Phishing, spear phishing og whaling

E-mail er fortsat den mest almindelige første adgangsvej ved cyberangreb. Phishing udnytter menneskelig psykologi – ved at skabe en følelse af hast, autoritet eller frygt – til at narre modtagere til at klikke på ondsindede links, åbne inficerede vedhæftede filer eller udlevere loginoplysninger. I modsætning til tekniske sårbarheder, der kan rettes, kan menneskers modtagelighed over for socialt pres ikke fjernes med en softwareopdatering. Security+-kandidater skal forstå hele spektret af phishingangreb, fra masseudsendelser rettet mod millioner af tilfældige modtagere til meget målrettede meddelelser, der er udformet til en bestemt person.

Massephishing (eller phishing i bulk) sender den samme ondsindede e-mail til tusindvis eller millioner af adresser på samme tid og er afhængig af det store antal mål for at opnå en lille procentdel succesfulde angreb. Almindelige lokkemidler omfatter falske bankadvarsler, meddelelser om pakkelevering, advarsler om udløb af adgangskoder og tilbud om skatterefusion. E-mailsene er generiske – angriberen kender ikke modtagerne personligt. På trods af den lave tekniske kompleksitet skaber massephishingkampagner enormt mange ofre globalt og står for størstedelen af hændelser med tyveri af loginoplysninger.

Spear phishing er en målrettet form for phishing, hvor angriberen tilpasser meddelelsen til en bestemt person eller en lille gruppe. Angribere undersøger deres mål på LinkedIn, sociale medier, virksomheders websteder og databaser med oplysninger fra databrud for at udforme overbevisende meddelelser, der henviser til rigtige navne, stillingsbetegnelser, projekter eller kolleger. En spear phishing-e-mail kan se ud til at komme fra målets leder, som anmoder om hurtig godkendelse af en bankoverførsel, eller fra HR med en vedhæftet fil om en »opdatering af personalegoder«. Personaliseringen øger succesraten markant sammenlignet med generisk phishing.

Whaling er spear phishing, der specifikt retter sig mod personer med høj værdi – administrerende direktører, økonomidirektører, bestyrelsesmedlemmer og andre ledere på C-niveau. Disse mål har bemyndigelse til at godkende store finansielle transaktioner, få adgang til følsomme data og tilsidesætte sikkerhedspolitikker. Et vellykket whalingangreb kan narre en økonomidirektør til at godkende en bankoverførsel på flere millioner dollar til en konto, som angriberen kontrollerer. Denne fremgangsmåde kaldes Business Email Compromise (BEC). FBI vurderede, at tab som følge af BEC oversteg 3 milliarder dollar årligt. Ledere er også mål på grund af deres adgang til intellektuel ejendom, oplysninger om fusioner og opkøb samt strategiske planer.

Angler phishing retter sig mod brugere på sociale medieplatforme. Angribere opretter falske kundeservicekonti for store varemærker og svarer brugere, der offentliggør klager, for at lokke dem til falske login-sider. Klonings-phishing kopierer en legitim e-mail (f.eks. en nylig faktura eller et nyhedsbrev), erstatter links eller vedhæftede filer med ondsindede versioner og sender den derefter igen fra en forfalsket adresse med påstand om, at det er en rettet version. Klonings-phishing er særligt effektivt, fordi modtageren genkender e-mailens format og afsender, hvilket mindsker mistanken betydeligt.

Pharming omdirigerer ofre til ondsindede websteder uden at kræve, at de klikker på et phishinglink. Det opnås typisk gennem forgiftning af DNS-cachen (indsættelse af falske DNS-poster i en resolver, så det legitime domæne peger på angriberens server) eller ved at ændre ofrets lokale hosts-fil. I modsætning til phishing, hvor offeret skal foretage en handling, virker pharming, selv hvis brugeren skriver den korrekte URL direkte i sin browser. DNSSEC og validering af HTTPS-certifikater er de vigtigste tekniske forsvar.

