Nätfiske och bluffmejl: känn igen dem och stoppa dem

Polisen beskriver nätfiske, som också kallas phishing, som när bedragare på olika sätt “fiskar” efter dina uppgifter. Det sker oftast med mejl eller sms som lockar dig att klicka på en länk och lämna bankuppgifter, koder eller lösenord på en falsk sida. Ett bluffmejl är den vanligaste formen; ett bluff-sms kallas ibland smishing och ett bluffsamtal vishing.

Mot företag har nätfisket två mål. Det ena är inloggningen: ett Microsoft 365- eller Google-konto ger tillgång till e-post, filer och kontakter, och används sedan för nästa angrepp inifrån. Det andra är pengarna: bluffmejl som ber ekonomi betala eller ändra bankuppgifter. Den formen behöver ingen länk alls, se fakturabedrägeri.

• Du ombeds klicka på en länk och lämna bankuppgifter, koder eller lösenord. Banker och seriösa företag skickar inte sådana meddelanden, enligt Polisen.
• Någon vill att du ska identifiera dig eller signera med BankID, ladda ner ett program eller skanna en QR-kod.
• Brådska eller hot: kontot stängs, paketet skickas tillbaka, en avgift förfaller i dag.
• Webbadressen eller avsändardomänen avviker med ett tecken, eller visningsnamnet stämmer men adressen bakom gör det inte.
• Ett oväntat meddelande från ett välkänt företag, en myndighet eller någon du känner, särskilt om det handlar om pengar.
• En begäran om att ändra bankuppgifter eller göra en snabb betalning, även i en tråd som ser äkta ut.

En äkta avsändaradress bevisar ingenting. Kontrollera i stället kontaktuppgifterna på myndighetens eller företagets egen webbplats och gå dit själv, inte via länken. Moderna bluffmejl är dessutom ofta felfria och skrivna med AI, så stavfel är inte längre ett pålitligt tecken.

• Bluff-sms: vidarebefordra till 7726 (SPAM på knappsatsen), enligt Polisen och Skatteverket.
• Bluffmejl som ser ut att komma från Skatteverket: radera det. Skatteverket skriver att du inte behöver kontakta myndigheten om ett falskt mejl.
• Har du lämnat ut uppgifter eller förlorat pengar: polisanmäl och kontakta banken.
• Bluffmejl till jobbet: använd rapportknappen i Outlook eller Gmail om organisationen har en, eller vidarebefordra till IT enligt er rutin.

Inget enskilt skydd stoppar nätfiske. De här lagren fungerar tillsammans, och de flesta kostar inget utöver det ni redan licensierar.

• Slå på de inbyggda skydden ni redan betalar för: Microsofts förinställda Strict-policy och funktionerna i Defender for Office 365, eller Gmails avancerade inställningar mot nätfiske och skadlig kod.
• Publicera och tillämpa DMARC på era egna domäner, så att ingen kan skicka exakta förfalskningar av er adress.
• Använd nätfiskeresistent MFA (säkerhetsnycklar eller passkeys) för administratörer, ekonomi och ledning.
• Lägg till ett beteendebaserat lager för riktade mejl och mejl utan länk eller bilaga, som filtren inte är byggda för.
• Styr OAuth-appar: se över vilka tredjepartsappar som har åtkomst till e-post och filer, och blockera samtyckesnätfiske.
• Ge medarbetarna ett enkelt sätt att rapportera misstänkta mejl, och agera snabbt på rapporterna.
• Håll betalningskontrollen utanför e-posten: ring alltid upp på ett känt nummer vid ändrade bankuppgifter.

Filter stoppar det mesta genom att känna igen det som setts förut: kända avsändare, länkar, filer och mönster. Mejlen som orsakar incidenter är de som inte setts förut.

• Riktade: skrivna för en mottagare, med hänvisning till ett riktigt projekt, en leverantör eller en kollega.
• Ny infrastruktur: skickade från en domän som registrerades för några dagar sedan, med rent rykte och giltig autentisering.
• AI-skrivna: flytande, på korrekt svenska och olika varje gång, så det finns ingen mall att matcha.
• Utan innehåll att skanna: en begäran, inte en länk eller fil.
• Dolda mål: en QR-kod i en bild eller pdf som skannas med mobilen, utanför företagets nätverk.

Microsoft Defender och Googles inbyggda skydd är en bra grund mot massutskick, och Sentaro är byggt för att köras tillsammans med dem, inte ersätta dem. Eftersom Sentaro ansluts via API inne i miljön ser den också intern och historisk e-post, och det är där ett angrepp sprids när ett konto väl är kapat.

Vord, Sentaros egenutvecklade motor, delar upp varje mejl i allt från tiotals till långt över hundra signaler, kör dem genom expertalgoritmer och vid behov större resonerande modeller, och lämnar en bedömning med resonemanget bifogat. Den väger samman fyra grupper av signaler:

• Avsikt och språk: omdirigerade betalningar, uppmaningar att logga in, krav på sekretess och konstgjorda tidsfrister, inte nyckelordslistor.
• Avsändare och infrastruktur: visningsnamn som inte stämmer, nyregistrerade och liknande domäner, och hur SPF, DKIM och DMARC är uppsatta.
• Relation och tråd: återanvända svarstrådar, injicerade svar och leverantörer som plötsligt byter bankuppgifter.
• Länkar, bilagor och QR-koder: analys av vart de leder i stället för enbart ryktesuppslag. QR-koder avkodas och deras mål bedöms som vilken länk som helst.

Bedömningar sker automatiskt och åtgärden är ett klick. Larm går när ett beslut behövs, inte för varje blockerat mejl. Skadliga mejl tas bort eller sätts i karantän automatiskt, och liknande mejl i alla brevlådor kan åtgärdas i ett steg. Varje bedömning visar sitt resonemang i konsolen, så administratörer kan granska besluten i stället för att lita på en poäng.

Sentaro är ett detekteringslager. Det ersätter inte ert filter mot skräppost och skadlig kod, DMARC på era egna domäner, nätfiskeresistent MFA eller rutiner för att kontrollera betalningar. Det är ingen produkt för säkerhetsutbildning eller nätfiskesimulering, och det kan inte granska ett telefonsamtal, så bluffsamtal och deepfake-samtal ligger utanför. Bluff-sms till privata mobiler ligger också utanför. Sentaros villkor säger att Sentaro inte garanterar att alla hot upptäcks eller förhindras.