E-posttrusler forklart: phishing, skadevare, spam, spydphishing og hvalfangst

E-posttrusler finnes i alle former og størrelser, men de er vanligvis ondsinnede meldinger som er ment å lure deg til å sende penger, dele økonomiske opplysninger eller gi fra deg informasjon om en bedrift. De spenner fra irriterende plager som spam, skadevare og virus til målrettede angrep med store økonomiske konsekvenser, som spydphishing, hvalfangst og kompromittering av bedrifts-e-post. 

Noen er så åpenbare at de er latterlige - det er ikke lagt ned noe arbeid i å skjule svindelen.

Men tro ikke at alle er slik. E-postsvindel ser bare ut til å bli mer utspekulert og kreativ. Dette er typen som selv den mest datakyndige gen-z-eren, som vokste opp sovende på en iPad, ville sett to ganger på før de innså det. Hvis de ikke var så djevelske, kunne du nesten tatt et skritt tilbake og beundret fremgangsmåten. Vi skal vise deg hvordan du gjenkjenner phishing og andre vanlige e-postsvindler og beskytter deg mot dem.

Hva er e-posttrusler?

I stedet for å prøve å hacke seg gjennom tøffe digitale brannmurer, retter e-posttrusler seg mot ekte mennesker. Målet er å lure deg til å klikke på en dårlig lenke eller avsløre passordet ditt. Når du gjør det, er angriperne i en ypperlig posisjon til å stjele penger, installere virus på datamaskinen din eller stjele identiteten din og gå videre til et større mål. 

Hvorfor finnes e-posttrusler?

E-posttrusler finnes fordi e-post, til tross for at det er en av de mest populære kommunikasjonsmetodene i verden, faktisk ikke er så sikker. Nesten alle bedrifter i verden kommuniserer via e-post, og for å kontakte en hvilken som helst ansatt trenger du bare å få tak i e-postadressen deres. Derfra er det enkelt for en dyktig angriper å manipulere seg inn. Det er fordi: 

1. Alle har en e-postadresse: E-post fungerer som en offentlig postkasse. Alle med en internettforbindelse kan sende en melding direkte til telefonen eller datamaskinen din.

2. E-post er gammelt: Den grunnleggende teknologien bak e-post ble laget for flere tiår siden med innebygd tillit. Den dobbeltsjekker ikke automatisk om avsenderen er den de utgir seg for å være.

3. Mennesker er lette å lure: Angripere kan late som de er en leder som krever en hastetjeneste. I tillegg kan AI-verktøy også hjelpe svindlere med å skrive troverdige meldinger uten feil. 

4. Billig og lønnsomt: Å sende millioner av e-poster koster ingenting. Det trengs bare én person som går på trikset for at svindleren skal kunne stjele tusenvis av dollar.
   

Ulike typer e-posttrusler 

1. Phishing – Den vanligste typen e-posttrussel. Angripere sender ut masseutsendelser forkledd som populære merkevarer som Netflix, Google eller banken din, for å prøve å lure deg til å klikke på en lenke som åpner et falskt nettsted der du skriver inn passordet ditt.
   

2. Business email compromise (BEC) – Svindlere utgir seg for å være en administrerende direktør, leder eller betrodd forretningspartner og prøver å overbevise noen i økonomiavdelingen om å overføre penger rett inn på svindlerens bankkonto.
   

3. Skadevare og løsepengevirus – I dette angrepet inneholder e-posten et skjult virus. Hvis du åpner filen, laster den ned programvare som stjeler filene dine eller låser hele datamaskinen din til du betaler løsepenger.
   

4. Spoofing og etterligning – Angripere endrer "Fra"-linjen i en e-post for å få det til å se ut som om den kom fra noen du stoler på. De kan bytte ut bokstaver med tall eller registrere domener som ser nesten identiske ut med ekte firmanavn.
   

5. QR-kode-phishing ("Quishing") –  Angripere sender e-poster som inneholder en QR-kode i et PDF-vedlegg.Attackers. Når du skanner koden med kameraet på smarttelefonen din, føres du bort fra sikkerhetsverktøyene på datamaskinen til et falskt innloggingsnettsted der e-postfiltre ikke kan redde deg. 

