25 % av nätfiskemejlen slinker igenom e-postfilter, rapporterar det amerikanska företaget Avanan. Att utbilda medarbetare i att identifiera nätfiskeattacker är därför en nödvändighet för alla företag, stora som små.
Att skicka falska mejl är fortfarande det enklaste sättet att ta sig in på ett företag idag. Och angriparna blir allt smartare. Trots att exempelvis Office 365 har e-postfilter slinker vart fjärde nätfiskemejl igenom. Detta ställer hårda krav på företag att utbilda sina medarbetare i att ifrågasätta inkommande mejl och kunna identifiera nätfiskemejl. Vi har därför sammanställt en lista på vad som är viktigt att tänka på när du vill förbereda dina medarbetare på en nätfiskeattack genom utbildning.
Förklara hur e-postsystemet är uppbyggt
Tidigare har det varit enkelt att identifiera nätfiskemejl till följd av bristfälligt språk och felaktiga logotyper. Idag är det annorlunda. Det är enklare för en angripare att klona ett äkta mejl från ett företag än att skapa ett falskt från grunden. Därför är det oerhört viktigt att se till att dina medarbetare vet hur e-postsystemet fungerar.
Förklara vad en domän och en subdomän är samt vilka delar i en e-postadress som kan fejkas. Exempelvis bör du påvisa hur enkelt det är att fejka ett avsändarnamn, och skapa förståelse kring att en e-postadress består av två delar: ett användarnamn som står före @-tecknet och ett domännamn som står efter @-tecknet. Här är det viktigt att tydliggöra att en angripare kan registrera domännamn som påminner om de riktiga, exempelvis bredband2.net istället för bredband2.com.
Förklara även att en länk består av två delar: länktext och länkmålsida. Länktexten är det som visas och länkmålsidan är webbsidan som länken leder till. Även om länktexten visar https://www.bredband2.com/ kan länken gå till login-pbkdf2.info. Därför bör dina medarbetare veta hur de kan granska en adress för att se dess målsida: att via desktop hålla musmarkören över länken och via mobilen hålla fingret på länken utan att släppa.
Beskriv angripares tillvägagångssätt
Förklara för dina medarbetare hur angripare går tillväga för att locka in dem till falska webbsidor. Att det är vanligt att använda sig av bilagor innehållande PDF-, Word- eller Excelfiler med syfte att få mottagaren att köra ett makro och bli infekterad via det.
Det finns en fördel i att öppna bilagan via mobiltelefonen istället för datorn. Det är nämligen betydligt svårare att infektera en mobiltelefon eftersom mobila operativsystem (såsom Android och IOS) är säkrare konstruerade än datoroperativsystemen (Windows och Mac OS). De är bland annat mer segmenterat uppbyggda och har färre funktioner att hålla säkra än vad operativsystemet i datorn har.
Gör utbildningen till en rolig lek
Trots att nätfiske är ett allvarligt hot mot ditt företag bör utbildningen ske på ett roligt och pedagogiskt sätt. Låt dina medarbetare öva på att identifiera vilka mejl som innehåller nätfiske. Det finns företag som kan hjälpa dig att skicka ut testmejl för att se hur bra olika avdelningar eller individer är på att detektera nätfiskemejl. Men kom ihåg! Det är viktigt att detta görs på ett positivt sätt.
Gör en tävling av utbildningen med en attraktiv belöning som vinst. Den som lyckas identifiera flest fejkade mejl vinner. Du kan även skapa en simpel övningsguide som innehåller exempel på nätfiskemejl så att medarbetarna får träna på om de kan detektera nätfiskeattackerna eller inte. Detta bör göras över en längre tid och inte bara som en engångsföreteelse.
Informera medarbetarna om att de kan bli en del av en flerstegsattack
Attacker kan ske i flera steg. Därför bör samtliga medarbetare vara införstådda med att de kan vara ingången till en större attack med VD, ekonomichef och IT-chef som måltavlor. Om en angripare kan få åtkomst till en medarbetares inloggningsuppgifter kan hen använda medarbetarens trovärdighet och skicka ett nätfiskemejl för att exempelvis attackera VD:n. Om en VD skulle få ett mejl från en välbekant person kommer hen troligtvis öppna det och ladda ned den medföljande bilagan utan att tänka sig för.
Du som IT-ansvarig har ett ansvar. Se till att utbilda medarbetarna kontinuerligt så att de vet hur e-postsystemet fungerar tekniskt och att de är medvetna om att de kan vara en del av en flerstegsattack.
Ladda ner guiden "Så undviker ditt företag att falla offer för nätfiskeattacker" och få reda på:
- Smarta sätt att skydda företaget mot slarv i e-posthanteringen
- Hur du får medarbetare att själva agera
- Knepet för att avslöja falska identiteter
- Vilka säkra kommunikationsvägar ni bör använda
- Hur du blockerar osäkra webbplatser
