Klikket på noe: hva nå?

Modul 3: Gjenkjenne phishing · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen vet du hva du gjør i de første timene etter en klikk, et utfylt passord, utfylte bankopplysninger eller et åpnet vedlegg, i riktig rekkefølge, og hvordan du melder og videresender phishing.
Nøkkelbegreper: begrense skaden, bytte passord fra en ren enhet, logge ut økter, ringe banken, melde fra, videresende phishing (for eksempel til politiet og det misbrukte merket)

Det kan skje med alle

Alle klikker på feil lenke en gang i blant. Også folk som har tatt dette kurset, også IT-folk. En god phishing-e-post kommer på feil tidspunkt, med den riktige historien. Skam hjelper ikke, rask handling gjør det. Jo tidligere du griper inn, jo mindre kan angriperen gjøre med det han har fått tak i.

Derfor er det første steget i ethvert selskap: meld fra med en gang, til kollegaen som styrer IT, eller til IT-leverandøren din. Avtal at den som melder fra om en klikk, får en takk og ikke en skjennepreken (mer om dette i leksjon 9.2). Den som er redd for straff, sier ingenting, og da får angriperen dager på seg.

Først: avklar hva som faktisk skjedde

Hva du må gjøre, avhenger av hvor langt du har gått. Avklar det først, kort og ærlig.

Bare det å klikke er som regel ikke alvorlig: moderne nettlesere er godt beskyttet. Men en klikk kan også starte en nedlasting. Er du i tvil, behandle det som den alvorligste situasjonen.

Steg for steg i de første timene

1. Meld fra internt i bedriften. Med en gang, også ved tvil. Fortell hva du så, når, og hva du har fylt ut eller åpnet. Ta vare på meldingen: ikke slett den, du trenger den for å melde fra.

2. Begrens skaden. Har du åpnet et vedlegg eller gitt noen tilgang? Koble enheten fra nettverket: slå av wifi, trekk ut nettverkskabelen. Ikke slå den av med en gang, for det som ligger i minnet, kan være nyttig i undersøkelsen (leksjon 8.3). Ikke jobb videre på den enheten.

3. Ring banken ved pengetap. Har du fylt ut bankopplysninger eller godkjent en betaling, ring da umiddelbart banken din, på nummeret på kortet ditt eller den offisielle nettsiden. Jo raskere, jo større sjanse for at en betaling kan stoppes eller hentes tilbake. Også en betaling til en falsk kontonummer etter fakturasvindel melder du straks til banken din.

4. Bytt passord fra en ren enhet. Bytt passordet til kontoen du har fylt ut opplysninger på. Gjør det på en annen enhet enn den du åpnet vedlegget på, for der kan et program følge med. Skriv inn adressen selv eller bruk bokmerket ditt, ikke lenken fra meldingen. Brukte du samme passord et annet sted også, bytt det der også (leksjon 2.1).

5. Logg ut økter og sjekk kontoen. Et nytt passord kaster ikke alltid automatisk ut en angriper som allerede er inne. Logg derfor ut alle andre økter (leksjon 2.5) og sjekk hva han kan ha endret:

• tofaktorautentisering (2FA): står det en ukjent app eller et ukjent telefonnummer der?
• gjenopprettingsopplysninger: er gjenopprettings-e-posten eller telefonnummeret endret?
• videresendingsregler og filtre i postkassen din: en angriper setter gjerne opp en regel som videresender all e-post, eller bare e-post med "faktura" i seg, til sin egen adresse eller sletter den med en gang. Slik følger han med, selv om du allerede har byttet passord;
• sendte elementer: er det sendt e-poster du ikke har skrevet? Da må du varsle kontaktene dine.

6. Meld fra og videresend. Se nedenfor.

7. Vurder om det er et avvik (datalekkasje). Kunne angriperen komme inn i en postkasse, et kunderegister eller et annet miljø med personopplysninger? Da kan det foreligge et avvik. Ifølge GDPR (personvernforordningen) skal et avvik meldes uten unødig opphold og om mulig innen 72 timer etter at det ble oppdaget, med mindre det neppe medfører noen risiko for de det gjelder. Meldingen skjer i form av en melding om avvik til Datatilsynet (digitalt skjema). Før det uansett inn i avviksregisteret ditt. Hvordan du vurderer dette, lærer du i leksjon 8.2.

Melde og videresende phishing

Det nytter å melde fra, selv om ingenting har skjedd. Slik kan et falskt nettsted raskere tas offline, og andre blir varslet.

