Åpne vedlegg trygt

Modul 2: Lese e-post · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen vet du hvordan et vedlegg ligger i en e-post, hvilke filtyper som er farlige og hvorfor, hvordan du leser et filnavn, og hva du gjør når du er i tvil.

Nøkkelbegreper: MIME, vedlegg, base64, filtype (filendelse), kjørbar fil, makro, HTML-vedlegg, dobbel filendelse, forhåndsvisning i nettleseren, en annen kanal

Hvordan et vedlegg ligger i en e-post

Teknisk sett er en e-post bare tekst. Likevel kan du sende bilder, PDF-er og regneark med den. Det er mulig takket være MIME: en standard for hvordan en e-post deles opp i deler. En e-post med vedlegg består av minst to deler: teksten i meldingen og filen. Hver del har egne headere, for eksempel:

Content-Type: application/pdf; name="offerte-bruidsboeket.pdf"
Content-Disposition: attachment; filename="offerte-bruidsboeket.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Selve filen er gjort om til tekst med base64: hver gruppe på 3 byte blir 4 tegn. Derfor blir et vedlegg omtrent en tredjedel større underveis. Mer om det i leksjon 3.3. Med Mer > Vis kilde kan du se dette selv i alle e-poster med vedlegg.

Det viktigste å forstå: filnavnet og filtypen (Content-Type) velger avsenderen selv. Ingen sjekker underveis om en fil som heter "factuur.pdf", faktisk er en PDF. Navnet er en etikett, ikke et bevis.

Hvorfor noen filer er farlige

En fil er farlig hvis den kan gjøre noe på datamaskinen din i det øyeblikket du åpner den. Et bilde eller en vanlig PDF viser deg noe. Et program utfører kommandoer. Forskjellen ligger i filendelsen: bokstavene etter det siste punktumet i navnet. Ut fra den velger datamaskinen hvilket program som åpner filen.

Disse typene åpner du bare hvis du virkelig venter dem og har sjekket avsenderen via en annen kanal:

Kjørbare filer og skript: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Dette er programmer eller kommandoer. Å åpne dem er å starte dem. En vanlig kunde, leverandør eller bank sender deg aldri slikt på e-post.
Snarveier og diskbildefiler: .lnk, .iso, .img. En .lnk kan starte en kommando. En .iso eller .img åpner Windows som en ekstra disk, og der ligger det ofte et program eller en snarvei. Angripere bruker denne innpakningen for å komme forbi virusskannere.
Office-filer med makroer: .docm, .xlsm og lignende. En makro er et lite program inne i et dokument. Office blokkerer som regel makroer i filer fra internett, men angrepet går ut på å få deg til å slå dem på likevel. Et dokument som ber deg om å "Aktiver innhold" eller "Aktiver redigering" for å kunne se teksten, er et varseltegn.
HTML-vedlegg: .html eller .htm. Disse åpner nettleseren som en nettside. Ofte er det en falsk innloggingsside, for eksempel for webmailen din eller for Microsoft, med din egen adresse allerede fylt inn. Det du skriver inn, går til angriperen. Fordi filen ligger på din egen datamaskin, ser du ingen mistenkelig nettadresse i adressefeltet.
Zip-filer med passord, der passordet står i selve e-posten. En virusskanner kan ikke se inn i et kryptert arkiv. Det er nettopp derfor angripere gjør dette. En vanlig zip uten passord er ikke nødvendigvis mistenkelig, men sjekk hva som ligger i den før du åpner noe.

Og PDF? En PDF er som regel trygg å se på, særlig i nettleseren. Faren ligger i innholdet: en knapp "Se faktura" eller en QR-kode som leder til en falsk innloggingsside. Vær like kritisk til en lenke i en PDF som til en lenke i en e-post (leksjon 2.4).

Les navnet fra høyre mot venstre

Windows skjuler som standard filendelsen for kjente filtyper. En fil med navnet

offerte-bruidsboeket.pdf.exe

vises da som "offerte-bruidsboeket.pdf". For Windows er det bare den siste filendelsen som teller: dette er et program. Ikonet sier heller ingenting, for et program kan få hvilket som helst ikon, også ikonet til en PDF.

