Genkend phishing i din webmail

Modul 2: Læs mail · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du genkende kendetegnene ved en phishingmail. Du kan i webmailen tjekke, hvor et link og et svar reelt går hen, og du ved, hvad du gør med en mistænkelig mail, og hvad du gør, hvis du alligevel har klikket.

Centrale begreber: phishing, linktekst, rigtigt link, domænenavn, subdomæne, lookalike-domæne, Svar til, advarsel om mistænkelige adresser, Rapportér spam, en anden kanal

Hvad phishing er

Phishing er en mail, der prøver at lokke dig til at gøre noget, som hjælper afsenderen: logge ind på en falsk side, betale noget, åbne en vedhæftet fil eller sende oplysninger tilbage. Ordet kommer fra det engelske fishing: angriberen kaster en line ud og venter på, hvem der bider på.

Det meste phishing handler ikke om din computer, men om dig. Der er ofte ingen virus i mailen. Den vil bare have dig til selv at gøre noget. Derfor hjælper et antivirusprogram kun begrænset, mens det hjælper meget at kende tricksene.

De faste ingredienser

Næsten alle phishingmails bruger et eller flere af disse virkemidler:

Tidspres: "inden for 24 timer", "allerede i dag", "sidste påmindelse". Den, der har travlt, tjekker mindre.
Trusler: din mailboks bliver lukket, dit domæne udløber, der er en udestående betaling, din pakke bliver sendt retur.
Belønning eller nysgerrighed: en tilbagebetaling, et delt dokument, en talebesked.
En knap eller et link til en side, der ligner din banks, din udbyders eller din webmails.
En afsender eller et domæne, der næsten passer.
En afvigende svaradresse, så dit svar havner hos svindleren.

En mail med tidspres og et link til en login-side fortjener altid et ekstra blik, også selvom den ser pæn ud. God phishing har ikke længere stavefejl.

Linktekst og rigtigt link

I en mail er den tekst, du ser, og den adresse, linket går til, to forskellige ting. I kildeteksten til en mail ser det sådan ud:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.dk
</a>

Du ser https://webmail.weboke.dk, men du havner på en helt anden adresse. På en computer tjekker du det sådan: Peg på linket eller knappen med musen uden at klikke. Nederst i browservinduet vises den rigtige adresse. På en telefon eller tablet holder du fingeren på linket; så får du en menu med adressen øverst. Vælg derefter ikke at åbne linket.

Sådan læser du en webadresse

Den rigtige adresse skal du også kunne læse korrekt. Se på delen mellem https:// og den første skråstreg efter den. Læs den fra højre mod venstre: endelsen (.nl, .com, .example) og ordet foran udgør tilsammen domænenavnet. Det er den del, der tæller.

https://webmail.weboke.dk/ : domænenavnet er weboke.nl. Delen webmail foran gør det til et subdomæne; det kan kun ejeren af weboke.nl oprette.
https://login.weboke.nl.account-check.example/inloggen : domænenavnet er account-check.example. Alt foran ("login.weboke.nl") er et subdomæne, som angriberen selv har valgt. Det er det mest kendte trick.
https://weboke-security.example/ : et lookalike-domæne. Det indeholder et kendt navn, men det er et andet domæne, som alle kan registrere.
https://www.example.com@account-check.example/ : alt foran @ bliver ignoreret; du havner på account-check.example.

Der findes også domæner, der bruger bogstavtricks: tallet 0 i stedet for bogstavet o, rn i stedet for m, eller bogstaver fra et andet alfabet, der ser ens ud. Kan du ikke se forskellen med det blotte øje, hjælper en adgangskodeadministrator: den udfylder kun din adgangskode på det rigtige domæne (lektion 1.3).

Afsender og Svar til

I lektion 2.2 så du, at visningsnavnet ikke beviser noget, og at Svar til kan have sin egen adresse. Ved phishing optræder de to ofte sammen. Mailen påstår at komme fra "WebOké Support", adressen er support@weboke-security.example, og Svar til peger på en gratis mailadresse. Eller mailen kommer fra din direktørs rigtige adresse, men Svar til peger på et andet domæne. Det sidste ser du ofte ved CEO-svindel: en "hastende betaling", som direktøren angiveligt beder om fra et møde.

