Phishing via sms, chatt, telefon och QR-koder

Modul 3: Känna igen phishing · Lästid: 12 minuter

Lärandemål: Efter den här lektionen kan du känna igen phishing utanför e-posten: via sms och chattappar, på telefon (även med en imiterad röst), via QR-koder och via en flod av inloggningsnotiser, och du vet hur du kontrollerar varje kanal.
Nyckelbegrepp: smishing, vän-i-nöd-bedrägeri, vishing, nummerspoofing, falsk helpdesk, röstklon, quishing, MFA-bombning

Varför andra kanaler fungerar så bra

Allt från lektion 3.1 gäller även här: brådska, auktoritet, rädsla, nyfikenhet och belöning. Men utanför e-posten fungerar knepen ofta ännu bättre:

• På telefonen läser du snabbt. Skärmen är liten, adresser kapas av, och du är ofta mitt uppe i något annat.
• Det finns mindre teknik som hjälper. En mailserver kontrollerar SPF, DKIM och DMARC och har ett spamfilter. För sms, chatt och telefon finns betydligt mindre av det.
• Det känns mer personligt. Ett meddelande i en chattapp eller en röst i telefonen väcker mer förtroende än ett mejl.
• Det sker i realtid. Den som ringer kan ställa följdfrågor, öka pressen och leda dig steg för steg.

Reflexen är densamma: stanna upp, kontrollera via din egen väg, fråga. Det som skiljer sig mellan kanalerna är hur den kontrollen ser ut.

Sms och chatt: smishing och vän-i-nöd

Smishing är phishing via sms. Bedragare utger sig för att vara en organisation du skulle kunna vänta dig ett sms från: ett transportbolag, banken, en myndighet, ditt elbolag. Enligt det nederländska NCSC förekommer samma sak via chattappar som WhatsApp och Telegram.

Ett typiskt exempel:

Budfirma: ditt paket kunde inte levereras på grund av ofullständig adress. Boka en ny leverans: https://koeriersdienst.track-nl.example/z8K

Läs länken som i lektion 3.2: det registrerbara domänet är track-nl.example och alltså inte koeriersdienst.example som tillhör transportbolaget. På en telefon är det extra knepigt, eftersom du bara ser början. Håll fingret på en länk för att se hela adressen, eller öppna den inte och gå själv till transportbolagets app eller webbplats.

Avsändarnumret eller avsändarnamnet säger ingenting. Sms-avsändare och telefonnummer kan förfalskas (spoofing). Ett falskt meddelande kan därför dyka upp i samma sms-tråd som riktiga meddelanden från den avsändaren. Ett känt namn ovanför ett meddelande är alltså inte heller något bevis.

Vän-i-nöd-bedrägeri sker via chattappar:

Hej, det här är mitt nya nummer, min telefon är trasig. Kan du betala något åt mig? Jag betalar tillbaka i morgon. Det måste ske idag.

I ett företag förekommer samma knep som ett meddelande från "vd:n" eller "en kollega" med ett nytt nummer, som snabbt vill ha en betalning eller presentkort. Kontrollera: ring eller skriv till personen på det gamla, kända numret, eller ställ en fråga som bara den riktiga personen kan svara på.

Telefonen: vishing, falsk helpdesk och röstkloner

Vishing (voice phishing) är phishing över telefon. Tre former är vanliga.

Bankmedarbetaren. Någon ringer å bankens vägnar eller från "bedrägeriavdelningen": det finns misstänkta betalningar, dina pengar måste "säkras", eller du ska lämna ut en kod eller godkänna en betalning i din bankapp. På skärmen visas ibland till och med bankens riktiga nummer. Även det kan vara spoofat. En riktig bank frågar aldrig efter dina inloggningskoder eller ber dig föra över pengar till ett "säkert konto".

Den falska helpdesken. Någon ringer å en programleverantörs, din internetleverantörs eller ditt IT-företags vägnar: din dator är smittad, det är problem med ditt konto. Personen ber dig installera ett program så att de kan fjärrstyra din dator. På så sätt tar de över din dator. Det nederländska NCSC uttrycker det enkelt: ge aldrig någon fjärråtkomst till dina enheter utan vidare.

Den imiterade rösten. Med AI kan en röst imiteras utifrån ljudinspelningar, till exempel från en video eller röstbrevlåda. En röstklon av din vd eller en familjemedlem kan då ringa med en brådskande begäran. Du kan alltså inte längre lita blint på dina öron.

Det som fungerar i alla tre fallen:

1. Lägg på så snart det uppstår press eller någon ber om koder, pengar eller åtkomst. Det är inte oartigt.
2. Ring själv tillbaka på ett nummer du själv söker fram eller redan hade: baksidan av ditt bankkort, den officiella webbplatsen, din egen kontaktlista. Inte det nummer som den som ringer uppger.
3. Kom överens om en kontrollfråga eller ett kodord med de personer som kan be dig om pengar, till exempel ledningen och ekonomiavdelningen. Skriv också ner att betalningar aldrig görs enbart utifrån ett telefonsamtal (lektion 1.2).