Et raskt tilbakeblikk

Mange av oss husker de aller tidligste dagene med e-postsvindel—glansdager da vi både var mer naive, men også mindre tillitsfulle til e-poster. Når vi mottok en svindelmelding, leste vi den med forvirret interesse og prøvde å forstå hvorfor avsenderen trodde vi var den rette personen å be om hjelp.

Hvem husker The Spanish Prisoner? En uheldig sjel med stor rikdom, som desperat trengte at vi hjalp til med å betale løsepengene hans slik at han kunne bli løslatt fra fengsel. Morsomt nok er denne svindelen faktisk eldre enn e-post, og stammer fra tidlig på 1800-tallet. En eller annen maverick Internet Surfer bestemte seg tydeligvis for å digitalisere den.

Nå til dags spiller e-postsvindel mye mer på styrkene ved det digitale formatet. I motsetning til noen av de opprinnelige svindlene utnytter de fordelene Internett har kommet til å tilby gjennom årene — som muligheten til enkelt å behandle betalinger på nettet, økt avhengighet av e-post for vår viktigste kommunikasjon og utviklingen av sosiale medier, for å nevne noen få.

Vanlige tegn på en phishing-e-post

Før vi ser nærmere på de ulike typene e-postsvindel, skal vi dele noen generelle regler du kan bruke for å hjelpe deg med å identifisere e-postsvindel/spam — fordi de alle har felles elementer — en avsender, en emnelinje, brødtekst og kanskje viktigst av alt, behovet for å bli lest og trodd.

Firma-/avsendernavn

Se etter:

1. Skrivefeil eller feil stilisering — Paypal vs. PayPal.

2. Noe som virker overdrevent beskrivende eller usannsynlig — AA Car Emergency vs. AA.

3. Selskaper du ikke handler med/har kontakt med — En melding fra Barclays når du bruker Lloyds som bank.

4. Alt som virker merkelig — Fra symboler og selskaper med bisarre navn til merkelig mellomromsbruk — noen ganger er det bare noe som føles galt med avsenderen.

Avsenderens e-postadresse

Se etter:

1. En e-postadresse som ikke passer — Noe som ikke stemmer overens med firmanavnet.

2. Etterligninger — En adresse som er laget for å ligne på det ekte selskapet. Dette kan være domenet (@paypalcare.com) eller TLD-en (@paypal.club).

3. Feil— Skrivefeil eller andre uregelmessigheter i adressen.

Emnelinjer

Se etter:

1. Formuleringer som er laget for å skape hastverk — ‘Advarsel: Siste betalingsvarsel’.

2. Overdrevne løfter — ‘Tjen £1000 på fem minutter’.

3. Språk som fremkaller en sterk følelsesmessig reaksjon — ‘Du er ansatt! Start i morgen!’

4. Skrivefeil — Svindlere er ikke kjent for god grammatikk.

5. Overdreven bruk av tegnsetting eller emojier — Få ekte selskaper bruker dette.

6. Tilstedeværelsen av ‘Re’ — Kan brukes for å antyde at du har svart før, selv om du ikke har det.

7. Knapper og vedlegg— Unngå alltid å klikke på knapper eller laste ned vedlegg i mistenkelige e-poster.

Brødtekst

Se etter:

1. Utrolige løfter— Ligner på versjonen i emnelinjen, men i brødteksten er det mer rom for utdyping, noe som gir mulighet til å gjøre løgnene mer overbevisende.

2. Oppfordringer til handling som søker personlig informasjon — Særlig adresse- eller kortopplysninger.

3. Referanser til ting du ikke husker— Fra hendelser til tjenester du aldri har mottatt

4. Etterligning— Noen som utgir seg for å være en venn eller slektning, men de høres ikke ut som seg selv.

Nå som du har litt bakgrunn om hvordan svindlere kan manipulere ulike deler av en e-post, la oss se på konkrete eksempler.

Typer e-posttrusler

Skadevare

For mange er skadevareangrep sannsynligvis den første typen useriøs e-post vi faktisk fryktet. Den gang kalte vi dem nok bare e-postvirus. Åpne den, skjermen blir svart. Game over. Den typen ting.

