Phishing-mails bliver mere troværdige, sådan spotte du dem?

Phishing-mails er i dag så gennemtænkte, at de ofte ligner almindelige beskeder fra kolleger, kunder eller ledere, både navne, logoer og sproget er nemt at forveksle med det ægte. Det betyder, at selv erfarne medarbejdere nemt kan blive narret, især når der er travlt, og beslutninger skal træffes hurtigt. Vi ser, at angribere udnytter netop disse situationer, hvor tempoet er højt, og fokus ligger på at løse opgaver frem for at kontrollere detaljer. Derfor anbefaler vi, at virksomheder gør bevidsthed om phishing til en naturlig del af den daglige sikkerhedskultur, så alle medarbejdere føler sig trygge ved at stoppe op og spørge en ekstra gang.

Key takeaways om phishing

• Phishing-angreb rammer alle virksomheds-størrelser og er ofte målrettet på dansk og skræddersyet til daglige rutiner, hvilket gør dem svære at gennemskue for både ledelse og medarbejdere. Vi oplever, at kriminelle sætter sig ind i jeres processer, titler og samarbejdsmønstre, så beskeder fremstår troværdige og relevante. Derfor skal både nye og erfarne medarbejdere kende de mest almindelige scenarier og have klare handlemuligheder, når noget virker bare en smule forkert.
• De typiske faresignaler er små ændringer i mailadresser, uventede forespørgsler om penge eller data og mails med korrekt, professionelt sprog uden stavefejl. Vi anbefaler, at medarbejdere altid ser grundigt på afsenderadresse, domænenavn og links, før de klikker eller svarer. Et enkelt ekstra tjek af fx kontonumre, vedhæftede filer eller presserende tidsfrister kan ofte afsløre, at mailen kommer fra en angriber og ikke fra en kendt kontakt.
• Konsekvenser ved phishing kan blandt andet være økonomiske tab, nedbrud af it-systemer, tab af kunde- eller medarbejderdata, og alvorlig skade på virksomhedens omdømme. Vi ser også, at angreb kan udløse langvarige driftsforstyrrelser, juridiske krav og mistillid fra både kunder, partnere og medarbejdere. Derfor giver en investering i forebyggelse typisk en markant bedre forretning end at håndtere et gennemført angreb bagefter.
• Gode rutiner inkluderer to-faktor-godkendelse, klare procedurer for overførsler og informationsdeling samt at medarbejdere opfordres til at dobbelttjekke usædvanlige henvendelser – fx ved at kontakte afsenderen via telefon. Vi anbefaler, at ledelsen forankrer faste godkendelsesflows for betalinger, ændring af kontooplysninger og deling af følsomme data. Samtidig bør virksomheden gøre det legitimt, ja forventet, at medarbejdere sætter tempoet ned og altid verificerer kritiske anmodninger gennem en anden kanal.
• Løbende træning, realistiske tests og åben vidensdeling om aktuelle trusler gør medarbejdere langt bedre rustet til at spotte selv de mest troværdige phishing-mails i hverdagen. Vi hjælper ofte kunder med at opbygge et træningsprogram, hvor korte e-læringsmoduler, simulerede phishing-kampagner og fælles gennemgang af hændelser går hånd i hånd. På den måde skaber virksomheden en kultur, hvor alle bidrager aktivt til sikkerheden, og hvor medarbejdere føler sig trygge ved at rapportere mistænkelige mails med det samme.

Phishing mails bliver sværere at spotte for både ledelse og medarbejdere

De nye tricks: Hvorfor phishing mails overbeviser selv de vågne

Phishing mails er ikke længere fyldt med åbenlyse stavefejl og mærkelige afsendere. I dag oplever mange, at de modtager mails der ligner dem, de får hver dag fra kolleger, samarbejdspartnere eller kunder. Angriberne arbejder nu professionelt og efterligner både navne, e-mailadresser og virksomhedens logo. Det gør det virkelig svært, selv for trænede medarbejdere, at gennemskue truslerne.

Vi ser typisk, at en medarbejder modtager en tilsyneladende legitim mail fra økonomichefen med en besked som “Kan du nå at behandle denne betaling i dag? Det haster.” Afsenderen bruger både rigtig navn og e-mailadresse, så det er let at lade sig narre i en travl hverdag.

Vi har også oplevet phishing mails, hvor afsenderen introducerer sig som en ny kunde og beder om flere oplysninger, eller hvor en “kollega” sender et vedhæftet dokument med malware. Mange klikker på links eller åbner filer, fordi det ligner daglige arbejdsopgaver.

