Gjenkjenne phishing: slik leser du en lenke og en avsender
Phishing er en melding som utgir seg for å komme fra en pålitelig avsender, slik at du gjør noe du ellers ikke ville gjort: logge inn på en forfalsket side, åpne et vedlegg, oppgi en kode eller betale. Stavefeil er ikke lenger et godt kjennetegn: med KI skriver svindlere feilfritt norsk. Se derfor etter tre ting: hvor lenken faktisk fører, hvem den egentlige avsenderen er, og hva meldingen ber deg om.
Ser det ut som at e-posten kommer fra WebOké? Les da Er denne e-posten faktisk fra WebOké? Gjenkjenne phishing og bruke aksjonskoden. I eksemplene nedenfor bruker vi oppdiktede navn som slutter på .example.
Lese en lenke
Før musen over lenken uten å klikke, så vises den faktiske adressen nederst i vinduet. På en telefon holder du lenken inne. Bare den adressen teller, ikke teksten på knappen.
- Finn delen mellom
https://og den første/. Det er hosten: serveren du blir sendt til. Alt etter den første/velger eieren av den hosten selv. - Står det en
@i den delen? Da begynner hosten først etter@. - Les hosten fra høyre til venstre. Det registrerbare domenet er endelsen pluss ett ord foran, for eksempel
mijnbank.example. Det er navnet noen har registrert, og dermed eieren. Alt til venstre for det er underdomener, som eieren selv finner på. Vær oppmerksom på endelser med to deler, somco.uk: iwww.shop.voorbeeld.co.uker det registrerbare domenetvoorbeeld.co.uk.
| Lenke | Faktisk eier | Hva skjer her? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | I orden: et underdomene av banken selv |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Underdomenetriks: det faktiske navnet står først |
https://inlog.example/mijnbank.example/login | inlog.example | Stitriks: navnet står etter den første / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | @-triks: alt foran @ teller ikke |
https://rnijnbank.example/ | rnijnbank.example | Lookalike: rn ligner på m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Et ord i tillegg: et helt annet domene |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: en bokstav fra et annet skriftsystem |
En lookalike ligner på det faktiske domenet: bokstaver byttet om, et ord eller en bindestrek i tillegg, eller en bokstav fra et annet skriftsystem (en kyrillisk а ser ut som en vanlig a). Et slikt navn med fremmede tegn vises i teknikken som punycode, som begynner med xn--. Hvis et navn ellers ser helt vanlig norsk ut, er det mistenkelig.
Forkortede lenker, videresendingslenker og QR-koder
- En forkortet lenke viser ikke målet. Ber en bank eller leverandør deg om å logge inn via en slik lenke, så ikke gjør det.
- En lenke kan starte på en ekte side og sende deg videre. Se på adressefeltet igjen etter at du har klikket, før du fyller inn noe.
- En QR-kode er en lenke du ikke kan lese. La kameraet først vise adressen, og les den. Vær oppmerksom på klistremerker over en ekte kode, for eksempel på en parkeringsautomat.
- Hengelåsen sier bare at forbindelsen er kryptert. Falske nettsider har også en hengelås.
Lese avsenderen
- Navnet sier ingenting. Hvem som helst kan skrive "Mijnbank Kundeservice", navnet til din leder eller til og med en e-postadresse som navn. Klikk eller trykk på navnet for å se den faktiske adressen, og les domenet på samme måte som med en lenke.
- Vær oppmerksom på svaradressen. Med en Reply-To går svaret ditt til en annen adresse enn avsenderen. Se hvem svaret ditt faktisk går til før du trykker Send, spesielt hvis det gjelder penger eller opplysninger.
- En avsender kan være forfalsket, og en ekte avsender kan være hacket. I e-postens topptekster (headers) ser du om domenet faktisk har sendt e-posten. Men selv en vellykket kontroll beviser bare at e-posten kommer fra det domenet, ikke at det domenet er til å stole på. Hvordan du leser dette, står i Se og lese topptekstene (headers) til en e-post.
SMS, WhatsApp og telefon
Et avsendernavn eller telefonnummer på skjermen din kan være forfalsket, selv om meldingen står mellom ekte meldinger fra banken din. Får du en melding fra "en kollega med et nytt nummer" som raskt vil ha noe betalt, ring da det gamle, kjente nummeret. Ringer noen på vegne av banken eller en helpdesk og ber om en kode, en betaling eller fjerntilgang til datamaskinen din? Legg på og ring selv tilbake på et nummer du allerede hadde. Får du en innloggingskode eller et varsel du ikke selv ba om, godkjenn ingenting og endre det passordet.
Gjelder det en faktura eller et endret kontonummer, les da Gjenkjenne falsk faktura, endret kontonummer eller CEO-svindel.
Er du i tvil? Stopp, sjekk, spør
- Stopp. Hastverk, sjokk eller en belønning er akkurat øyeblikket for å ikke klikke.
- Sjekk på din egen måte. Ikke fortsett via meldingen. Skriv inn adressen selv eller bruk bokmerket ditt, og ring et nummer du allerede hadde.
- Spør en kollega, eller avsenderen via en annen kanal.
Meld en phishing-e-post til Fraudehelpdesk: send den helst som vedlegg til valse-email@fraudehelpdesk.nl og sett det etterlignede selskapet i kopi. En SMS eller WhatsApp-melding melder du via meldeskjemaet. Se Melde falsk e-post.
Flere eksempler finner du hos NCSC i Hvordan gjenkjenner jeg en phishing-e-post?, SMS-phishing og Hvordan gjenkjenner jeg et falskt telefonanrop?.