Ge aldrig pengar till någon du inte känner väl, oavsett hur mycket de påstår sig älska dig. Det är ett sorgligt faktum i livet att människor använder starka känslor för manipulation.

Prisbedrägerier

De flesta av oss minns nog att vi fick reklam i brevlådan där det stod att vi hade vunnit på lotteri och att vi behövde ringa ett nummer för att hämta ut vårt pris. Jag antar att det var oundvikligt att även detta skulle bli ett e-postmeddelande.

Det finns inte särskilt mycket att säga här som inte redan har sagts i de andra avsnitten. Kanske kan vi helt enkelt skapa ett mantra för livet. Om ett e-postmeddelande säger att du har vunnit ett pris, så har du inte vunnit ett pris*.

*Om du inte vann ett pris. Men du vann definitivt inte ett pris. Sluta tänka på priset.

Förebyggande

Hördu, du vann verkligen, verkligen inte ett pris. Köp en lott om du måste — men tryck på spamknappen.

Skydda dig själv och andra

På allvar nu, oavsett om det är spam eller bedrägeri, är det verkligen inget att skratta åt. Människor blir verkligen skadade, förlorar pengar eller känner sig dumma efteråt.

Vi har föreslagit flera sätt att skydda dig, men det kokar egentligen ner till tre saker:

• Aktivera så mycket säkerhet som du kan

Vad din leverantör än erbjuder, oavsett om det är 2FA, automatiskt genererade lösenord eller till och med kryptering — vad som helst. Ställ in det. Det gör bara ditt konto lite svårare att kapa.

• Välj en säkerhetsinriktad leverantör

En leverantör med stark programvara för spamhanteing och frekventa säkerhetsuppdateringar är förmodligen ditt bästa fortlöpande skydd som företag. De flesta av bedrägerierna vi har beskrivit börjar och slutar med spamhanteing. Om vi aldrig ser dem blir de aldrig ett problem.

• Håll dig uppdaterad

Phishingbedrägerier slutar aldrig att utvecklas. De riktar sig mot dig, inte din inkorg, så du är ditt eget bästa försvar.

Finns det några metoder du använder för att undvika att falla för spam och bedrägerier? Vi vill gärna höra dem! Lämna gärna tankar eller frågor i kommentarsfältet nedan