Phishing

Hvad er phishing?

Phishing er en slags cyberangreb, der giver hackere adgang til ofrets sikre data. Mens traditionel hacking involverer en brute-force-metode til at prøve mange forskellige adgangskodekombinationer, bruger phishing social engineering til at narre brugere til at opgive deres login-oplysninger. En homofon af "fiskeri", idet hackere retter sig mod mange brugere i håb om en "bid", phishing koster brugerne milliarder af dollars på verdensplan og er blevet brugt af agenter fra statsregeringer til både økonomisk og politisk krigsførelse.

Dybere definition

Phishing virker ved at lulle ofrene ind i en falsk følelse af sikkerhed. Ofte aner den målrettede bruger ikke, at der er noget galt: Angrebet ser ud til at komme fra en betroet kilde, såsom en kollega eller en ven, eller fra en virksomhed som brugerens bank eller e-mail-udbyder. Selvom e-mail har været det primære angrebsmiddel, har nogle hackere brugt telefonkommunikation og sms til at målrette folk.

I et phishing-angreb opretter en hacker et websted eller en e-mail, der næsten perfekt ligner dem, der almindeligvis ses af brugere hver dag. I nogle tilfælde indeholder e-mailen et uskadeligt link, der installerer malware på brugerens computer, som kan optage tastetryk eller give en "tunnel" ind i offerets data. Andre leder ofte brugere til en login-side, der ikke kan skelnes fra den slags, folk tager for givet, når de bruger deres e-mail, sociale mediekonti eller netbank. Data indtastet på disse sider går dog direkte til hackeren, hvilket giver ham mulighed for at logge ind og stjæle information.

Disse forfalskede websteder lever på falske webadresser, der ligner de rigtige, ofre er vant til. En typisk forfalskning af den rigtige Gmail-URL, https://mail.google.com/, kunne ligne http://mail.googlecom.com. Bemærk de små ændringer af navnet. Et sådant link kan skjule sig bag tekst, såsom "Klik her", for at se legitimt ud. Phishere bruger også rigtige e-mailadresser, men når de først får adgang til et offers konto, kan de sende e-mail til andre personer på hendes kontaktliste fra ofrets faktiske e-mailadresse.

Stort set alle e-mail-systemer har en form for phishing-beskyttelse, der registrerer svigagtige e-mailadresser eller links i brødteksten i en e-mail og flytter denne meddelelse til spam-mappen. Ingen automatiseret beskyttelse er dog perfekt, og det kræver kun et vellykket angreb at skade en organisation alvorligt.

Phishing-eksempel

Det mest fremtrædende seneste phishing-angreb var rettet mod Hillary Clintons præsidentkampagne i 2016. Hendes kampagneformand, John Podesta, der havde fungeret som præsident Bill Clintons vicestabschef, modtog en e-mail tilsyneladende fra Google, der indikerede, at hans Gmail-konto var blevet kompromitteret af hackere, og at han var nødt til at ændre sin adgangskode. Det var ikke sandt; hackerne havde selv sendt mailen. Alligevel indtastede han sine gamle login-oplysninger, som blev sendt til hackerne, som derefter frigav 20.000 af Podestas personlige e-mails til WikiLeaks, og det efterfølgende nedfald var en væsentlig faktor i Clintons tab ved parlamentsvalget. Phishingforsøget var så godt, at det endda narrede kampagnens it-chef, som fortalte Podesta, at det var "en legitim e-mail".

Højdepunkter

• Et phishingforsøg kan bruge en hjemmeside, e-mail eller andre former for kommunikation, der ser officielt ud, til at narre brugere til at udlevere detaljer som kreditkortnumre, cpr-numre eller adgangskoder.

• Phishing-websteder kan fremstå identiske med officielle websteder, hvilket beder brugerne om at indtaste deres rigtige legitimationsoplysninger på det ondsindede websted.

• Phishing er en form for datatyveri, der involverer folk, der ubevidst afgiver deres personlige oplysninger til en dårlig skuespiller.