Spear phishing er en målrettet phishingmail, der er skrevet til én bestemt person. I stedet for at sende tusindvis af ens mails researcher angriberen sit offer og bruger navne, projekter og relationer, der passer. Det gør mailen langt mere troværdig – og langt sværere at gennemskue.
Sådan fungerer det
Angriberen bruger tid på forarbejdet, før der overhovedet sendes en mail. Råmaterialet ligger frit tilgængeligt: LinkedIn viser hvem der er ny, hvem der er økonomichef og hvem der refererer til hvem. Jeres egen hjemmeside har navne og mailadresser. Pressemeddelelser og udbud afslører, hvilke projekter der er i gang.
Ud af det bygges en mail, der giver mening for netop den modtager – med den rigtige tone, det rigtige projektnavn og et helt naturligt ærinde. Forskellen fra almindelig phishing er antal og præcision:
- Almindelig phishing sendes bredt til mange, er generisk formuleret og håber på en lille procentdel.
- Spear phishing sendes til få udvalgte, er personligt formuleret og har en langt højere succesrate.
Den mest kostbare variant er direktørsvindel – også kaldet BEC eller CEO fraud – hvor angriberen skriver som direktøren til bogholderiet og beder om en hastebetaling eller en ændring af et kontonummer. Ofte fra en mailadresse, hvor ét bogstav er byttet ud.
Når der ikke er nogen teknisk sårbarhed at udnytte, er det social engineering – tilliden mellem mennesker – der er angrebsfladen.
Hvornår er det relevant for en SMV?
En udbredt misforståelse er, at målrettede angreb kun rammer store koncerner. Det modsatte er ofte tilfældet: i en virksomhed med 15 ansatte er der én bogholder, én direktør og ingen godkendelsesprocedure i flere led. Det gør det bare nemmere at ramme rigtigt.
Det er særligt relevant, hvis I har medarbejdere, der kan igangsætte betalinger eller ændre kontooplysninger, hvis ledelsen rejser eller ofte er svær at få fat på, eller hvis I arbejder med større kunder, hvor en faktura på seks cifre ikke ser usædvanlig ud.
Det, der reelt stopper angrebene, er en kombination: klare tekniske indstillinger i mailmiljøet – se vores gennemgang af phishingbeskyttelse i Microsoft 365 – og én ufravigelig forretningsregel: ændring af et kontonummer bekræftes altid ved et opkald til et kendt nummer, aldrig ved at svare på mailen.
Typiske faldgruber
At lede efter stavefejl. Rådet om at kigge efter dårligt sprog er forældet. Sproget i en målrettet mail er i dag typisk fejlfrit – også på dansk.
At stole på det viste afsendernavn. Mailklienten viser typisk kun navnet, ikke adressen. Fold den ud, og se om domænet er jeres eget – eller næsten.
At svare på mailen for at tjekke. Er kontoen kompromitteret, eller er domænet forfalsket, lander svaret hos angriberen. Bekræft altid ad en anden kanal.
Hastværk som argument. “Det skal være i dag, jeg sidder i møde” er ikke en detalje – det er selve metoden. Tidspres er designet til at slå den sunde skepsis fra.
Kun at træne én gang. Genkendelsen skal vedligeholdes. Det er hele pointen med løbende awareness-træning.
Relaterede begreber
Spear phishing hænger sammen med flere af de andre begreber i ordbogen:
Ofte stillede spørgsmål om spear phishing
Antal og præcision. Almindelig phishing sendes bredt og generisk til mange på én gang. Spear phishing er skrevet til én navngiven person med detaljer, der passer på vedkommendes job, kolleger og igangværende opgaver – og er derfor markant sværere at afvise som svindel.
Fordi oplysningerne allerede ligger offentligt. LinkedIn viser titler, ansættelsestidspunkter og hvem der arbejder sammen med hvem. Kombineret med jeres hjemmeside og et almindeligt mailformåt kan en angriber på under en time bygge en troværdig historie – uden nogensinde at røre jeres systemer.
Stop betalingen med det samme, hvis den ikke er gennemført, og kontakt banken – hurtighed afgør, om pengene kan trækkes tilbage. Spær den berørte konto, skift kodeord, og gem mailen som dokumentation. Anmeld det til politiet, og vurder om der er sket et brud på persondata, som skal indberettes.
Skal vi kigge på det sammen?
Vi gennemgår gerne jeres mailopsætning og de forretningsgange, der omgiver betalinger – og fortæller ærligt, hvad der er værd at ændre, og hvad der allerede er godt nok.
Uforpligtende · Eller ring 70 26 48 50