En travl mandag morgen er præcis det tidspunkt, hvor en falsk Microsoft 365-mail kan virke mest troværdig. Medarbejderen mangler adgang til en fil, ordren skal afsted, og afsenderen ligner måske en kendt kollega. Derfor handler phishing beskyttelse for medarbejdere ikke om at gøre alle til IT-specialister. Det handler om at skabe nogle enkle, sikre vaner, der også holder, når der er travlt.
Phishing er fortsat en af de mest almindelige veje ind i små og mellemstore virksomheders IT-miljø. Angriberen behøver ikke nødvendigvis bryde en firewall eller gætte en kompleks adgangskode. Ofte er det nok, at én person klikker på et link, indtaster sit login på en falsk side eller godkender en login-anmodning på mobilen uden at tænke sig om.
Hvorfor phishing rammer almindelige arbejdsdage
Phishingmails er ikke længere kun beskeder med dårligt sprog og mærkelige vedhæftninger. Mange er skrevet på flydende dansk, bruger virksomhedens navn og efterligner leverandører, fragtfirmaer, banker eller Microsoft. Nogle svindelforsøg kommer som SMS, Teams-beskeder eller telefonopkald.
Målet er typisk at få adgang til en Microsoft 365-konto, ændre betalingsoplysninger på en faktura eller lokke følsomme oplysninger ud af virksomheden. I værste fald kan en kompromitteret konto bruges til at sende troværdige mails videre til kollegaer og kunder. Det gør skaden større, fordi afsenderen nu faktisk er en kendt kontakt.
Det er ikke et tegn på manglende omtanke, hvis en medarbejder bliver snydt. Phishing er lavet til at udnytte tillid, rutiner og tidspres. Den rigtige tilgang er derfor ikke at skælde ud efter en fejl, men at gøre det let at opdage usikkerhed og hurtigt at få hjælp.
Phishing beskyttelse for medarbejdere starter med klare vaner
Medarbejdere skal vide, hvad de konkret skal gøre, når noget ser forkert ud. En generel besked om at “passe på phishing” er sjældent nok. Det er mere brugbart at aftale nogle få faste regler, som alle kan huske.
Først bør man altid standse op ved mails, der skaber hastværk. Det kan være beskeder om en konto, der lukkes samme dag, en betaling, der skal godkendes straks, eller en chef, som pludselig beder om gavekort. Hastværk er et klassisk virkemiddel, fordi det mindsker sandsynligheden for, at modtageren kontrollerer detaljerne.
Dernæst skal afsenderen ses efter. Visningsnavnet kan godt ligne en kendt person, mens den faktiske mailadresse er forkert. En enkelt ændret bogstav, et ekstra domæne eller en ukendt endelse kan være nok til at afsløre forsøget. Det samme gælder links. Hold musen over et link på computeren, eller tryk og hold på mobilen, før det åbnes. Adressen skal passe til den virksomhed, som mailen påstår at komme fra.
Endelig skal det være acceptabelt at spørge. Hvis en leverandør pludselig ændrer konto- eller betalingsoplysninger, bør medarbejderen kontrollere det via et kendt telefonnummer eller en eksisterende kontaktperson. Svaret må ikke sendes direkte til den mistænkelige mail, da det kan føre tilbage til svindleren.
Træning skal ligne virkeligheden
En god introduktion ved ansættelse er nødvendig, men ikke tilstrækkelig. Phishing ændrer sig løbende, og medarbejdere glemmer detaljer, når de ikke bruger dem. Korte, gentagne påmindelser er ofte mere effektive end én lang undervisningsdag om året.
Brug gerne eksempler fra den type mails, virksomheden faktisk modtager: falske delte dokumenter, pakkeleveringer, fakturaer og login-advarsler. Forklar præcis, hvad der afslører dem. Det giver bedre læring end skræmmende historier om angreb, som ikke føles relevante for hverdagen.
Simulerede phishingmails kan også være nyttige, men de skal bruges ordentligt. Formålet er at lære, ikke at hænge nogen ud. Hvis testen følges op af en kort forklaring og konkret hjælp, bliver den et godt redskab. Hvis den bruges som kontrol eller sanktion, risikerer virksomheden, at medarbejdere skjuler fejl i stedet for at melde dem hurtigt.