Hvorfor menneskelige fejl fører til hackerangreb og hvordan du forebygger dem

Der er mange grunde til, at phishing virksomheden rammer hårdt:

• Mennesker stoler på det kendte. Når en mail ser troværdig ud og kommer fra en “chef” eller “kollega”, reagerer de fleste automatisk.
• For mange opgaver og tidspres gør, at mails bliver godkendt og besvaret hurtigt, uden kritisk eftertanke.
• Angriberne ved, hvornår på dagen og i hvilke perioder virksomheden er mest sårbar, f.eks. i ferieperioder eller op mod deadlines.

Verizon-rapporten fra 2023 viser, at op mod 90 procent af alle IT-sikkerhedsbrud starter med en phishing attack. Det understreger, hvor vigtigt det er, at både ledelse og medarbejdere holder fokus på email sikkerhed.

Her er nogle af de markerede risici og vores anbefalinger til dig, der vil styrke din phishing beskyttelse:

• Begræns adgangen til følsomme systemer, så kun relevante personer kan handle på betalingsanmodninger.
• Brug altid to-faktor-godkendelse.
• Indfør procedurer for betalinger og videregivelse af oplysninger, hvor mindst to personer skal godkende.
• Lav interne kampagner med realistiske phishing tests — det kan afsløre svagheder og give et sikkert læringsrum.
• Uddan alle medarbejdere i at spotte mistænkelige mails, fx hvordan du passer på links og ikke deler personlige oplysninger ukritisk.

Vi hjælper din virksomhed med alt fra awareness-træning til tekniske løsninger. Har du oplevet, at en medarbejder uforvarende er hoppet i fælden, kan du læse mere om konsekvenserne af et hackerangreb.

Du kan også blive klogere på de vigtigste IT-sikkerhedstiltag i vores webinar med 6 råd til at gøre din virksomhed sværere at hacke. Her deler vi konkrete tips og erfaringer, der bygger på situationer fra hverdagen.

Konkrete tegn på avancerede phishing mails du skal kende

Phishing-angreb er blevet langt mere snedige. Vi kan ikke længere regne med at afsløre dem på dårligt sprog og åbenlyse fejl. I dag er de svære at skelne fra ægte mails, fordi de efterligner både layout og indhold fra kendte samarbejdspartnere, selv webadresser og logoer kan være overbevisende.

Her er flere konkrete tegn på avancerede phishing-mails, som du og dine kolleger skal være opmærksomme på

I vores dialog med både nye og erfarne brugere rådgiver vi ofte om at holde øje med følgende punkter:

• En ganske lille forskel i afsenderens e-mailadresse, som for eksempel et ekstra bogstav, anderledes domæne eller en stavefejl i navnet. Det kan være svært at se med det blotte øje, især på mobilen.
• Velformulerede mails med korrekt tone og uden stavefejl. Tidligere var stavefejl et sikkert tegn, men nu får phishere hjælp fra AI til at skrive fejlfrit dansk.
• Kopiering af tidligere korrespondance. Phishing-mails kan nu indeholde citater fra tidligere mails eller relevante informationer, som gør dem yderst troværdige.
• Autentisk branding. Logoer, farver og formatering ligner fuldstændigt det, din leverandør, bank eller interne afdeling ville bruge.
• Links, der ved første øjekast ser korrekte ud, men ved nærmere tjek fører til domæner der minder om det rigtige – eksempelvis “n0va-c.dk” i stedet for “nova-c.dk”.
• Uventede forespørgsler om at bekræfte login, downloade en fil eller oplyse personlige oplysninger. Særligt hvis det haster, bør du stoppe op.
• Vedhæftede filer, som fx en ordrebekræftelse, selv om du ikke har bestilt noget. Det kan ligne en rutinemæssig mail fra “din normale leverandør”.
• Mailen opfordrer til, at du følger et link, og siden ligner leverandørens webshop eller loginportal — men adresselinjen i browseren afslører små forskelle.
• Subtile ændringer i sprogtonen, for eksempel mindre formelle eller usædvanlige vendinger, som ikke matcher afsenderens normale kommunikationsstil.

Sådan et eksempel oplevede vi for nylig med en kunde, der modtog en “ordrebekræftelse” fra sin faste leverandør. Alt så ægte ud, men linket gik til en kopi af webshoppen, som var designet til at stjæle loginoplysninger.

Særlige udfordringer for virksomheder i Danmark

Phishing rammer ikke kun store koncerner, men også små og mellemstore virksomheder herhjemme. Angrebene bliver desværre stadig mere målrettede på dansk og tilpasset vores arbejdsrutiner. Cyberkriminelle forsøger at udnytte de situationer, hvor vi har travlt, og hvor økonomiske beslutninger skal tages hurtigt. I økonomiafdelinger ser vi ofte phishingforsøg omkring deadlines for regninger, lønudbetaling og momsafregning. Det kan være svært for medarbejderne at gennemskue, om en e-mail med anmodning om betaling virkelig kommer fra vores chef eller fra en udenlandsk hacker.