I virkeligheten dekker skadevare et bredt spekter av ondsinnede angrep — og noen av dem er, ærlig talt, en god del skumlere enn en rask datadød.

Overvåking av tastetrykk? Tapping av CPU-en din uten at du vet det? Spionering på deg? Tvinge tvilsomme annonser til å dukke opp hvert femte minutt? Ja, skadevare dekker et bredt spekter av små programmer som fester seg i datamaskinen din uten at du vet det, og funksjonene deres spenner fra ting forbundet med lyssky spøkefugler til fullblods kriminelle. De er unnvikende og ofte vanskelige å bli kvitt — hvis du i det hele tatt vet at de er der.

Slik oppdager du skadevare

Hvis du opplever noen av symptomene som er listet opp ovenfor, er det stor sjanse for at det er skadevare. Dette kan ha kommet fra en e-post — men ikke nødvendigvis. Det finnes også andre måter disse programmene kan feste seg i datamaskinen din på — nedlastinger, tvilsomme nettsteder og til og med useriøse maskinvareenheter. Hvis du noen gang finner en USB-minnepinne på gaten, ikke sjekk hva som er på den.

Beskytt deg mot skadevare

Med fare for å si det åpenbare, prøv programvare for oppdagelse av skadevare. Men velg noe anerkjent.

Hvis du googler hvordan du kan forhindre skadevare i utgangspunktet, er det øverste rådet å installere antivirusprogramvare. Personlig kjenner jeg ingen som har gjort dette siden slutten av 2010-tallet, men hvem er jeg til å motsi hele menneskehetens kunnskap og masseerfaring, homogenisert til et svar på én linje fra Gemini, servert på en brøkdel av etbrøkdels sekund?

Når det er sagt, er trusselbeskyttelsen som tilbys av operativsystemer generelt bedre enn den var i de tidlige dagene, spesielt Windows oppdateres for å beskytte mot trusler, men enda viktigere er det at mye e-postprogramvare gjør jobben for oss ved å filtrere ut mistenkelige e-poster før de når oss.

Det er en god idé å finne en e-postleverandør som fremmer god beskyttelse mot skadevare, og som skanner e-postene dine før de når deg. Dette er spesielt bra når det gjelder å unngå psykologiske angrep (og vi kommer til dem om et øyeblikk).

Hvis vi snakker om beskyttelse, snarere enn forebygging, er det lurt å ha regelmessige sikkerhetskopier, i tilfelle du blir rammet av et av disse angrepene. Jeg anbefaler personlig noe som Mega Sync, som oppdateres hver gang du trykker lagre på en fil.

Phishing

Nå til dags er det sannsynligvis en phishing-svindel på e-post du mest sannsynlig vil støte på. Hvorfor? Fordi vi alle er mottakelige for sjarmen deres, som en fengende melodi eller lukten av vår. Men hvordan kan du identifisere phishing?

Phishing-angrep er effektive på grunn av sin allsidighet. Noen ganger er det ikke vanskelig å oppdage phishing. De kan være hva som helst: Bokstavelig talt hva som helst som får noen til å skrive inn personopplysningene sine. Tenk på enhver grunn til at du kan føle deg tvunget til å dele personopplysningene dine eller sende noen penger, så har det potensial til å bli en phishing-e-post.

Her er bare noen få eksempler, og husk at nøkkelen til phishing er at alle disse e-postene ser ut som ekte, men er falske:

1. Varsel om tilbakestilling av passord.

2. Fyll ut manglende bankopplysninger.

3. Fullfør postadressen din for å aktivere levering.

4. Forny abonnementet ditt.

5. Du har vunnet en konkurranse!

6. En venn i nød som ber om hjelp.

7. Varsel om skatterefusjon.

8. Ber om veldedige donasjoner.

Hvis du ikke har sett en phishing-svindel, er du i det hele tatt en fisk? De er så allestedsnærværende at det er vanskelig å forestille seg e-post uten dem. Men det finnes mer enn én måte å fiske på…

Spydphishing og hvalfangst

Spydphishing og hvalfangst retter seg mot bestemte personer, ofte med mer aggressive taktikker.

