Phishing via sms, chat, telefon og QR-kode

Modul 3: Gjenkjenne phishing · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen kan du gjenkjenne phishing utenfor e-post: via sms og chat-apper, på telefonen (også med en etterlignet stemme), via QR-koder og via en flom av innloggingsvarsler, og du vet hvordan du kontrollerer per kanal.
Nøkkelbegreper: smishing, svindel med venn i nød, vishing, spoofing av numre, falsk helpdesk, stemmekloning, quishing, MFA-bombardement

Hvorfor andre kanaler fungerer så godt

Alt fra leksjon 3.1 gjelder også her: hastverk, autoritet, frykt, nysgjerrighet og belønning. Men utenfor e-post fungerer triksene ofte enda bedre:

• På telefonen leser du raskt. Skjermen er liten, adresser blir forkortet, og du er ofte midt i noe annet.
• Det er mindre teknikk som hjelper. En e-postserver kontrollerer SPF, DKIM og DMARC og har et spamfilter. For sms, chat og telefon er det mye mindre av dette.
• Det føles mer personlig. En melding i en chat-app eller en stemme på telefonen skaper mer tillit enn en e-post.
• Det skjer i sanntid. En som ringer kan grave videre, legge på press og ta deg med steg for steg.

Reflekssen er den samme: stopp, kontroller via din egen kanal, spør. Det som er forskjellig per kanal, er hvordan den kontrollen ser ut.

Sms og chat: smishing og venn i nød

Smishing er phishing via sms. Svindlere utgir seg for å være en organisasjon du kunne forvente en sms fra: et transportselskap, banken, en offentlig tjeneste, strømleverandøren din. Ifølge det nederlandske NCSC skjer det samme via chat-apper som WhatsApp og Telegram.

Et typisk eksempel:

Budtjeneste: pakken din kunne ikke leveres på grunn av ufullstendig adresse. Planlegg en ny levering: https://koeriersdienst.track-nl.example/z8K

Les lenken slik som i leksjon 3.2: det registrerbare domenet er track-nl.example og altså ikke koeriersdienst.example til transportselskapet. På en telefon er dette ekstra vanskelig, fordi du bare ser begynnelsen. Hold inne en lenke for å se hele adressen, eller la være å åpne den og gå selv til appen eller nettsiden til transportselskapet.

Avsendernummeret eller avsendernavnet sier ingenting. Sms-avsendere og telefonnumre kan forfalskes (spoofing). En falsk melding kan derfor dukke opp i samme sms-tråd som ekte meldinger fra den avsenderen. Et kjent navn over en melding er altså heller ikke noe bevis.

Svindel med venn i nød skjer via chat-apper:

Hei, dette er mitt nye nummer, telefonen min er ødelagt. Kan du betale noe for meg? Jeg betaler deg tilbake i morgen. Det må skje i dag.

I en bedrift finnes det samme trikset som en melding fra «daglig leder» eller «en kollega» med et nytt nummer, som raskt vil ha en betaling eller gavekort. Kontroller: ring eller chat med personen på det gamle, kjente nummeret, eller still et spørsmål bare den ekte personen kan svare på.

Telefonen: vishing, falsk helpdesk og stemmekloning

Vishing (voice phishing) er phishing over telefon. Tre former er vanlige.

Bankmedarbeideren. Noen ringer på vegne av banken eller «bedrageriavdelingen»: det er mistenkelige betalinger, pengene dine må «sikres», eller du må oppgi en kode eller godkjenne en betaling i bank-appen. På skjermen din kan det til og med stå det ekte nummeret til banken. Også det kan være spoofet. En ekte bank ber aldri om innloggingskodene dine eller om å overføre penger til en «sikker konto».

Den falske helpdesken. Noen ringer på vegne av en programvareleverandør, internettleverandøren din eller IT-firmaet ditt: datamaskinen din er infisert, det er et problem med kontoen din. Han ber deg installere et program slik at han kan følge med fra avstand. Med det overtar han datamaskinen din. Det nederlandske NCSC sier det enkelt: gi aldri noen fjerntilgang til enhetene dine uten videre.

Den etterlignede stemmen. Med KI kan en stemme etterlignes basert på lydopptak, for eksempel fra en video eller talemelding. En stemmeklon av daglig leder eller et familiemedlem kan da ringe med en hasteforespørsel. Du kan altså ikke lenger stole blindt på ørene dine.

Det som fungerer mot alle tre:

1. Legg på så snart det kommer press eller du blir bedt om koder, penger eller tilgang. Det er ikke uhøflig.
2. Ring tilbake selv til et nummer du selv finner frem til eller allerede hadde: baksiden av bankkortet ditt, den offisielle nettsiden, din egen kontaktliste. Ikke nummeret den som ringer oppgir.
3. Avtal et kontrollspørsmål eller kodeord med dem som kan be deg om penger, som ledelsen og regnskapsavdelingen. Fastsett også at betalinger aldri skjer bare på grunnlag av en telefonsamtale (leksjon 1.2).

