Klickat: vad gör du nu?

Modul 3: Känna igen phishing · Lästid: 12 minuter

Mål med lektionen: Efter den här lektionen vet du vad du gör under de första timmarna efter ett klick, ett ifyllt lösenord, ifyllda bankuppgifter eller en öppnad bilaga, i rätt ordning, och hur du anmäler och vidarebefordrar phishing.
Nyckelbegrepp: begränsa skadan, byta lösenord från en ren enhet, återkalla sessioner, ringa banken, anmäla, vidarebefordra phishing (till exempel till Polisen/CERT-SE och det missbrukade varumärket)

Det händer alla

Alla klickar på fel länk någon gång. Även personer som har gått den här kursen, även IT-folk. Ett bra phishingmejl kommer vid fel tillfälle, med rätt historia. Att skämmas hjälper inte, att agera snabbt gör det. Ju tidigare du ingriper, desto mindre kan angriparen göra med det han har fått tag på.

Därför är det första steget i varje företag: anmäl det genast, till kollegan som sköter IT eller till ditt IT-företag. Kom överens om att den som anmäler ett klick får ett tack och inte en utskällning (mer om det i lektion 9.2). Den som är rädd för att bli skuldbelagd säger ingenting, och då får angriparen flera dagar på sig.

Bestäm först: vad hände exakt?

Vad du ska göra beror på hur långt du har gått. Bestäm det först, kort och ärligt.

Enbart ett klick är oftast inte allvarligt: moderna webbläsare är väl skyddade. Men ett klick kan också starta en nedladdning. Är du osäker, behandla det då som det allvarligare fallet.

Steg för steg under de första timmarna

1. Anmäl internt. Genast, även vid tvivel. Berätta vad du såg, när, och vad du har fyllt i eller öppnat. Spara meddelandet: ta inte bort det, du behöver det för att anmäla.

2. Begränsa skadan. Har du öppnat en bilaga eller gett någon åtkomst? Koppla bort enheten från nätverket: stäng av wifi, dra ur nätverkskabeln. Stäng inte av den direkt, eftersom det som finns i minnet kan vara till hjälp vid utredningen (lektion 8.3). Fortsätt inte arbeta på den enheten.

3. Ring banken om pengar är inblandade. Har du fyllt i bankuppgifter eller godkänt en betalning, ring då direkt till din bank, på numret som står på ditt kort eller på den officiella webbplatsen. Ju snabbare, desto större chans att en betalning kan stoppas eller återkallas. Även en betalning till ett falskt kontonummer efter fakturabedrägeri ska du genast anmäla till din bank.

4. Byt lösenord från en ren enhet. Byt lösenordet för kontot du fyllde i. Gör det på en annan enhet än den du öppnade bilagan på, eftersom ett program kan läsa med där. Skriv in adressen själv eller använd ditt bokmärke, inte länken i meddelandet. Använde du samma lösenord någon annanstans också, byt det där också (lektion 2.1).

5. Återkalla sessioner och kontrollera kontot. Ett nytt lösenord kastar inte alltid automatiskt ut en angripare som redan är inne. Logga därför ut alla andra sessioner (lektion 2.5) och kontrollera vad hen kan ha ändrat:

• tvåfaktorsautentisering: finns det en okänd app eller ett okänt telefonnummer kopplat?
• återställningsuppgifter: har återställnings-e-postadressen eller telefonnumret ändrats?
• vidarebefordringsregler och filter i din mejlbox: en angripare sätter gärna upp en regel som vidarebefordrar all mejl, eller bara mejl med "faktura" i sig, till sin egen adress eller tar bort den direkt. På så sätt läser hen med, även om du redan har bytt lösenord;
• skickade meddelanden: har det skickats mejl som du inte har skrivit? Då måste du varna dina kontakter.

6. Anmäla och vidarebefordra. Se nedan.

7. Kontrollera om det är en personuppgiftsincident. Kunde angriparen komma åt en mejlbox, ett kundregister eller en annan miljö med personuppgifter? Då kan det röra sig om en personuppgiftsincident. Enligt GDPR (dataskyddsförordningen) ska en personuppgiftsincident anmälas utan onödigt dröjsmål och om möjligt inom 72 timmar efter upptäckt till Integritetsskyddsmyndigheten (IMY), om det inte sannolikt innebär någon risk för de personer det gäller. Dokumentera det i vilket fall i ditt register över personuppgiftsincidenter. Hur du bedömer det lär du dig i lektion 8.2.

Anmäla och vidarebefordra phishing

Att anmäla är meningsfullt, även om inget hände. Det gör att en falsk webbplats snabbare kan stängas ner, och att andra varnas.

