Fremveksten av profesjonell, målrettet digital svindel

Sterk økning i svindelforsøk

Skiftet til den digitale hverdagen har ført med seg en sterk økning i svindelforsøk, og utviklingen synes ikke å stoppe. DNB (se www.dnb.no/dnbnyheter/) kan fortelle at de har sett en økning på 45 prosent i antall svindelforsøk som de har behandlet i 2022 sammenlignet med 2021. Sammenlignet med 2020 er økningen på 1000 prosent. Finanstilsynet har rapportert om færre angrep på finansiell infrastruktur i 2022, men mener likevel at omfanget av digital kriminalitet med konsekvenser for finanssekto-ren synes å øke.

Målrettede svindelkampanjer

Tidligere kunne mange svindelforsøk være enkle å oppdage fordi de ofte gikk bredt ut til et stort omfang ofre i håp om at noen lot seg lure. I dag er svindlere gjerne mer tålmodige og gjennomfører svindelkampanjer mot målrettede virksomheter. Denne formen for avansert målretting innebærer at svindlerne bruker mye tid og ressurser på å analysere ofrene gjennom å samle informasjon fra offentlige kilder, sosiale medier og tidligere datalekkasjer. Enkelte svindlere benytter også avanserte teknikker for å forsøke å bryte seg inn i svindelofferets datasystemer og kommunikasjonskanaler for å analysere virksomheten fra innsiden. Svindlerne benytter deretter den innsamlede informasjonen og deres forståelse om virksomheten på et senere tidspunkt for å utforme overbevisende svindelkampanjer direkte rettet mot virksomheten.

Troverdig kommunikasjon og virksomhetstilpasset innhold

Svindelforsøk krever at svindlerne tar kontakt med svindelofferet, gjerne via e-post eller på telefon. Innholdet i kommunikasjonen er blitt mer profesjonalisert og svindlere både prater og skriver flytende norsk og engelsk med terminologi tilpasset bransjen offeret opererer i. Gjennom å lære og å forstå offeret før de tar kontakt, vil svindlerne også kunne utforme svindelkampanjer med innhold spesielt tilpasset virksomheten. Dette gjør at troverdigheten i kommunikasjonen og innholdet som presenteres styrkes, samtidig som det er vanskeligere å avdekke svindelforsøkene.

I tillegg til at innholdet i kommunikasjonen virker troverdig, kan kommunikasjonskanalen svindlerne benytter fremstå troverdig. Svindlere kan opprette falske e-postkontoer som etterligner reelle kontakter eller samarbeidspartnere, eller de kan foreta såkalt kapring av e-postadresser eller telefonnumre hvor de kamuflerer sin egentlige e-postadresse eller telefonnummer bak en legitim e-postadresse eller et norsk telefonnummer («spoofing»). En annen kjent metode for å opprette tilsynelatende legitim kontakt med offeret på, er at svindlerne benytter ekte e-postkontoer som de har kompromittert. For eksempel kan de ha kompromittert e-post-kontoen til en kollega eller en samarbeidspartner som offeret er kjent med og gjennomføre svindelforsøket gjennom denne legitime kommunikasjonskanalen.

Nøyaktig kopi av legitime nettsider

Det er enklere enn noen gang å utforme nøyaktige kopier av legitime nettsider. Svindlere har mulighet til nøye å gjenskape design og funksjoner som en legitim nettside har. Ved å analysere hvilke nettsider som en bruker ofte besøker i sin arbeidshverdag, kan de gjenskape nettsider brukeren er godt kjent med og forsøke å navigere dem til den falske nettsiden gjennom troverdig kommunikasjon. Dette kan oppleves som en tilsynelatende autentisk opplevelse for brukeren. Målet med disse nettsidene er ikke sjeldent å lure brukeren til å gi fra seg innloggingsdetaljer som svindlerne deretter bruker for å tilegne seg sensitiv virksomhetsdata eller penger. For eksempel kan svindlerne utnytte kjente innloggingssider som interne intranettsider, webapplikasjonsportaler, virksomhetens nettbank eller Altinn.

Utnyttelse av tredjepartsrelasjoner

Mange virksomheter samarbeider med flere tredjeparter og har lange leverandørkjeder. Svindlere kan forsøke å utnytte disse relasjonene på flere måter. En måte er at svind-lerne utgir seg for å ringe fra virk-somhetens IT-leverandør, mens en annen er at svindlerne forfalsker fakturaer fra en leverandør som virksomheten akkurat har inngått avtale med. DNB 3 har meldt om at flere virksomheter har vært utsatt for svindelforsøk i forbindelse med revisorbytte. Svindlerne følger med på kunngjøringer om endringer i Brønnøysundregistrene og tar der-etter kontakt med virksomheten hvor de utgir seg for å være virk-somhetens nye revisor. Dette kan fremstå som en troverdig henven-delse ettersom det ikke er usann-synlig at virksomheter blir kontaktet av ny revisor.

Datasystemer er utsatt

I dagens digitale hverdag er virksomheters datasystemer særlig utsatt. Svindlere forsøker å utnytte sårbarheter i virksomheters datainfrastruktur eller forsøker å kompromittere ansattes brukerkontoer for å tilegne seg uautorisert tilgang til virksomhetens datasystemer. Særlig brukerkontoer med tilganger til virksomhetens datasystemer er utsatt, ettersom kompromittering av disse kan gi svindlerne tilgang til virksomhetens data. Ved å trenge inn i virksomheters datasystemer kan svindlerne tilegne seg virksomhetskritisk informasjon eller presse virksomheter til å betale løsepenger. Dette kan også skade virksomheters omdømme og renommé.

Dagens digitale hverdag stiller krav til sikkerhet og bevissthet

Med profesjonaliseringen av svindlernes svindelmetoder og målrettede svindelkampanjer, stilles det økte krav til virksomheters datasikkerhet og ansattes bevissthet. Virksomheter må kontinuerlig arbeide med å opprettholde robust datasikkerhet, samt forbedre sin evne til å oppdage og håndtere svindelforsøk. Å skape en kultur av bevissthet blant ansatte, der de opplæres til å identifisere potensielle risikofaktorer og rapportere mistenkelig aktivitet, spiller en viktig rolle i å beskytte virksomhetskritisk informasjon og datasystemer mot stadig mer profesjonaliserte og målrettede svindelkampanjer.

 

Tips

Sørg for kontinuerlig opplæring og bevisstgjøring rundt svindel internt i virksomheten, og oppfordre alle ansatte til å rapportere mistenkelig aktivitet.

• Verifiser identiteten til de du kommuniserer med for å sørge for at du prater med rette vedkommende.
• Kontroller e-postkommunikasjon for eksempel ved bruk av e-postfiltrerings-tjenester, og vær skeptisk til e-poster som ber deg oppgi sensitiv informa-sjon eller trykke på lenker.
• Besøk heller nettsider direkte enn å trykke på lenker du får tilsendt.
• Etabler interne godkjennelsesprosesser for handlinger som innebærer at virksomheten gir fra seg virksomhetskritisk informasjon eller skal gjennom-føre større betalinger.
• Implementer sterk autentisering (multifaktor) og tilgangskontroll til virksom-hetens datasystemer.
• Ha gode rutiner for sikring og oppdatering av datasystemer og programvare for å tette kjente sårbarheter.
• Vær forberedt og tren på ulike scenarioer der virksomheten har blitt rammet av et angrep.