Känna igen phishing: så läser du en länk och en avsändare
Nätfiske (phishing) är ett meddelande som utger sig för att komma från en pålitlig avsändare, så att du gör något du annars inte skulle göra: logga in på en falsk sida, öppna en bilaga, lämna ut en kod eller betala. Stavfel är inte längre ett bra kännetecken: med AI skriver bedragare felfri svenska. Titta därför på tre saker: vart länken egentligen leder, vem den verkliga avsändaren är, och vad meddelandet ber dig om.
Verkar mejlet komma från WebOké? Läs då Är det här mejlet verkligen från WebOké? Känna igen nätfiske och använda aktionskoden. I exemplen nedan använder vi påhittade namn som slutar på .example.
Att läsa en länk
För muspekaren över länken utan att klicka; den riktiga adressen visas längst ner i fönstret. På en telefon håller du länken intryckt. Endast den adressen räknas, inte texten på knappen.
- Leta upp delen mellan
https://och det första/. Det är host: servern du skickas till. Allt efter det första/väljer ägaren av den hosten själv. - Finns det ett
@i den delen? Då börjar hosten först efter@. - Läs hosten från höger till vänster. Den registrerbara domänen är ändelsen plus ett ord framför, till exempel
mijnbank.example. Det är namnet som någon har registrerat, och alltså ägaren. Allt till vänster om det är subdomäner, som ägaren själv hittar på. Var uppmärksam på ändelser med två delar, somco.uk: förwww.shop.voorbeeld.co.ukär den registrerbara domänenvoorbeeld.co.uk.
| Länk | Verklig ägare | Vad är det som händer? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | I sin ordning: en subdomän till banken själv |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Subdomäntricket: det riktiga namnet står först |
https://inlog.example/mijnbank.example/login | inlog.example | Sökvägstricket: namnet står efter det första / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | @-tricket: allt före @ räknas inte |
https://rnijnbank.example/ | rnijnbank.example | Lookalike: rn liknar m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Ett extra ord: en helt annan domän |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: en bokstav från ett annat teckensystem |
En lookalike liknar den riktiga domänen: bokstäver omkastade, ett extra ord eller bindestreck, eller en bokstav från ett annat teckensystem (ett kyrilliskt а ser ut som ett vanligt a). Ett sådant namn med udda tecken visas tekniskt som punycode, som börjar med xn--. Om ett namn i övrigt ser vanligt svenskt ut, är det misstänkt.
Förkortade länkar, vidarebefordringslänkar och QR-koder
- En förkortad länk visar inte målet. Om en bank eller leverantör ber dig logga in via en sådan länk, gör det då inte.
- En länk kan börja på en riktig sida och sedan skicka dig vidare. Titta igen på adressfältet efter att du klickat, innan du fyller i något.
- En QR-kod är en länk som du inte kan läsa. Låt kameran först visa adressen och läs den. Se upp för klistermärken ovanpå en riktig kod, till exempel på en parkeringsautomat.
- Hänglåset visar bara att anslutningen är krypterad. Falska sidor har också ett hänglås.
Att läsa avsändaren
- Namnet säger ingenting. Vem som helst kan ange "Mijnbank Kundtjänst", din chefs namn eller till och med en mejladress som namn. Klicka eller tryck på namnet för att se den riktiga adressen och läs domänen på samma sätt som för en länk.
- Var uppmärksam på svarsadressen. Med en Reply-To går ditt svar till en annan adress än avsändaren. Titta innan du trycker på Skicka på vem ditt svar verkligen går till, särskilt om det gäller pengar eller uppgifter.
- En avsändare kan vara förfalskad, och en riktig avsändare kan vara hackad. I mejlets sidhuvuden (headers) ser du om domänen verkligen har skickat mejlet. Men även en godkänd kontroll bevisar bara att mejlet kommer från den domänen, inte att den domänen går att lita på. Hur du läser det finns i Visa och läsa sidhuvudena (headers) i ett mejl.
Sms, WhatsApp och telefon
Ett avsändarnamn eller telefonnummer på skärmen kan vara förfalskat, även om meddelandet står bland riktiga meddelanden från din bank. Får du ett meddelande från "en kollega med nytt nummer" som snabbt vill ha något betalt, ring då det gamla, kända numret. Ringer någon å bankens eller en helpdesks vägnar och ber om en kod, en betalning eller fjärråtkomst till din dator? Lägg på och ring själv tillbaka på ett nummer du redan hade. Får du en inloggningskod eller ett meddelande som du inte själv begärt, godkänn ingenting och byt det lösenordet.
Handlar det om en faktura eller ett ändrat kontonummer, läs då Känna igen falsk faktura, ändrat kontonummer eller VD-bedrägeri.
Är du osäker? Stanna, kontrollera, fråga
- Stanna. Brådska, skräck eller en belöning är precis det ögonblick då du inte ska klicka.
- Kontrollera via din egen väg. Fortsätt inte via meddelandet. Skriv in adressen själv eller använd ditt bokmärke, och ring ett nummer du redan hade.
- Fråga en kollega, eller avsändaren via en annan kanal.
Anmäl ett nätfiskemejl till Fraudehelpdesk: skicka det helst som bilaga till valse-email@fraudehelpdesk.nl och sätt det imiterade företaget i cc. Ett sms eller WhatsApp-meddelande anmäler du via anmälningsformuläret. Se Anmäla falskt mejl.
Fler exempel ger NCSC i Hur känner jag igen ett nätfiskemejl?, Sms-nätfiske och Hur känner jag igen ett falskt telefonsamtal?.