Till Polisen och CERT-SE. Misstänkta länkar eller bilagor i bluffmejl kan du anmäla till Polisen (https://polisen.se/) och rapportera till CERT-SE (https://www.cert.se/). Tänk på följande:

• vidarebefordra mejlet helst som bilaga. Vid vanlig vidarebefordran går de tekniska uppgifterna (headers från lektion 3.3) förlorade. Går det inte, till exempel på en telefon, vidarebefordra det då helt enkelt;
• verkar mejlet komma från en bank eller ett annat känt företag, sätt då adressen till det företaget i cc. Många myndigheter och organisationer har listor med sådana adresser på sina webbplatser;
• sms, WhatsApp och andra meddelanden skickar du inte till en mejladress, utan anmäler via Polisens och CERT-SE:s kanaler för bedrägerier. Samma kanaler använder du också för ett misstänkt mejl utan länkar eller bilagor, och för helpdeskbedrägeri per telefon.

I många mejlprogram heter vidarebefordran som bilaga "Vidarebefordra som bilaga" eller något liknande.

Till det missbrukade varumärket. Missbrukas namnet på en bank, transportör eller leverantör, meddela då den organisationen via en kanal du själv söker upp på deras riktiga webbplats, inte via meddelandet. Många organisationer har en egen anmälningsadress för phishing. Gäller det ditt eget webbhotell eller din e-postleverantör, skicka det dit också; hos WebOké kan du göra det med ett ärende, med mejlet som bilaga (Kunskapsbank 581).

Polisanmälan. Har du förlorat pengar, eller finns det missbruk eller ett försök till det, gör då en polisanmälan. Polisen och CERT-SE ger råd och samlar in anmälningar, men det är bara Polisen som kan utreda brottet.

Därefter kan du ta bort meddelandet och blockera avsändaren.

Uppföljning efter en vecka

En attack är inte alltid över efter en dag. Sätt en påminnelse en vecka senare:

• Finns det nya inloggningsnotiser eller okända sessioner?
• Finns det okända betalningar på kontoutdraget?
• Finns det nya vidarebefordringsregler eller filter i mejlboxen?
• Klagar kunder eller leverantörer på konstig mejl i ditt namn? Då kan din mejlbox fortfarande missbrukas för att skicka skräppost (Kunskapsbank 25).
• Vad kan vi lära oss? Var meddelandet lätt att känna igen, och vad skulle ha gjort att det upptäcktes tidigare nästa gång?

I praktiken: så här ser det ut

Måndag 9:12. Fatima på Bageri Example fyller i sitt mejllösenord på en efterapad inloggningssida för "bokföringsprogrammet". Klockan 9:15 ser hon att adressen var boekhoudpakket.inlog-check.example. Hon anmäler det till Kees, som sköter IT. Klockan 9:20 byter Kees, från sin egen bärbara dator, lösenordet för hennes mejlbox och loggar ut alla sessioner. I webbmejlen hittar han en ny regel: all mejl med "faktura" går till en okänd adress och tas sedan bort. Han tar bort regeln, aktiverar tvåfaktorsautentisering och går igenom skickade meddelanden: inget har skickats. Fatima vidarebefordrar phishingmejlet som bilaga till Polisen och CERT-SE. Kees noterar det i incidentloggen och kontrollerar om angriparen kan ha sett personuppgifter. Efter en vecka kontrollerar han reglerna och sessionerna igen.

Var dessa regler och sessioner finns varierar beroende på miljö. Hos WebOké finns vidarebefordringar av en adress i Mitt WebOké och i DirectAdmin (Forwarders), och en regel kan också finnas i webbmejlen eller själva mejlprogrammet. Hos andra leverantörer fungerar det på liknande sätt: leta efter vidarebefordran, forwarders, regler eller filter.

Sammanfattning

• Alla klickar fel ibland. Anmäl det genast, utan att skämmas, och kom överens om att anmälningar belönas.
• Bestäm först vad som hände: bara klickat, lösenord, kod, bankuppgifter, bilaga eller fjärråtkomst.
• Ordning: anmäla, begränsa skadan (koppla bort från nätverket), ringa banken om pengar är inblandade, byta lösenord från en ren enhet, återkalla sessioner och kontrollera kontot (särskilt vidarebefordringsregler), anmäla och vidarebefordra, bedöma personuppgiftsincident.
• Vidarebefordra bluffmejl som bilaga till Polisen och CERT-SE, med det missbrukade varumärket i cc; sms och chattmeddelanden via Polisens anmälningskanaler. Vid skada: polisanmälan.
• Kontrollera igen efter en vecka.

Quiz

Uppgift

Uppgift A3.5: Stegkortet efter en klick. Du får en situation och en hög med kort med steg. Välj vilka steg som behövs och ställ dem i rätt ordning. Programmet kontrollerar och förklarar varför ett steg ska komma tidigare eller senare.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• Är det här mejlet verkligen från WebOké? Känna igen nätfiske och använda rabattkoden
• Har någon tagit över din brevlåda eller skickas det skräppost från din adress? Så här städar du upp
• WebOké manual 3.6: Visa och logga ut aktiva sessioner
• DirectAdmin-guide 3.7: Säkra lösenord och vad du gör vid ett läckt lösenord
• Polisen, anmäl bedrägeri: https://polisen.se/
• CERT-SE, rapportera it-incidenter: https://www.cert.se/
• NCSC, Phishing: https://www.ncsc.se/