Phishing beskyttelse: Sådan sikrer I hele virksomheden

Phishing beskyttelse er den kombination af tekniske filtre, træning af medarbejdere og et testet beredskab, der forhindrer svindelmails, falske SMS’er og QR-koder i at koste jer penge og data. De fleste SMV’er stoler alene på spamfilteret – og opdager først hullet, når en medarbejder har klikket. Angrebene kommer i dag via mail, SMS, QR-koder og telefonopkald, ofte skrevet med AI på fejlfrit dansk. I dette indlæg får I en samlet model, I kan udrulle på 4-8 uger – og en minut-for-minut-plan for de første 30 minutter efter et klik.

Det vigtigste at vide:

• Phishing rammer via fire kanaler – mail, SMS (smishing), QR (quishing) og opkald (vishing). Træn medarbejderne i alle fire, ikke kun mail.
• Et klik giver typisk angriberen adgang på under 10 minutter. Log og øv jeres respons, så I kan spærre kontoen inden for de første 30.
• Teknik alene stopper ikke spear phishing. Kombinér MFA, filtre og løbende awareness-træning – og mål effekten kvartalsvis.
• NIS2 kræver dokumenteret træning og hændelseshåndtering. Dokumentér hvem der er trænet hvornår, og hvem der ejer beredskabsplanen.

Hvad er phishing anno 2025 – mail, smishing, quishing og vishing

Hvad er phishing? Kort sagt: svindel, hvor nogen udgiver sig for at være en, I stoler på, for at stjæle login eller penge. I 2025 kommer det ad fire kanaler, ikke kun mail.

• Mail: falsk faktura eller ‘dit password udløber’ med link til falsk loginside.
• Smishing: SMS om at jeres MitID ‘skal fornys’ – med link til en kopiside.
• Quishing: QR-kode på en faktura eller plakat, der fører til falsk login.
• Vishing: opkald hvor ‘direktøren’ beder om en hasteoverførsel – nu ofte med AI-klonet stemme.

ENISA (2024) fremhæver netop smishing, quishing og AI-genereret phishing som voksende metoder. Og Codan Cybercrime Survey (2024) viser, at 64 % af ramte danske virksomheder peger på phishing som hændelsen.

Hvad sker der faktisk, når en medarbejder klikker?

Et phishing angreb virksomhed rammer, går fra klik til kompromitteret konto på minutter. Minut 0: medarbejderen klikker og lander på en falsk Microsoft-loginside, der ligner den ægte. Minut 1: brugernavn, password og MFA-kode tastes ind – angriberen stjæler hele sessionen, så selv MFA omgås ved såkaldt AiTM-phishing.

Minut 5: angriberen logger ind og opretter mailregler, der skjuler svar og sletter advarsler. Minut 30: der sendes nye phishing-mails til kollegaer og leverandører fra den ægte konto – med langt højere troværdighed. Herfra er vejen kort til fakturasvindel, som vi gennemgår i guiden om fakturasvindel og BEC i M365. TDC Erhverv (2025) blokerede over 27,1 mio. svindelforsøg mod danske virksomheder i 2024.

Sådan bygger I phishing beskyttelse i tre lag: teknik, træning og beredskab

Effektiv phishing beskyttelse kræver tre lag – teknik alene stopper ikke opkald og QR-koder. Udrul lagene i rækkefølge over 4-8 uger:

1. Teknik (uge 1-2): håndhæv phishing-resistent MFA, aktivér mailfiltre og opsæt DMARC. Start med Entra ID-indstillinger mod AiTM-phishing.
2. Træning (uge 3-6): kør phishing awareness træning med simulationer hvert kvartal. Mål klikrate pr. afdeling, og segmentér opfølgningen.
3. Beredskab (uge 6-8): dokumentér hvem der gør hvad ved klik – nulstil password, dræb sessioner, tjek mailregler, informér berørte.

Før: én årlig e-learning, ingen plan → Efter: kvartalsvise simulationer, MFA håndhævet og en beredskabsplan alle kender. Test planen med en øvelse, før I får brug for den.

Tjekliste: De første 30 minutter efter et phishing-klik

Reagér hurtigt – de første 30 minutter afgør, om et klik bliver en notits eller et databrud. Følg tjeklisten i rækkefølge, og lad IT eller jeres leverandør udføre den.

1. Spær kontoen og afbryd aktive sessioner.
2. Nulstil adgangskoden – aldrig kun det gamle kodeord med et tal bagpå.
3. Fjern mailregler: angribere opretter ofte regler, der videresender eller sletter post.
4. Tjek logs for logins fra ukendte lande og enheder.
5. Informér kollegaer, så ingen svarer på falske mails fra den ramte konto.
6. Log hændelsen med tidspunkter og handlinger til jeres NIS2-dokumentation.

Bruger I Microsoft, hjælper Entra ID med MFA mod AiTM-phishing med at stoppe angrebet, før tjeklisten bliver nødvendig. En testet beredskabsplan phishing gør, at ingen skal improvisere under pres.

Hvem har ansvaret? Ledelse, NIS2 og hvad beskyttelsen koster

Ansvaret for phishing beskyttelse ligger hos ledelsen – IT udfører, men ledelsen prioriterer og godkender. NIS2 kræver, at omfattede virksomheder kan dokumentere awareness-træning og hændelseshåndtering, og ledelsen hæfter personligt for manglende styring.