En af de vigtigste phishingfærdigheder er at analysere URL'er for at identificere forfalskningsteknikker. Angribere bruger flere metoder: typosquatting (paypa1.com, g00gle.com), tricks med underdomæner (paypal.com.attacker.com – det rigtige domæne er attacker.com), URL-forkortere, der skjuler den egentlige destination, og homografangreb, hvor Unicode-tegn, der ligner ASCII, bruges (xn--pple-43d.com bruger et kyrillisk »а« til at forfalske apple.com). Sikkerhedsprofessionelle bør altid holde markøren over links, før de klikker, og bruge URL-analyseværktøjer til sikkert at udvide forkortede URL'er.

Hvis du vil lære brugere at genkende phishing, skal du undervise dem i konkrete advarselstegn. Undersøg: afsenderadressen (svarer det viste navn til det faktiske e-maildomæne?), e-mail-headere (er Return-Path eller Reply-To forskellig fra From-adressen?), formuleringer med hast eller trusler, der presser modtageren til at handle hurtigt, uopfordrede vedhæftede filer eller uventede anmodninger om nulstilling af adgangskoder samt links, der ikke svarer til den angivne destination. Ét advarselstegn bør vække mistanke; flere advarselstegn tilsammen er en stærk indikation på phishing. Organisationer bør fastlægge en tydelig proces til rapportering af mistænkelige e-mails.

Mange phishingkampagner leder ofrene til falske loginsider, der ser identiske ud med legitime websteder. Angribere kopierer HTML/CSS fra rigtige websteder og hoster dem på lookalike-domæner eller kompromitterede websteder. Moderne værktøjer som evilginx2 og Modlishka fungerer som reverse proxyer, der videresender offeret til det rigtige websted, samtidig med at de opsnapper sessionstokens i realtid – og dermed omgår selv MFA. Brugere bør se efter hængelåsikonet (HTTPS), men huske, at HTTPS kun bekræfter, at forbindelsen er krypteret, ikke at webstedet er legitimt. Logs over Certificate Transparency afslører phishingwebsteder, der bruger lookalike-domæner.

Skadelige vedhæftede filer leverer malware direkte til offerets slutpunkt. Almindelige formater omfatter makroaktiverede Office-dokumenter (.docm, .xlsm), der kører VBA-scripts, når brugeren aktiverer makroer, PDF-filer med indlejret JavaScript eller links, ISO-/IMG-diskafbildninger (som bruges til at omgå Windows' beskyttelse Mark of the Web) og komprimerede arkiver (.zip, .rar) med eksekverbare filer, der er omdøbt med vildledende filtypenavne. Organisationer bør som standard deaktivere Office-makroer via Group Policy og konfigurere e-mailgateways til at blokere filtyper med høj risiko.

Beskyttelse af ledere mod whalingangreb kræver en kombination af tekniske kontroller og proceskontroller. Teknisk bør I håndhæve DMARC for at afvise forfalskede e-mails, der hævder at komme fra organisationens domæne, konfigurere e-mailgatewayen til at tilføje bannere til eksterne e-mails og tilmelde ledere til phishing-resistent MFA (FIDO2). Procesmæssigt bør I etablere procedurer for kontrol via en separat kanal (ring direkte til anmoderen på et kendt telefonnummer), før I godkender bankoverførsler eller deler følsomme data, uanset hvor presserende e-mailen lyder. Undervis ledere specifikt i whalingscenarier, da generel sikkerhedsbevidsthedsundervisning ofte ikke når op på direktionsniveau.

I denne lektion har du lært, at masse-phishing er afhængig af volumen for at fange en lille procentdel af tilfældige modtagere, at spear phishing er målrettet og personaliseret ved hjælp af OSINT-research til at udforme overbevisende beskeder til bestemte personer, og at whaling retter sig mod ledere med beføjelser over økonomi og følsomme data — og beskyttes med DMARC, phishing-resistent MFA og procedurer for kontrol via en separat kanal. Næste gang ser vi på stemme- og SMS-baserede angreb gennem vishing, smishing og pretexting.