Webmailen hjælper lidt. Indeholder afsenderens adresse tegn, der ligner almindelige bogstaver uden at være det, viser webmailen over beskeden en advarsel om, at beskeden indeholder mailadresser, som måske ikke er til at stole på. Ser du den advarsel, så behandl mailen som mistænkelig. Ser du den ikke, siger det ingenting: det meste phishing bruger bare et andet domæne.

Og husk fra lektion 2.2: En mail, der fint består SPF, DKIM og DMARC, kan stadig være phishing. Angriberen bruger så sit eget, rigtige domæne.

Hvad du gør med en mistænkelig mail

Klik ikke, svar ikke, og åbn ingen vedhæftede filer. Heller ikke for "lige at se".
Gå selv til siden. Handler mailen om din bank, din udbyder eller en pakke? Åbn siden eller appen, som du plejer, via et bogmærke eller ved selv at skrive adressen. Står der ingenting dér, var mailen falsk.
Ring, hvis du er i tvivl, på et nummer, du havde i forvejen, ikke et nummer fra mailen.
Rapportér mailen. I WebOkés webmail med Rapportér spam: beskeden går til WebOkés spamteam og til din mappe Spam. Handler mailen om din bank, så videresend den også til bankens adresse for indberetninger. Du kan også anmelde phishing til politiet (politi.dk) og læse mere og få hjælp på sikkerdigital.dk.
Advar dine kolleger, hvis mailen gik til flere i din organisation.

Har du alligevel klikket eller logget ind?

Det kan ske for alle. Hurtig handling gør den største forskel.

Skift straks din adgangskode fra en enhed, du stoler på, og også alle andre steder, hvor du brugte den samme adgangskode.
Slå totrinsbekræftelse til (lektion 8.1).
Tjek din mailboks for spor. Angribere, der kommer ind i en mailboks, opretter ofte et filter, der videresender eller skjuler mail, eller de ændrer Svar til i din identitet. Se under Indstillinger > Filtre, Indstillinger > Identiteter og under Ikke tilstede, om der står noget, som du ikke selv har lavet.
Har du indtastet betalingsoplysninger? Ring straks til din bank.
Sender din mailboks pludselig spam? Kontakt din udbyder.

I praksis: sådan virker det i webmailen

I webmailen peger du på et link for at se den rigtige adresse nederst i din browser. Med Detaljer ser du afsenderens adresse, og i skrivevinduet ser du, hvor et svar går hen. Knappen Rapportér spam står over beskeden.

Vinduet Rapportér spam med spørgsmålet, om du vil rapportere denne besked som spam, og valgene nedenunder — Vinduet Rapportér spam

På billedet ser du det vindue, der vises, når du klikker på Rapportér spam. Roundcube-vejledningen beskriver det under Rapportér spam. I anden webmail, som Gmail eller Outlook.com, fungerer det på samme måde: dér hedder knappen for eksempel Rapportér phishing eller Rapportér.

Opsummering

Phishing bruger tidspres, trusler, et link til en falsk side og en afsender, der næsten passer.
Linktekst og rigtigt link er forskellige: peg med musen, eller hold fingeren på linket på din telefon.
Læs domænenavnet fra højre mod venstre; alt foran vælger ejeren af det domæne selv.
Svar til med et andet domæne og advarslen om mistænkelige adresser er faresignaler; en bestået DMARC-kontrol beviser intet om pålidelighed.
Klik ikke, gå selv til siden, og rapportér; har du alligevel klikket: skift adgangskode, og gennemgå dine filtre og identiteter.

Quiz

Opgave

Opgave A2.4: Analysér en mistænkelig mail. Materialet phishing-1.eml ligger under denne opgave. Åbn det som tekst (for eksempel i Notesblok eller TextEdit, ikke i dit mailprogram), og find headerne From og Reply-To og adressen bag knappen i indholdet (href). Udfyld: det rigtige afsenderdomæne, det domæne, knappen reelt går til, domænet i Svar til, og vælg, om du stoler på mailen. Programmet sammenligner dine svar med facitlisten og viser for hvert spørgsmål, hvor i filen du kunne have fundet svaret.

Læs videre

Hvor der står trin i webmailen, gælder de for WebOkés webmail; i anden webmail fungerer det på samme måde.

Cookies hos WebOké

Cookieindstillinger

Nødvendige

Marketing