Spydphishing bruker personlig kunnskap, vanligvis hentet fra flere kilder, til å lage mer overbevisende e-poster. Fordi den er skrevet med personlig informasjon, kan den referere til ekte venner, situasjoner eller til og med utgi seg for å være en bank (osv.) på en mer overbevisende måte. Hvis du synes dette virker usannsynlig å skje med deg, bør du huske på at de fleste har mer offentlig tilgjengelig informasjon på nettet enn de er klar over.

Hvis noen utga seg for å være vennen din og refererte til en svært spesifikk hendelse dere begge deltok på for et tiår siden, hvorfor skulle du ikke tro på det? Det kan ta litt tid før du husker at du skrev om det i detalj på Facebook, og at innlegget er offentlig synlig. Når de ber om å få låne penger, kanskje du ville hjulpet til.

Vi er alle mottakelige for spydphishing, noe som gjør det farligere enn de mer åpenbare svindlene. Et heldig forbehold er at forskningsnivået som kreves for å gjennomføre en spydphishing-svindel med hell, virker avskrekkende på de fleste svindlere. Det er enklere å spre risikoen med en masseutsendt e-post som færre vil svare på. Men er det her AI vil komme inn i fremtiden? Vi må være årvåkne.

Hvalfangst

Så, hva er hvalfangst? Vel, på mange måter er et hvalfangstangrep stort sett det samme som spydphishing, men det er spesifikt rettet mot velstående personer, som administrerende direktører.

Den triste virkeligheten er at statusen deres både gjør dem til bedre mål å investere tid i, og at andre faktorer (som rikdommen deres, ansvaret deres, mangel på tid og store kontaktnett) betyr at det finnes flere potensielle svakheter å utnytte. For eksempel trenger de kanskje bare å overbevise en PA eller sekretær om at de har administrerende direktørs godkjenning. Så det virker som kommersiell hvalfangst alltid er en dårlig ting.

Slik beskytter du deg mot spydphishing og hvalfangst

I tillegg til det som er oppført i den generelle veiledningen vår ovenfor, bør du også sette opp sterk spamfiltrering. Den menneskelige faktoren er virkelig der phishing-e-poster skinner. Hvis skadevare er et enkelt triks, krever phishing på et visst nivå at vi medvirker. Tross alt må vi gi fra oss informasjonen vår. Som vi har diskutert, gjør den dette ved å appellere til vår følelsesmessige reaksjon.

Så det å sørge for at vi aldri kommer i kontakt med det i utgangspunktet, er den sterkeste måten å bekjempe det på. Spamfiltre ser etter flere elementer når de vurderer en e-post, som vi mennesker ikke kan. De kryssrefererer svartelister, kjente atferdsmønstre og til og med en metode kjent som bayesisk filtrering. Dette sammenligner innholdet i en e-post med kjent spam kontra legitime e-poster for å beregne sannsynligheten for at det er spam. Gode spamfiltre vil også ta hensyn til hva andre brukere markerer som spam, og dermed skape det som kalles en tilbakemeldingssløyfe fra brukere.

Kompromittert bedrifts-e-post

Litt annerledes enn alt vi har sett på så langt, kommer dette fra motsatt vinkel — ideen om at en legitim e-postkonto har blitt kompromittert. Det trenger ikke å være en bedriftskonto, men for denne oppføringens skyld er det noen mer interessante faktorer å snakke om hvis vi forestiller oss at det er det.

Hvis en svindler ulovlig kan få tilgang til en bedrifts e-postkonto, kan de utgi seg for å være ansatte for å be om midler, eller til og med få tilgang til andre interne systemer som kan inneholde sensitive data.

Kompromittering av en bedriftskonto utnytter også en annen sosial særegenhet som finnes i mange bedrifter, særlig større: Det er lite sannsynlig at alle ansatte kjenner alle andre. Dette, kombinert med at folk forventes å være høflige i et arbeidsmiljø, betyr at disse e-postene har ekstra fordeler sammenlignet med private kontoer.

Slik beskytter du deg mot dette

Å sørge for at alle ansatte bruker tofaktorautentisering (e-post 2FA), og velger sterke passord, reduserer risikoen for stjålne/hackede kontoer betydelig. 2FA sørger for at kontoinnehaveren alltid vil vite om noen prøver å bryte seg inn, og et sterkt passord gjør brute-force-angrep vanskeligere.