Truslen er reel: 64 % af danske virksomheder med en cyberhændelse angiver phishing som hændelsestypen (Codan Cybercrime Survey, 2024), og TDC Erhverv blokerede over 27,1 mio. svindelforsøg mod danske virksomheder i 2024 (TDC Erhverv, 2025).

Omkostningen er overskuelig for en SMV: MFA er ofte inkluderet i jeres licenser, træningsplatforme koster typisk et lavt trecifret beløb pr. medarbejder årligt, og en beredskabsplan kan udarbejdes på 4-8 uger. Start med fem M365-indstillinger, der virker – de fleste er gratis at slå til.

Fejl der koster dyrt: Fem faldgruber i jeres phishing-forsvar

De fleste huller i phishing beskyttelse skyldes vaner, ikke manglende teknologi. Her er fem faldgruber, vi ser igen og igen:

• Kun årlig træning. Før: ét årligt kursus med gamle phishing mail eksempler → Efter: korte månedlige simulationer, der også dækker spear phishing mod økonomi og ledelse. Se hvordan I træner medarbejdere mod AI-genererede angreb.
• Ingen MFA på mail – én lækket kode giver fuld adgang.
• Utestet beredskabsplan. Test den med en øvelse, ikke under et rigtigt angreb.
• Skam-kultur. Belønner I hurtig rapportering, opdager I klik i tide.
• Glemte kanaler: ENISA fremhæver smishing og quishing som voksende metoder (ENISA, 2024) – træn også SMS og QR.

Ofte stillede spørgsmål

Hvad sker der, hvis man klikker på et phishing-link?

Klikket kan sende jer til en falsk loginside, der stjæler brugernavn og adgangskode, eller starte download af malware. Selve klikket er sjældent katastrofen – det er indtastning af oplysninger eller kørsel af filer, der gør skaden. Afbryd netværksforbindelsen, skift adgangskoden fra en anden enhed, og giv IT besked med det samme, så de kan logge og undersøge hændelsen.

Hvad sker der, hvis man åbner en falsk mail?

At åbne mailen er normalt harmløst, hvis I blokerer eksterne billeder og scripts i mailklienten. Risikoen opstår først ved klik på links, åbning af vedhæftninger eller svar med oplysninger. Slet ikke mailen – rapportér den til IT eller jeres MSP, så den kan blokeres for resten af virksomheden.

Hvordan undgår man at få phishing- og spam-mails hver dag?

Kombinér tre lag: et mailfilter med phishing-beskyttelse, korrekt opsat SPF, DKIM og DMARC på jeres domæne, og løbende blokering af rapporterede afsendere. Opsætning af DMARC tager typisk 2-4 uger, fordi I skal overvåge rapporter, før I håndhæver politikken. Uden de tre records kan andre nemt sende mails i jeres navn.

Hvordan stopper man spam-opkald og vishing mod virksomheden?

Fastlæg en klar procedure: ingen udlevering af koder, betalingsoplysninger eller godkendelser over telefonen, uanset hvem der ringer. Verificér altid ved at ringe tilbage på et kendt nummer. Aftal internt, at hasteopkald fra ‘direktøren’ eller ‘banken’ altid skal bekræftes ad en anden kanal. Log forsøg, så I kan advare kollegerne.

Hvordan genkender man en phishing-mail i 2025?

Kig efter pres og afvigelser frem for stavefejl – AI-genererede phishing-mails er ofte fejlfri. Tjek afsenderens faktiske domæne, ikke visningsnavnet. Vær skeptisk over for hastende betalingsanmodninger, ændrede kontonumre og uventede login-links. Hold musen over links før klik, og verificér usædvanlige anmodninger telefonisk hos afsenderen.

Hvad skal en medarbejder gøre, hvis de har klikket på et phishing-link?

Rapportér det straks til IT eller jeres MSP – tid er afgørende. Skift adgangskoden fra en anden enhed, hvis der blev indtastet login. IT bør afbryde maskinen fra netværket, scanne den og gennemgå login-logs. En klar ‘ingen skæld ud’-politik gør, at folk melder inden for minutter i stedet for dage.

Hvad koster phishing-beskyttelse for en virksomhed med 10-200 medarbejdere?

Prisen afhænger af antal brugere og om I vælger managed services eller kun værktøjer. Typisk betaler I en fast pris pr. bruger pr. måned for mailfilter, awareness-træning og overvågning. Bed om et tilbud baseret på jeres brugerantal – de fleste udbydere kan give en konkret pris efter én kort afklaringssamtale.

Hvor lang tid tager det at komme i gang – og kan vi skifte fra vores nuværende leverandør?

En grundlæggende opsætning med mailfilter, MFA og rapporteringsknap kan typisk udrulles på 1-2 uger. Et fuldt program med DMARC-håndhævelse og awareness-træning tager oftere 4-8 uger. Leverandørskifte kræver ikke nedetid på mailen, hvis migreringen planlægges – bed den nye leverandør om en migreringsplan, før I opsiger den gamle.

Sådan kommer I videre

1. Auditér jeres domæne: tjek at SPF, DKIM og DMARC er sat korrekt op.
2. Slå MFA til for alle brugere – start med mail og økonomisystemer.
3. Udrul en rapporteringsknap i mailklienten og aftal en klar ‘ingen skæld ud’-politik.
4. Test medarbejderne med simulerede phishing-mails, og træn dem, der klikker.
5. Dokumentér en beredskabsplan: hvem gør hvad inden for den første time efter et klik.