Konkret påvirkning på danske virksomheder

Der er flere udfordringer og risici, som vi som dansk virksomhed bør tage alvorligt. Her er nogle af de mest typiske konsekvenser, vi oplever, når phishingangreb bliver en realitet:

• Økonomiske tab: En overført betaling til en falsk konto kan betyde, at penge er tabt for altid.
• Tab af forretningskritiske data: Angribere kan få adgang til følsomme oplysninger eller stjæle kunde- og medarbejderdata.
• Skade på virksomhedens omdømme: Hvis det bliver kendt, at vi er blevet snydt, risikerer vi, at samarbejdspartnere og kunder mister tillid.
• Forstyrrelse af drift: Noget så simpelt som et låst regneark, fordi nogen er kommet til at klikke på et link, kan koste både tid og penge.

Dansk Industri peger på, at phishingangreb i stigende grad bliver designet til at ligne interne beskeder og ofte indeholder referencer til aktuelle begivenheder som NetCompany-hacket eller ændrede momsfrister. Det gør dem svært genkendelige, især i pressede perioder, hvor mange mails skal ekspederes hurtigt.

Vi anbefaler derfor, at vi løbende træner medarbejderne i at spotte mistænkelige mails og skaber tydelige procedurer, så ingen føler sig pressede til at handle overilet. Har du brug for at styrke jeres modstandsdygtighed, kan du med fordel læse mere om it-sikkerhed, hvor vi har samlet de vigtigste råd og løsninger. For konkrete, håndfaste anbefalinger inviterer vi til at tjekke vores webinar med 6 råd, der gør din virksomhed sværere at hacke. Arbejdsgangen og den daglige træning gør en reel forskel, så risikoen for tab, forstyrrelser og dårligt omdømme minimeres.

Konsekvenserne ved ikke at tage email sikkerhed alvorligt

Når vi undervurderer truslen fra phishing-mails, risikerer vi mere end bare et hul i budgettet. Phishing kan åbne døren for cyberkriminelle, som ikke nøjes med at fiske efter penge, men også stjæler forretningshemmeligheder eller persondata. Den skjulte pris rammer ofte hårdt og hurtigt.

Eksempler på daglige konsekvenser

Her er nogle af de mest typiske følger, vi har oplevet, når email sikkerhed ikke prioriteres højt nok i hverdagen:

• En medarbejder har modtaget en tilsyneladende uskyldig mail fra en “kunde” med et vedhæftet dokument. Ved første øjekast lignede alt godkendt, men ét klik og malware slap fri på hele netværket. Pludselig blev produktionen lammet, og supportafdelingen løb stærkt for at begrænse skaden.
• Økonomisk tab opstår typisk, fordi bedraget ofte handler om penge. Det kan være faktura-svindel eller direkte overførsel af midler til forkerte konti, og det rammer likviditeten hårdt, især for mindre virksomheder.
• Når kriminelle får adgang til persondata via phishing, risikerer vi GDPR-bøder. Data lækkes, og det bliver ikke kun et spørgsmål om lov og regler, men også om vores omdømme. Pludselig skal vi forklare både kunder og Datatilsynet, hvordan det kunne ske.
• Tab af tillid blandt kunder mærkes lynhurtigt. Hvis nogen læser om et hackerangreb hos os, og vi ikke kan love dem sikkerhed, søger de hurtigt mod konkurrenten. En god it-sikkerhedspolitik får kunderne til at blive, fordi de ved vi passer på deres oplysninger, læs mere om vigtigheden af it-sikkerhed i vores artikel.
• Forretningshemmeligheder er ofte langt mere værd end penge på bundlinjen. Er de først lækket, mister vi ikke bare vores konkurrencefordel — vi kan i værste fald risikere at hele forretningsgrundlaget smuldrer.

Bliver phishing lært at kende blandt medarbejderne, mindskes risikoen betragteligt. Det kræver ikke, at alle bliver eksperter, men vi bør give dem de rette værktøjer til at spotte fup. Et oplagt sted at starte er dette webinar om gode IT-sikkerhedsråd. Her får medarbejderne konkrete råd og eksempler, som gør dem bedre til at genkende selv de mest troværdige phishing-mails.

Sådan hjælper du medarbejdere med at spotte phishing mails

At opdage en phishing-mail kan være lige så svært som at finde fejlen i en rigtig god kopi. Vi oplever, at svindlerne bliver bedre – det gør deres mails også. For at beskytte virksomheden er det helt afgørende, at alle medarbejdere lærer at gennemskue de små tegn, som afslører en falsk mail.

