Phishing, hvor it-kriminelle forsøger at franarre personlige oplysninger fra privatpersoner og virksomheder via e-mail, SMS eller opkald, har i mange år været en meget udbredt metode til at skaffe adgang til personlige oplysninger og få adgang til ellers lukkede netværk og computersystemer. Og det koster samfundet dyrt. Phishing koster alene det danske samfund 20 milliarder kroner hvert år i skadeomkostninger.

Som med så meget andet teknologi udvikler de it-kriminelles metoder sig også. I mange tilfælde virker klassiske phishing-mails, hvor man ud af den blå luft modtager en mail fra en ukendt afsender, ikke længere. Spamfiltre og firewalls er blevet bedre til at blokere for den slags ofte åbenlyse angrebsforsøg.

Men eksperter i cybersikkerhed fra it-sikkerhedsfirmaet Barracuda Networks har observeret en ny tendens. It-kriminelle forsøger ikke længere ”blot” at rette phishing-mails personligt til modtagerne (spear phishing) eller at efterligne højtstående personer i en organisation for at få uskyldige modtagere til at tro, at en phishing-e-mail kommer fra en troværdig afsender (såkaldt CEO fraud).

Nu går it-kriminelle skridtet videre i forsøget på at narre uskyldige ofre.

Kaprer ægte mail-konti og sender phishing

Barracuda Networks kan konstatere, at der er sket en stor stigning i antallet af en ny form for phishingforsøg kaldet conversation hijacks eller kapring af samtaler. Her hacker it-kriminelle sig først ind på en reel persons e-mail-konto for derefter at infiltrere eksisterende e-mailkorrespondancer – eksempelvis med kollegaer eller eksterne samarbejdspartnere.

Phishingforsøgene sker ifølge it-sikkerhedsfirmaet først, efter it-kriminelle har læst offerets e-mails igennem og analyseret deres e-mailkorrespondancer for bedre at forstå, hvordan offeret kommunikerer med andre.

It-kriminelle udsender dermed malware i samtaler, som indtil hackerangrebet var troværdige og ægte. Ofre kan derfor nemt komme til at klikke på et skadeligt link eller downloade en skadelig fil, fordi indholdet kommer fra en troværdig kilde, som både modtagere, firewall og spamfilter har tillid til.

Ifølge it-sikkerhedsfirmaet er denne form for phishing steget 270 procent alene i 2021. Kapring af samtaler hører under den gren af cybertrusler, der kaldes social engineering eller social hacking, hvor bagmænd udnytter menneskers svagheder og manipulerer dem til at videregive personlige oplysninger. Den nye slags phishing-angreb udgør ifølge Barracuda Networks kun 0,3 procent af alle angreb, der hører under social hacking. It-sikkerhedsfirmaet forventer dog, at angrebsformen udbredes yderligere i de kommende år, da den har en høj succesrate.

Læs også: Sådan beskytter du din virksomhed mod phishingangreb

Virksomheder bør sikre sig mod kapring af samtaler

Barracuda Networks råder virksomheder til at være ekstra varsomme over for sådanne phishingangreb, som ofre let kan falde for. Virksomheder bør blandt andet overvåge netværk og registrere mistænkelig aktivitet, for eksempel hvis der sker loginforsøg fra ukendte steder eller ukendte tidszoner, lyder rådet.

Læs også: Nyheder om it- og cybersikkerhed