Webmailen viser navnet slik det står i e-posten, med alle filendelser. Les det derfor i webmailen før du laster ned noe. Er navnet for langt og kuttet av, kan du se under filename i Mer > Vis kilde. Begynn til høyre: hva står etter det siste punktumet? Se også etter lange navn med mange mellomrom foran den egentlige filendelsen, og etter navn som "Factuur_2026_pdf.zip": de inneholder "pdf", men er en zip.

Tips for Windows: slå på filendelser under Vis i Filutforsker. Da ser du alltid den egentlige filendelsen.

Se på eller laste ned?

Klikker du på navnet til et vedlegg i webmailen, åpner webmailen det i et nytt vindu hvis nettleseren kan vise den filtypen, for eksempel en PDF eller et bilde. Det er den tryggeste måten å se på det: nettleseren viser filen i sitt eget avskjermede miljø og starter ikke noe program på datamaskinen din.

Laster du ned et vedlegg og åpner det fra datamaskinen, skjer det via programmet som hører til filendelsen: Word, Excel, eller ved en .exe selve filen. Det er der risikoen ligger. Last derfor bare ned det du trenger og venter.

På bildet ser du en melding med to bilder som vedlegg og lenken Last ned alle vedlegg. Den lenken gir deg én zip-fil med alle vedleggene. Praktisk, men da laster du også ned vedlegg du ikke har sett på.

Tillit avhenger av situasjonen

Et vedlegg er ikke trygt eller farlig bare på grunn av filtypen. Situasjonen teller også. Still deg selv tre spørsmål:

Venter jeg dette? Sanne ba Ahmed om et bilde av kjolen; en .jpg fra Ahmed er da logisk. En uventet "faktura" fra et firma hun aldri har kjøpt noe fra, er det ikke.
Passer filen til historien? Et tilbud er en PDF. Et tilbud som .html, .iso eller zip med passord passer ikke.
Stemmer avsenderen? Se på adressen og domenet (leksjon 2.2). Men vær obs: også en ekte avsender kan være hacket. Hvis Daans postboks er overtatt, kommer et farlig vedlegg rett og slett fra daan@example.com, ofte som svar i en eksisterende samtale.

Er du i tvil, så spør via en annen kanal: ring avsenderen på et nummer du allerede hadde, eller send en ny melding (ikke som svar på den mistenkelige e-posten). En ekte avsender synes ikke det er rart.

Har du likevel åpnet noe som ikke stemmer? Koble datamaskinen fra nettverket, endre passordene dine fra en annen enhet og skaff hjelp. Kurset Trygt på nett beskriver dette steg for steg.

I praksis: slik fungerer det i webmailen

Vedlegg står i webmailen over teksten i meldingen. Klikk på navnet for å se på det; via pilen ved siden av navnet kan du blant annet velge å laste ned. Last ned alle vedlegg gir én zip-fil. Roundcube-håndboken beskriver knappene under Åpne og lagre vedlegg. I andre webmailer, som Gmail eller Outlook.com, fungerer det på lignende måte: også der kan du se på et vedlegg i nettleseren før du laster det ned.

Oppsummering

Et vedlegg er en del av e-posten (MIME), kodet som tekst med base64; navn og type velger avsenderen selv.
Farlige er programmer og skript, snarveier og diskbildefiler, Office med makroer, HTML-vedlegg og zip-filer med passord.
Les et filnavn fra høyre mot venstre; bare den siste filendelsen teller, og ikonet beviser ingenting.
Å se på filen i nettleseren er tryggere enn å laste den ned og åpne den.
Er du i tvil, sjekk via en annen kanal; også en kjent avsender kan være hacket.

Quiz

Oppgave

Oppgave A2.3: Hvilke vedlegg stoler du ikke på? Materialet bijlagen-1.txt ligger under denne oppgaven: ti nummererte vedlegg, hvert med avsenderen og situasjonen e-posten kom inn i. Vurder hvert vedlegg med de tre spørsmålene fra denne leksjonen (venter jeg dette, passer filen til historien, stemmer avsenderen) og med det du vet om filendelser. Fyll inn numrene på vedleggene du ikke åpner. Programmet sammenligner utvalget ditt med fasiten og viser for hvert vedlegg om valget ditt stemmer, med begrunnelse.

Les mer

Der det står steg i webmailen, gjelder de webmailen til WebOké; i andre webmailer fungerer det på lignende måte.

Cookies hos WebOké

Cookie-innstillinger

Nødvendige

Markedsføring