QR-koder: quishing

En QR-kod är helt enkelt en länk du inte kan läsa. Quishing är phishing med en QR-kod. Två former:

• Ute på gatan eller i ett rum. En klistermärke med en egen QR-kod ovanpå den riktiga, på en parkeringsautomat, en laddstolpe, en menykort eller en affisch. Du tror att du betalar via parkeringsappen, men fyller i dina kortuppgifter på en falsk webbplats.
• I ett mejl eller en pdf. "Skanna den här koden för att bekräfta din mejlbrevlåda." En QR-kod i en bild går inte att kontrollera med musen. Och du skannar den med telefonen, där du har svårare att läsa adresser.

Det nederländska NCSC rekommenderar bland annat:

• Skanna inte en QR-kod utan tillhörande text eller bild, och var försiktig med koder på offentliga platser.
• Kolla om koden verkligen är tryckt på affischen eller skylten, eller om det sitter ett klistermärke ovanpå.
• Använd en skanner som först visar vilken adress eller vilket domän du är på väg till. I nyare versioner av Android och iOS gör kameran det som standard.
• Känner du inte igen adressen, gå inte vidare. Fyll inte i lösenord eller betaluppgifter om du inte är säker på att webbplatsen är äkta.

Titta på exempeladressen som kameran visar och leta efter det registrerbara domänet, precis som i lektion 3.2. Vid en parkeringsautomat kan du också använda den officiella parkeringsappen eller adressen på skylten själv.

MFA-bombning: när telefonen fortsätter pipa

Många tjänster skickar en notis till din telefon vid inloggning: "Försöker du logga in? Godkänn eller neka." Har en angripare redan ditt lösenord, försöker personen logga in gång på gång. Din telefon får den ena notisen efter den andra, ibland mitt i natten. Det kallas MFA-bombning (även MFA-trötthet). Angriparen hoppas att du av irritation eller av misstag trycker på Godkänn. Ibland ringer eller skriver personen dessutom som "helpdesk": "Vi håller på att återställa ditt konto, tryck på godkänn."

Så gör du:

1. Godkänn aldrig en notis du inte själv har startat. Inte heller om någon ber dig om det.
2. Se det som ett larm. En oväntad inloggningsnotis betyder att någon har ditt lösenord. Byt lösenordet för det kontot genast, via webbplatsen eller appen själv.
3. Granska de aktiva sessionerna och logga ut okända sessioner (lektion 2.5).
4. Välj en starkare form av tvåfaktorsautentisering (2FA) om den finns. Vid nummerkoppling (number matching) måste du skriva in ett nummer från inloggningsskärmen i appen; en notis utan den skärmen framför dig kan du då inte bara godkänna. Passkeys och säkerhetsnycklar (lektion 2.4) är ännu starkare, eftersom de inte fungerar på en falsk webbplats.

I praktiken: så här ser det ut

I Mitt WebOké ser du under aktiva sessioner var och när du har loggat in, och du kan logga ut andra sessioner (WebOké-guide 3.6). Andra tjänster, som ditt e-postprogram, bokföringsprogram eller Nextcloud, har en liknande översikt under kontots säkerhetsinställningar. Kolla där först efter en oväntad inloggningsnotis.

Sammanfattning

• Utanför e-posten fungerar samma knep, men det finns mindre teknik som hjälper och du läser snabbare.
• Ett nummer eller avsändarnamn på skärmen bevisar ingenting: de kan förfalskas.
• I telefon: lägg på, ring själv tillbaka på ett känt nummer, ge aldrig koder, pengar eller fjärråtkomst. Även en känd röst kan ha blivit imiterad.
• QR-koder: titta efter klistermärken, låt kameran visa adressen och läs det registrerbara domänet.
• En oväntad inloggningsnotis är ett larm: neka, byt lösenord, granska sessionerna.

Quiz

Uppgift

Uppgift A3.4: Läsa en QR-kod utan att öppna den. Programmet visar en QR-kod. Skanna den med telefonens kamera, men öppna inte länken. Läs adressen som kameran visar och fyll i det registrerbara domänet, samt om du skulle öppna länken. Programmet kontrollerar svaret.

Uppgift D3.4: Rutiner för telefon, chatt och inloggningsnotiser. Kom överens med ditt team om rutiner för att ringa tillbaka, en kontrollfråga eller ett kodord, och vad ni gör vid en oväntad inloggningsnotis. Kontrollera därefter på din egen telefon om kameran visar adressen för en QR-kod innan den öppnar något.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.

• WebOké manual 3.6: Visa och logga ut aktiva sessioner
• Nextcloud-guide 3.6: Enheter och sessioner visa, återkalla eller rensa på distans
• Nederländska NCSC, Sms-phishing ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Nederländska NCSC, Hur känner jag igen ett falskt telefonsamtal?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Nederländska NCSC, QR-koder: https://www.ncsc.nl/phishing/qr-codes
• Polisen, anmäl bedrägeri och phishing: https://polisen.se/