Sådan undgår man dyre phishing-angreb i sin virksomhed

Her undersøger vi effekten af phishing, kigger på de seneste svindelnumre og kommer med tips til, hvordan du bedst sikrer din virksomhed. 

Phishing-svindel koster virksomheder milliarder af kroner årligt, efterhånden som cyberkriminaliteten bliver mere og mere organiseret.

Virksomhedernes IT-folk og sikkerhedsansvarlige bruger en tredjedel af deres ugentlige arbejdstid på at håndtere phishing-trusler. Men selv som de IT-ansvarlige bliver mere og mere snu, bliver hackerne det også, og de finder hele tiden nye måder at ramme virksomhedens medarbejdere på.

Russell Johnson, der er IT-forretningspartner hos Brother International Europe, siger: ”Det er meget vigtigt at fokusere på brugerne. Vi har tekniske endpoint-sikkerhedssystemer, og det er rigtig godt,   men hvis et sofistikeret angreb bryder igennem, så er det op til brugeren at beskytte sig selv og virksomheden.”

Hvis man lærer de nyeste phishing-tendenser og forebyggende foranstaltninger at kende, er der både tid, penge og ressourcer at spare.

De nyeste phishing-tendenser

Falske hjemmesider, der har til formål at indsamle virksomhedsoplysninger, er også et voksende fænomen. 

Her leder en phishing-e-mail brugeren til en falsk login-side på en platform som Microsoft Office 365 eller Amazon Web Services (AWS). Det kan være katastrofalt for virksomheden, da det giver hackerne adgang til de følsomme data på virksomhedens konto.

For eksempel udgav svindlere sig for nylig for at være Amazon Web Services ved hjælp af en automatiseret e-mailnotifikation. De falske hyperlinks så troværdige ud, men havde en uregelmæssighed i URL’en, der ledte brugerne til en falsk login-side.  

Cybersikkerhedskonsulent Rob Mukherjee råder virksomhederne til at benytte Computer Vision. Det er en type af software, der gør computeren i stand til at kopiere det menneskelige syn ved hjælp af algoritmer. Det er altså en underart af kunstig intelligens.

Rob siger: ”Softwaren betragter hver eneste pixel og forhindrer e-mails i at få adgang til indbakken, hvis den opdager en uregelmæssighed.”

Derudover har der været en enorm stigning i mængden af phishing-mails, der udgiver sig for at være fra LinkedIn. I 2022 registrerede forskere en stigning på 232 % i e-mails, der foregav at være fra dette medie.

Cyberkriminelle bruger desuden spoofing af e-mail-displaynavne og stiliserede HTML-skabeloner til at narre Microsoft Outlook-brugere til at klikke på phishing-links og indtaste deres oplysninger.

LinkedIn bliver også brugt til søgning af personer til spear phishing-mails. Eksempelvis har hackere via LinkedIn identificeret systemingeniører og netværksadministratorer hos Sony Pictures Entertainment. Ved hjælp af målrettede phishing-mails blev over 100 terabyte virksomhedsdata stjålet og angrebet kostede Sony mere end 100 millioner dollars..    

De reelle omkostninger ved phishing 

Phishing-angreb koster virksomhederne dyrt og er vanskelige at håndtere. Ifølge IBM var det den dyreste form for angreb i 2022, idet hver datalæk gennemsnitligt kostede 4,91 millioner dollars.

På trods heraf er det stadig den mest almindelige indgang for kriminelle. Faktisk har 82 % af alle datalæk i Europa i 2022 involveret et menneskeligt element.

Den konstante phishing-trussel er ikke bare dyr for virksomhederne – den har også en afledt konsekvens for de IT-ansvarlige, der bruger mere tid og flere ressourcer på den. IT-folkene og de sikkerhedsansvarlige rapporterer, at en enkelt e-mail nu i gennemsnit tager 27,5 minutter at løse. 

Hvordan beskytter man sin virksomhed mod phishing?   

Den bedste måde at beskytte virksomheden på er ved at implementere en kombination af IT-værktøjer og adfærdsændringer. 

Dan Giannasi, der er chef for Cyber and Innovation hos Cyber Resilience Centre, siger: ”Virksomhederne skal træffe foranstaltninger for at beskytte deres systemer og gøre det svært for de kriminelle at nå frem til brugerne.

”Det omfatter implementering af robuste e-mailprotokoller, der forhindrer kendte phishing-mails i at nå frem til brugerne og forhindrer de kriminelle i at efterligne virksomhedens e-maildomæne i andre angreb.”

Man kan eksempelvis implementere et professionelt, regelbaseret e-mailfilter, der opdager falske domænenavne og identiteter, som medarbejderne nemt overser. Avancerede filtre opfanger også malware, som eksempelvis portscannere og keyloggere.

Med hensyn til adfærdsændringer foreslår Joshua Ashton, der er direktør for Symposium IT, at medarbejderne behandler enhver anmodning om afgivelse af følsomme oplysninger med forsigtighed, og at kildens ægthed verificeres, før der handles på anmodningen. 

Det er også vigtigt at uddanne medarbejderne i de almindelige advarselslamper ved phishing og teste deres viden, for, som Russell Johnson påpeger: ”medarbejdernes robusthed kan altid forbedres.” Han står i spidsen for et internt cybersikkerhedsprogram for Brother International Europe, der har 1.500 brugere.

Med fokus på at skabe ”en menneskelig firewall” suppleres det obligatoriske kursus med korrigerende og valgfrie vejledninger og artikler om de seneste tendenser. Hver bruger bliver phishet en gang om måneden ved hjælp af KnowBe4, som er et system, der ved hjælp af kunstig intelligens evaluerer brugerne efter fire forskellige risikokriterier. Programmet er blevet taget godt imod af medarbejderne, og virksomheden er nu på vej til at sætte branchestandarden for andelen af phishing-udsatte.

Vil du vide mere? Læs vores blogs under fanen Sikkerhed.

Eller læs mere om, hvordan Brother kan hjælpe med sikkerheden.