Dette er en kommentar. Kommentaren gir uttrykk for skribentens holdning.

Norsk fiskeindustri omsetter for milliarder av kroner og opererer i en global næring med kunder over hele verden. I perioder med sesongtopper, enten i fisket eller i markedet, kan det være fort gjort å ta raske beslutninger. Spesielt hvis motparten sier at det haster og stressnivået er høyt.

Phishing

Det blir stadig viktigere å stoppe opp og tenke seg nøye om før man handler og responderer. Første og fremst fordi kriminelle aktører på nett blir stadig mer avanserte for å lure deg og din bedrift. Phishing har vært og er en mye brukt form for svindel, som baserer seg på sosial manipulering for å få folk til å avsløre sensitiv informasjon eller utføre andre skadelige handlinger.

Når kriminelle bruker phishing for egen vinning, er første steg på veien å overtale deg og meg til å klikke på en lenke i en epost eller SMS for å stjele passord eller komme på innsiden av en eller flere PC-er.

Hvis de kriminelle lykkes med å produsere e-poster og SMS’er som gjør oss ivrige, nysgjerrige eller redde, og evner å skape et inntrykk av at det haster, er det fort gjort å bli lurt i en ellers travel hverdag i norsk fiskerinæring.

Marie Terese Aambakk Cash Management Adviser, Nordea Foto: Nordea
Finn-Arne Egeness, sjømatanalytiker, Nordea. Foto: Marius Fiskum

Spear Phishing

Nordea ser en økning i svindelmetoden spear phishing (spydfisking). Spear phishing er en sofistikert form for phishing, hvor disse er målrettet og skreddersydd til angrepsmålet; en eller flere enkeltpersoner i et konkret selskap. Ofte seiler de kriminelle under falskt flagg og kan utgi seg for å være en medarbeider, en kjent leverandør eller advokat, eller til og med en leder i selskapet.

De som står bak undersøker målene sine grundig gjennom å samle kunnskap om virksomheten og de ansatte. Profiler på sosiale medier som Facebook, LinkedIn, Snapchat og Twitter benyttes ofte som kilder. De kan også «bearbeide» mulige ofre over tid før de setter i gang selve angrepet, noe som typisk omfatter en eller flere e-poster eller SMS’er som er skreddersydd for å lure en person.

Denne typen phishing er mer krevende for de kriminelle å gjennomføre enn å distribuere store mengder e-poster og SMS’er. De kriminelle kan imidlertid få bedre uttelling med slike fordi de er vanskeligere å avsløre. Verktøy som ChatGPT kan gjøre det enda enklere for kriminelle å lage tekst uten språklige feil.

Europol påpeker eksempelvis at slike verktøy kan instrueres til å bruke spesielle ord og uttrykk. Dermed kan kriminelle enklere fremstå å tilhøre en viss gruppe, alder eller organisasjon eller til og med et bestemt individ.

En vanlig spear phishing-trussel er en såkalt «direktørsvindel» med forespørsel om å overføre penger. Angriperne vil gjerne formidle at det haster for å få oss til å handle på instinkt. De ønsker også å fremstå som troverdige i sin kommunikasjon, for eksempel ved å imitere vanlig sjargong.

Et tenkt eksempel:

‘Hei Anne! Husk å betale for den nye maskinen vi kjøpte inn i forrige måned for å øke produksjonskapasiteten vår. Fint om du kan gjøre dette da jeg er opptatt med et kundemøte i utlandet som du vet. Betalingsdetaljene finner dere under. Takk for hjelpen og beklager maset. Vet at dere har mye å gjøre nå i torskesesongen, samtidig som barna har vært hjemme fra skolen. Hilsen Per i Italia’.

Angriperne kan skjule identiteten sin ved eksempelvis å bruke en kompromittert e-postkonto som de har skaffet seg tilgang til eller ved å spoofe (forfalske) avsendernavn og/eller -e-postadresse i «fra»-feltet. E-postadressen kan fremstå som identisk eller lik den ekte adressen til den øverste lederen eller andre personer med beslutningsmyndighet i virksomheten.

Flinke til å imitere

Angrepene som er mest krevende å avsløre, er satt inn i en kontekst. Ved hjelp av allment tilgjengelig informasjon eller informasjonsdeling i kriminelle nettverk, kan angriperne vite at din bedrift nettopp har signert en stor avtale eller at dere planlegger å bytte kontorlokaler.

Slik informasjon kan inngå i en skreddersydd melding, hvor de kriminelle også kan hente informasjon fra sosiale medier for å skape enda mer troverdige e-poster eller SMS’er. I tillegg kan angriperen benytte seg av kunstig intelligens ved for eksempel manipulering av bilder og lyd. Sluttresultatet kan bli svært troverdig.

Derfor er det viktig å vurdere om avsender-ID og annen informasjon øverst i e-posten er riktig og om e-posten er forventet. Husk at du enkelt kan søke bekreftelse ved å ringe eller oppsøke den angivelige avsenderen. Det er viktig å ikke spørre om dette i e-posten eller sms-en, som kan være falsk. Ta heller opp telefonen og ring vedkommende.

Vi kan alle være stresset, spesielt når det koker under torskefisket i vintersesongen eller under makrellfisket på høsten. Men cybertrusler som spear phishing krever at vi senker tempoet når vi mottar e-poster og SMS’er som ber om informasjon, klikke på vedlagte lenker eller overføring av penger. Gjør vi ikke det, kan vi i et ubetenksomt øyeblikk laste ned en ondsinnet programvare som åpner en bakdør inn til virksomhetens nettverk eller risikere å overføre store pengebeløp til kriminelle og aldri få dem tilbake.