Praktiske råd du kan tage i brug i dag

Vi ser ofte, at folk overser basale advarsler, fordi tingene går stærkt i hverdagen. Derfor opfordrer vi til følgende simple, men effektive rutiner:

• Tjek altid afsenderadressen grundigt. En mail kan se rigtig ud, men kig efter små forskelle eller stavefejl i adressen. Ofte prøver svindlere at efterligne kendte domæner.
• Hold musen over links før du klikker. Så kan du se, hvor linket faktisk fører dig hen. Ser adressen mærkelig ud eller matcher den ikke afsenderen, så undlad at klikke.
• Vær ekstra opmærksom, hvis du bliver bedt om at oplyse personlige eller fortrolige informationer. Især hvis det sker uventet eller i forbindelse med pengeoverførsler.
• Er indholdet pludselig på engelsk, selvom din chef normalt skriver på dansk? Små sproglige skævheder og uventede vendinger bør tænde advarselslamperne.
• Spørg dig selv: Ville min chef faktisk formulere sig sådan her? Svindlere forsøger ofte at skabe et unødvendigt pres, fx ved at kræve omgående handling eller fortrolighed. Stop op og overvej situationen, inden du svarer eller foretager dig noget.
• Tjek om henvendelsen bryder med de normale arbejdsgange. Får du en mail fra “økonomi-chefen” om at overføre penge, så dobbelttjek med personen – gerne via et andet kommunikationsmiddel end mail.

Du kan finde flere tips og konkrete råd om it-sikkerhed i vores inspiration.

Skab en åben og lærende arbejdskultur

Det er vigtigt at fjerne skammen, hvis en medarbejder falder for en phishing-mail. Vi anbefaler, at man gør det til en rutine at rapportere mistænkelige mails. Alle fejler, men det værste er, hvis folk går med deres fejl i stilhed.

• Opmuntre til hurtigt at give besked til IT-afdelingen, hvis noget lugter af phishing, hellere en gang for meget end én for lidt.
• Gør det klart, at det ikke kun handler om at undgå fejl, men om at lære sammen og styrke sikkerheden for hele virksomheden.
• Sæt tid af til løbende træning og små øvelser. For eksempel kan man sende testmails, der ligner phishing, for at træne vanen med at være undersøgende.
• Del erfaringer åbent. Har en kollega oplevet et snedigt forsøg, kan vi alle lære af det. Skab en atmosfære, hvor det er ok at sige, “den her var virkelig svær at gennemskue”.
• Opfordr til at stille spørgsmål, hver gang noget føles forkert: Hvorfor pludselig travlt? Hvorfor bryde rutinerne i dag?

Med nogle enkle værktøjer og et åbent samarbejde bliver det betydeligt nemmere for alle at spotte phishing-mails – uanset om du arbejder på kontoret, hjemme fra stuen eller mens du venter på bussen.

Gode rutiner og værktøjer der styrker email sikkerhed i virksomheden

Praktiske løsninger for at fange phishing før det rammer medarbejderne

Vi ser dagligt, hvordan phishing-mails bliver mere sofistikerede og svære at gennemskue. Noget af det mest effektive, vi kan gøre for at beskytte os, er at implementere to-faktor-godkendelse på alle vigtige systemer. Hvis nogen forsøger at logge ind på en medarbejders mail eller Office 365-konto, kræver to-faktor-godkendelse en ekstra engangskode ud over det almindelige password. Hackere kommer sjældent længere, selv hvis de har knækket et password.

Stærke mailfiltre kan hjælpe os med at sortere mange phishing-mails fra, inden de havner i indbakken. Disse filtre leder efter mistænkelige links, falske afsendere eller typiske vendinger i teksten, og derfor slipper mange farlige mails aldrig frem til medarbejderen.

Du kan læse mere om grundlæggende email sikkerhed og andre tekniske værktøjer på vores side om it-sikkerhed.

Rutiner og træning, der gør medarbejderne vågne og klar

Selvom de tekniske hjælpemidler er gode, så er det vores vaner og medarbejdernes viden, der i sidste ende afgør, hvor sikkert vi er stillet. Vi arbejder målrettet med:

• Phishing-træning: Medarbejdere bliver udsat for falske mails fra interne test. Når de klikker eller rapporterer korrekt, får de med det samme feedback. På den måde bliver alle bedre til at spotte den næste snyd-mail.
• Opdatering af sikkerhedspolitikken: Vores politik for emailadfærd bliver løbende justeret, når nye trusler opstår. Vi sørger for, at alle ved, hvordan man anmelder mistænkelige mails, og hvilke informationer aldrig må deles over mail.
• Løbende oplysning om tendenser: Vi holder fast i korte informationsmails eller møder, hvor vi viser eksempler på aktuelle phishing-forsøg, fx mails der udgiver sig for at komme fra posten eller Skat. Viden om hvad der rør sig, gør folk bedre rustet i hverdagen.

Er du blevet ramt? Få et eksempel på hvordan en virksomhed kan håndtere angreb ved at læse mere om hackerangreb og respons.

Kilder:
Verizon – 2023 Data Breach Investigations Report