QR-koder: quishing

En QR-kode er bare en lenke du ikke kan lese. Quishing er phishing med en QR-kode. To former:

• Ute på gaten eller i et rom. En klistrelapp med en egen QR-kode oppå den ekte, på en parkeringsautomat, en ladestasjon, en menykort eller en plakat. Du tror du betaler via parkeringsappen, men du fyller inn kortopplysningene dine på en falsk side.
• I en e-post eller pdf. «Skann denne koden for å bekrefte e-postkontoen din.» En QR-kode i et bilde kan du ikke kontrollere med musen. Og du skanner den med telefonen, der du leser adresser dårligere.

Det nederlandske NCSC anbefaler blant annet:

• Ikke skann en QR-kode uten tilhørende tekst eller bilde, og vær forsiktig med koder på offentlige steder.
• Se etter om koden virkelig er trykt på plakaten eller skiltet, eller om det er limt en klistrelapp over den.
• Bruk en skanner som først viser hvilken adresse eller hvilket domene du blir sendt til. I nyere versjoner av Android og iOS gjør kameraet dette som standard.
• Kjenner du ikke igjen adressen, gå ikke videre. Fyll ikke inn passord eller betalingsopplysninger hvis du ikke er sikker på at siden er ekte.

Se på eksempeladressen kameraet viser, og legg merke til det registrerbare domenet, akkurat som i leksjon 3.2. Ved en parkeringsautomat kan du også bruke den offisielle parkeringsappen eller adressen som står på selve skiltet.

MFA-bombardement: når telefonen fortsetter å pipe

Mange tjenester sender en varsling til telefonen din ved innlogging: «Prøver du å logge inn? Godkjenn eller avvis.» Har en angriper allerede passordet ditt, prøver han å logge inn igjen og igjen. Telefonen din får den ene varslingen etter den andre, noen ganger midt på natten. Dette kalles et MFA-bombardement (også kalt MFA-utmattelse). Han håper at du av irritasjon eller ved et uhell trykker på Godkjenn. Noen ganger ringer eller chatter han i tillegg som «helpdesk»: «Vi holder på å gjenopprette kontoen din, bare trykk godkjenn.»

Dette gjør du:

1. Godkjenn aldri en varsling du ikke selv har startet. Heller ikke hvis noen ber deg om det.
2. Se det som en alarm. En uventet innloggingsvarsling betyr at noen har passordet ditt. Endre passordet til den kontoen med en gang, via selve siden eller appen.
3. Se gjennom aktive økter og logg ut ukjente økter (leksjon 2.5).
4. Velg en sterkere form for tofaktorautentisering (2FA) hvis det finnes. Med tallmatching (number matching) må du skrive inn et tall fra innloggingsskjermen i appen; en varsling uten det skjermbildet foran deg kan du da ikke bare godkjenne. Passnøkler og sikkerhetsnøkler (leksjon 2.4) er enda sterkere, fordi de ikke fungerer på en falsk side.

I praksis: slik ser det ut

I Min side ser du under aktive økter hvor og når du er logget inn, og du kan logge ut andre økter (WebOké-veiledning 3.6). Andre tjenester, som e-postprogrammet ditt, regnskapsprogrammet eller Nextcloud, har en lignende oversikt under sikkerhetsinnstillingene til kontoen din. Sjekk der først etter en uventet innloggingsvarsling.

Oppsummering

• Utenfor e-post fungerer de samme triksene, men det er mindre teknikk som hjelper og du leser raskere.
• Et nummer eller avsendernavn på skjermen din beviser ingenting: de kan forfalskes.
• På telefonen: legg på, ring tilbake selv til et kjent nummer, gi aldri koder, penger eller fjerntilgang. Også en kjent stemme kan være etterlignet.
• QR-koder: se etter klistrelapper, la kameraet vise adressen og les det registrerbare domenet.
• En uventet innloggingsvarsling er en alarm: avvis, endre passord, sjekk økter.

Quiz

Oppgave

Oppgave A3.4: Å lese en QR-kode uten å åpne den. Programmet viser en QR-kode. Skann den med kameraet på telefonen din, men ikke åpne lenken. Les adressen kameraet viser og fyll inn det registrerbare domenet, og om du ville åpnet lenken. Programmet kontrollerer svaret.

Oppgave D3.4: Avtaler for telefon, chat og innloggingsvarsler. Lag avtaler med teamet ditt om tilbakeringing, et kontrollspørsmål eller kodeord, og hva dere gjør ved en uventet innloggingsvarsling. Kontroller deretter på din egen telefon om kameraet viser adressen til en QR-kode før den åpner noe.

Les mer

Stegene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• Nextcloud-veiledning 3.6: Vise, avslå eller fjernslette enheter og økter
• Det nederlandske NCSC, Sms-phishing («smishing»): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Det nederlandske NCSC, Hvordan gjenkjenner jeg en falsk telefonsamtale?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Det nederlandske NCSC, QR-koder: https://www.ncsc.nl/phishing/qr-codes
• Politiet, anmeld svindel og phishing: https://www.politiet.no/