Du kan også redusere sannsynligheten for fremtidige problemer ved å deaktivere kontoene til ansatte som slutter i selskapet umiddelbart. En gravplass av ubrukte kontoer som samler støv, er bare en ulykke som venter på å skje.

Falske fakturaer

Et av temaene du kanskje legger merke til, er utnyttelsen av ulike følelsesmessige ytterpunkter. Så langt har vi sett på frykten eller skjødesløsheten til en administrerende direktør og den antatte likegyldigheten fra én ansatt overfor en annen. La oss nå prøve sinne.

Noen hevder at du skylder dem penger, og krever umiddelbar tilbakebetaling. De er sinte, de sier ting som får deg til å tvile på din egen hukommelse, eller skaper en situasjon du ikke kan være sikker på ikke er virkelig. Bitterheten og sinnet fortsetter til det nesten virker enklere å betale dem.

Dette føles kanskje ikke så sannsynlig for mange av oss, men kanskje er det det verste med det: Sjansen er stor for at «vi» ikke er målene deres. De sårbare vil være dem de lykkes med. De som kanskje virkelig ikke kan huske, eller som stoler mer på fremmede.

Forebygging

Hvis vi antar at vi ikke betaler tilfeldige fakturaer vi får på e-post, kan det være verdt å bruke denne anledningen til å foreslå å snakke med dem i livet ditt som har mindre erfaring på nettet. Spør dem om de trenger hjelp til å identifisere svindel, og forklar at bare fordi noen krever penger, betyr ikke det at kravet deres er legitimt. Tross alt må vi ta vare på hverandre, og ingen ønsker å se noen gå rett i en åpenbar svindel.

Det finnes ressurser du kan henvise folk til som kan veilede dem gjennom det på en brukervennlig måte.

Spam vs phishing vs skadevare

Spam er den minst farlige av de tre. Markedsførere og annonsører sender store mengder automatiserte meldinger som promoterer rabatttilbud og produkter. Selv om det er irriterende å rydde det ut av innboksen, prøver det ikke aktivt å stjele pengene dine eller skade datamaskinen din.

Phishing er derimot mye farligere. Disse e-postene lurer deg til å klikke på en ondsinnet lenke som tar deg til en falsk innloggingsside som er laget for å stjele sensitiv informasjon som brukernavn og passord.

Skadevare kommer ofte forkledd som et uskyldig vedlegg i en e-post du mottar. Når det åpnes, kan det installere farlige programmer på enheten din som registrerer tastetrykkene dine, stjeler private filer eller låser deg ute fra hele systemet ditt.

Den viktigste forskjellen:

• Spam prøver å selge til deg.

• Phishing prøver å lure deg til å gi fra deg opplysningene dine.

• Skadevare prøver å infisere datamaskinen din direkte.

Beskytt deg selv og andre

For å være alvorlig, enten det er spam eller svindel, er det egentlig ikke noe å le av. Folk blir faktisk skadet, taper penger eller føler seg dumme etterpå.

Vi har foreslått flere måter å beskytte deg på, men det koker egentlig ned til tre ting:

Aktiver så mye sikkerhet som du kan

Uansett hva leverandøren din tilbyr, enten det er 2FA, automatisk genererte passord eller til og med kryptering — alt mulig. Sett dette opp. Det gjør bare kontoen din litt vanskeligere å kapre.

Velg en sikkerhetsbevisst leverandør

En leverandør med sterk programvare for spamhåndtering og hyppige sikkerhetsoppdateringer er sannsynligvis den beste formen for løpende beskyttelse for en bedrift. De fleste svindlene vi har beskrevet, begynner og slutter med spamhåndtering. Hvis vi aldri ser dem, blir de aldri et problem.

Hold deg oppdatert

Phishing-svindel slutter aldri å utvikle seg. De retter seg mot deg, ikke innboksen din, så du er ditt eget beste forsvar.

Har du noen metoder du bruker for å unngå å gå på spam og svindel? Vi vil gjerne høre dem! Legg igjen tanker eller spørsmål i kommentarfeltet nedenfor