Teknikken skal hjælpe medarbejderen
Gode vaner kan ikke stå alene. Medarbejderen skal have et IT-miljø, hvor den sikre løsning også er den nemme løsning. I Microsoft 365 bør multifaktorgodkendelse være slået til for alle relevante brugere. En adgangskode, der bliver stjålet i en phishingmail, er langt mindre værd for angriberen, hvis der også kræves en ekstra godkendelse.
Det afhænger af virksomhedens behov, hvilken godkendelsesmetode der passer bedst. En godkendelsesapp er ofte et godt udgangspunkt, men den skal bruges med omtanke. Medarbejdere må aldrig bare godkende en uventet anmodning på mobilen. De skal afvise den og kontakte den ansvarlige for IT, hvis de er i tvivl. Nummermatchning eller andre ekstra kontroller kan mindske risikoen for, at en godkendelse sker ved en fejl.
Mailfiltrering, blokering af mistænkelige vedhæftninger og beskyttelse mod falske afsenderdomæner er også vigtige lag. De stopper mange angreb, før de når indbakken. Men filtre er ikke fejlfri, og en meget stram opsætning kan samtidig forsinke legitim mail fra kunder og leverandører. Derfor skal sikkerheden justeres efter virksomhedens arbejdsgange – ikke sættes op og glemmes.
Adgange bør gennemgås løbende. En tidligere medarbejder, en delt postkasse eller en gammel administratoradgang kan blive en unødvendig risiko. Jo færre der har høje rettigheder, desto mindre bliver konsekvensen, hvis en konto kompromitteres. Det gælder især konti, der kan oprette brugere, ændre sikkerhedsindstillinger eller se følsomme data.
Når en medarbejder har klikket
Et klik er ikke nødvendigvis en katastrofe. Det afgørende er, hvad der sker de første minutter bagefter. Medarbejderen skal vide, at det er bedre at sige det med det samme end at håbe, at der ikke sker noget. En åben kultur er en væsentlig del af sikkerheden.
Hvis der er indtastet adgangskode på en mistænkelig side, bør adgangskoden ændres straks fra en sikker enhed. Den ansvarlige bør derefter kontrollere loginaktivitet, aktive sessioner, regler for videresendelse af mail og ændringer i kontooplysninger. Angribere opretter ofte skjulte videresendelsesregler for at læse kommende mails, selv efter adgangskoden er skiftet.
Er der åbnet en vedhæftning eller installeret noget, skal computeren tages ud af netværket, hvis det kan gøres uden at ødelægge vigtigt arbejde. Kontakt derefter IT-support hurtigt. Det er bedre at undersøge en computer en gang for meget end at lade et muligt angreb sprede sig til fælles drev, regnskabssystemer eller produktionsudstyr.
Ved mistanke om svindel med betalinger skal økonomiansvarlige og bank kontaktes med det samme. Her tæller minutter. Hav derfor en enkel intern procedure, hvor det fremgår, hvem der skal kontaktes ved henholdsvis mistænkelig mail, kompromitteret konto og fejlagtig betaling.
Gør ansvaret konkret
I små virksomheder er rollerne ofte praktiske og brede. Ejeren godkender fakturaer, en medarbejder håndterer Microsoft 365, og en ekstern partner hjælper, når der er behov. Det kan fungere fint, hvis ansvaret er tydeligt beskrevet.
Aftal, hvem der modtager indberetninger om mistænkelige mails, hvem der kan lukke en konto eller nulstille en adgangskode, og hvem der kommunikerer med kunder, hvis en konto er blevet misbrugt. En kort beredskabsplan er langt mere værd end en lang mappe, som ingen finder frem under pres.
Hos Rønnow Design & IT arbejder jeg med sikkerhed på samme måde som med den øvrige IT-drift: løsningen skal kunne bruges i hverdagen. Det kan være gennemgang af Microsoft 365, opsætning af multifaktorgodkendelse, bedre mailbeskyttelse eller en enkel plan for, hvad medarbejderne gør ved mistanke om phishing. Målet er ikke unødig kompleksitet, men færre usikre situationer og hurtig, klar handling, når noget sker.
Den bedste beskyttelse opstår, når medarbejderen ikke føler sig alene med tvivlen. En medarbejder, der stopper op, spørger og får et hurtigt svar, kan være forskellen mellem en mistænkelig mail og en alvorlig driftsforstyrrelse.