Vad är nätfiske (phishing)?
Ett mejl dyker upp mitt i en stressig eftermiddag. Det ser ut att komma från banken, varnar för ett problem med kontot och ber dig logga in direkt via en länk. Allt känns bråttom. Precis den känslan är poängen. Nätfiske bygger inte på att lura tekniken, utan på att lura människan bakom skärmen.
Nätfiske, på engelska phishing, är en form av bedrägeri där någon försöker lura dig att lämna ifrån dig lösenord, kortuppgifter eller annan känslig information. Ordet leker med engelskans fishing: bedragaren lägger ut ett bete och hoppas att någon nappar.
Ett bedrägeri som riktar sig mot människan
Det som skiljer nätfiske från många andra angrepp är att det siktar på personen, inte på systemet. En brandvägg stoppar det inte, för meddelandet ser ut att vara helt legitimt. Angriparen behöver inte hitta ett hål i tekniken, det räcker att hitta en stressad människa.
Metoden är social manipulation. Bedragaren utger sig för att vara någon du litar på, en bank, en myndighet eller en kollega, och skapar en känsla av brådska eller oro så att du agerar innan du hinner tänka efter.
Mejl, sms, samtal och QR-koder
Nätfiske sker inte bara via mejl. Samma grepp dyker upp i flera kanaler:
- Mejl, den klassiska varianten, ofta med en länk till en falsk inloggningssida.
- Sms, kallat smishing, med korta meddelanden om paket eller betalningar.
- Telefonsamtal, kallat vishing, där någon ringer och spelar upp ett ärende.
- QR-koder, kallat quishing, där koden leder till en bluffsida i stället för dit den utger sig för.
Så känner du igen ett försök
Några tecken återkommer. Ett oväntat meddelande som kräver snabb handling, en avsändaradress som nästan men inte riktigt stämmer, och en länk som pekar åt ett annat håll än den utger sig för.
En bra tumregel är att en riktig bank eller myndighet aldrig ber om ditt lösenord via mejl. Är du osäker, låt bli länken och gå i stället in på tjänsten på det sätt du brukar, eller ring numret som står på ett officiellt papper. Fenomenet är inte nytt. Redan vintern 2007 drabbades en svensk storbank av storskaliga bluffmejl, och grundknepet är sig likt sedan dess.
När bedrägeriet riktas mot företag
Mot företag blir nätfisket mer riktat. I stället för massutskick anpassas meddelandet efter mottagaren, kallat spear phishing, och kan vara svårt att skilja från ett äkta mejl. En vanlig variant är att någon utger sig för att vara chefen och ber ekonomin betala en brådskande faktura. Sådana bedrägerier kan kosta stora belopp, just för att de spelar på tillit och tidspress i stället för på tekniska luckor.
Riskerna är större än ett enskilt lösenord. Ett lyckat försök är ofta första steget mot ett större angrepp, som ransomware eller stöld av företagets information. Därför är nätfiske ett av de största hoten mot en verksamhets informationssäkerhet.
Vad som faktiskt minskar risken
Ingen enskild lösning stoppar allt nätfiske, men flera åtgärder tillsammans minskar risken påtagligt. Tvåfaktorsinloggning gör ett stulet lösenord mindre värt, eftersom det inte räcker för att komma in. E-postfilter fångar en del av bluffmejlen innan de når fram. Men inget filter fångar allt, och de skickligaste bluffmejlen tar sig förbi.
Den viktigaste delen är ändå människorna. Personal som känner igen tecknen och vågar rapportera ett misstänkt mejl, utan rädsla för att ha gjort fel, är ett bättre skydd än de flesta tekniska filter. Ett moget arbete med cybersäkerhet räknar därför in både teknik och vana. Regelverk som NIS2 ställer numera också krav på att företag arbetar systematiskt med den här typen av hot.
Global