Anmeld svindelen til politiet. I Norge kan du anmelde svindel og phishing til politiet (https://www.politiet.no/). Noen gode tips for videresending:

• videresend e-posten helst som vedlegg. Ved vanlig videresending forsvinner de tekniske opplysningene (headerne fra leksjon 3.3). Går ikke det, for eksempel på en mobiltelefon, videresend den da bare vanlig;
• ser e-posten ut til å komme fra en bank eller et annet kjent selskap, sett adressen til det selskapet i kopi (cc). Mange selskaper har en egen meldeadresse for phishing på nettsiden sin;
• sms, WhatsApp og andre meldinger videresender du ikke på samme måte, men melder via politiets nettsider eller anmeldelsesløsning. Det bruker du også for en mistenkelig e-post uten lenker eller vedlegg, og for helpdesk-svindel på telefon.

I mange e-postprogrammer heter videresending som vedlegg "Videresend som vedlegg" eller noe lignende.

Til det misbrukte merket. Blir navnet til en bank, transportør eller leverandør misbrukt, gi det selskapet beskjed via en kanal du selv finner på deres egen nettside, ikke via meldingen. Mange selskaper har en egen meldeadresse for phishing. Gjelder det ditt eget webhotell (hosting) eller e-postleverandør, send det dit også; hos WebOké kan det gjøres med en sak (ticket), med e-posten som vedlegg (Kunnskapsbase 581).

Anmeldelse til politiet. Har du mistet penger, eller er det misbruk eller forsøk på det, send en anmeldelse. Det er politiet som kan etterforske saken.

Etterpå kan du slette meldingen og blokkere avsenderen.

Kontroll etter en uke

Et angrep er ikke alltid over etter en dag. Sett en påminnelse for en uke senere:

• Er det nye innloggingsvarsler eller ukjente økter?
• Står det ukjente betalinger på kontoutskriftene?
• Er det nye videresendingsregler eller filtre i postkassen?
• Klager kunder eller leverandører over rar e-post fra deg? Da kan postkassen din fortsatt bli misbrukt til å sende spam (Kunnskapsbase 25).
• Hva kan vi lære? Var meldingen lett å gjenkjenne, og hva ville ha fått den til å stikke seg ut tidligere neste gang?

I praksis: slik ser det ut

Mandag kl. 9:12. Fatima i Bakkerij Example fyller ut e-postpassordet sitt på en falsk innloggingsside for "regnskapsprogrammet". Klokken 9:15 ser hun at adressen var boekhoudpakket.inlog-check.example. Hun melder fra til Kees, som styrer IT. Klokken 9:20 bytter Kees passordet til postkassen hennes fra sin egen laptop og logger ut alle økter. I webmailen finner han en ny regel: all e-post med "faktura" går til en ukjent adresse og slettes deretter. Han fjerner regelen, slår på tofaktorautentisering (2FA) og sjekker sendte elementer: ingenting sendt. Fatima videresender phishing-e-posten som vedlegg til politiet. Kees noterer det i hendelsesloggen og sjekker om angriperen kan ha sett personopplysninger. Etter en uke sjekker han reglene og øktene på nytt.

Hvor disse reglene og øktene ligger, varierer fra miljø til miljø. Hos WebOké finner du videresendinger fra en adresse i Min side og i DirectAdmin (Forwarders), og en regel kan også ligge i webmailen eller selve e-postprogrammet. Hos andre leverandører fungerer det på lignende måte: se etter videresending, forwarders, regler eller filtre.

Oppsummering

• Alle klikker feil en gang iblant. Meld fra med en gang, uten skam, og avtal at det å melde fra blir belønnet.
• Avklar først hva som skjedde: bare klikket, passord, kode, bankopplysninger, vedlegg eller fjerntilgang.
• Rekkefølge: meld fra, begrens skaden (koble fra nettverket), ring banken ved pengetap, bytt passord fra en ren enhet, logg ut økter og sjekk kontoen (særlig videresendingsregler), meld fra og videresend, vurder avvik.
• Videresend falsk e-post som vedlegg og anmeld svindelen til politiet (https://www.politiet.no/), med det misbrukte merket i kopi; sms og chatmeldinger meldes via politiets nettsider. Ved tap: anmeldelse.
• Sjekk på nytt etter en uke.

Quiz

Oppgave

Oppgave A3.5: Trinnkortet etter et klikk. Du får en situasjon og en bunke kort med steg. Velg hvilke steg som trengs, og sett dem i riktig rekkefølge. Programmet sjekker svarene og forklarer hvorfor et steg må komme tidligere eller senere.

Les mer

Stegene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• Er denne e-posten virkelig fra WebOké? Gjenkjenne phishing og bruke aksjonskoden
• E-postkonto kapret eller spam fra din adresse: slik rydder du opp
• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• DirectAdmin-veiledning 3.7: Sikre passord og hva du gjør hvis et passord er lekket
• Politiet, anmeld svindel: https://www.politiet.no/
• Politiet, tips og anmeldelse: https://www.politiet.no/
• NSM, råd om phishing: https://nsm.no/