Lær hva smishing er. Se hvordan du gjenkjenner falske SMSer og beskytter deg mot svindlere. Få tips for en tryggere digital hverdag
I bunn og grunn er smishing phishing i SMS-format. I stedet for å lande i en rotete e-postinnboks, kommer angrepet direkte på smarttelefonen din, ofte med det å se ut til å komme fra en pålitelig kilde som en bank, en leveringstjeneste eller en offentlig etat.
Uthenting av personopplysninger: Navn, adresser og personnummer.
Økonomisk gevinst: Innhenting av kredittkortdetaljer eller bankinnloggingsinformasjon.
Kontotilgang: Å stjele innloggingsinformasjon for ulike nettbaserte tjenester eller bedriftsnettverk.
Psykologien bak smarttelefonen. Hvorfor er vi så mye mer sårbare for tekstmeldinger enn e-post?
Ekspertene peker på flere psykologiske og tekniske faktorer:
I flere tiår har mobiltelefonene våre blitt sett på som private, trygge rom. Selv om e-postinnbokser ofte oversvømmes av spam og markedsføring, er tekstmeldinger vanligvis forbeholdt familie, venner og verifiserte tjenester som legetimer eller tofaktorautentiseringskoder. Denne iboende tilliten gjør oss mindre kritiske til meldingene vi mottar på telefonene våre.
Du bruker telefonene din annerledes enn datamaskinene våre. Du er ofte på farten – går til et møte, pendler med buss, eller er distrahert på treningssenteret. I disse øyeblikkene senkes våre kognitive forsvar. Når en melding dukker opp som krever «hastende handling», er den naturlige instinktet å løse problemet raskt slik at vi kan komme oss videre med dagen.
På en datamaskin kan du holde musepekeren over en lenke for å se destinasjons-URL-en. På en smarttelefon er dette mye vanskeligere, og ofte umulig uten langvarig trykking, noe som medfører sine egne risikoer. Videre, mens plattformer som Microsoft 365 filtrerer ut over 99 % av phishing-e-poster før de når brukeren, mangler mobiloperatører for øyeblikket samme robuste filtreringsteknologi for SMS. Dette betyr at nesten hvert smishing-forsøk sendt til nummeret ditt vil lande i innboksen din.
Angriperne stoler på noen få velprøvde scenarioer for å manipulere ofrene sine. Ved å gjenkjenne disse mønstrene kan du redusere risikoen betydelig.
Kanskje den vanligste taktikken er å utgi seg for å være leveringstjenester som Bring, Posten eller FedEx. Disse meldingene hevder at du har en pakke som venter, men må betale en liten «tollavgift» eller «oppdatere adressen din» for å motta den. Fordi så mange handler på nett regelmessig, er sjansen stor for at et offer faktisk forventer en pakke.
Disse budskapene spiller på frykt. Du kan motta en tekstmelding som sier at bankkontoen din er blokkert eller at BankID-en din er i ferd med å utløpe. For å "fikse" problemet blir du bedt om å logge inn via en oppgitt lenke – en lenke som leder til et falskt nettsted designet for å fange opp dine legitimasjoner.
Meldinger forkledd som Skatteetaten (Skatteetaten) dukker ofte opp i skattesesongen. De kan hevde at du har krav på refusjon, eller omvendt at du har en ubetalt bot. Bruken av offisielt klingende språk og trussel om juridiske konsekvenser brukes for å omgå offerets skepsis.
Dette er en av de farligste taktikkene. En angriper kan allerede ha passordet ditt, men trenger din tofaktorautentisering (2FA)-kode for å få full tilgang. De kan sende en tekstmelding og late som de er support, og be deg om å "verifisere" koden de nettopp sendte deg. Del aldri en engangskode med noen. Legitime selskaper vil aldri be om dette via tekstmelding eller telefonsamtale.
"Du har vunnet et gavekort på 500 NOK! Klikk her for å kreve." Disse meldingene utnytter nysgjerrighet og ønsket om en belønning. Hvis du ikke deltok i en konkurranse, har du ikke vunnet noen premie.
Under webinaret analyserte ekspertene en falsk melding fra "Foodora" for å fremheve varselsignaler:
Hvis du mottar en mistenkelig tekstmelding, anbefaler ekspertene en spesifikk protokoll: Stopp, Se og Verifiser.
Ikke klikk: Den viktigste regelen. Selv om du er nysgjerrig, kan det å klikke på lenken noen ganger utløse en nedlasting av skadelig programvare eller bekrefte overfor angriperen at nummeret ditt er aktivt.
Verifiser uavhengig: Hvis du får en melding fra banken din, ikke bruk lenken i meldingen. Lukk meldingen, åpne nettleseren din, og gå til bankens offisielle nettside eller bruk deres offisielle app.
Ikke svar: Å svare «STOPP» på en svindelmelding gjør ofte det motsatte—det forteller svindleren at det er en ekte person i den andre enden, noe som gjør deg til et mål for flere angrep.
Rapporter meldingen: I Norge kan du videresende mistenkelige SMS-meldinger til 7726. Dette er et dedikert rapporteringsnummer for spam (tallene 7726 staver "SPAM" på et tradisjonelt tastatur).
Slett og blokker: Når meldingen er rapportert, blokker avsenderen og slett meldingen for å unngå utilsiktede klikk senere.
Hvis du innser at du har gått på en svindel, er fart avgjørende:
Bytt passord: Bytt umiddelbart passordet til den aktuelle tjenesten og alle andre kontoer som bruker samme passord.
Aktiver/sjekk MFA: Sørg for at multifaktorautentisering er aktiv og sjekk om det er lagt til uautoriserte enheter på kontoen din.
Kontakt banken din: Hvis økonomisk informasjon ble delt, frys kortene dine og følg med på kontoutskriftene dine for «mikrotransaksjoner» som svindlere bruker for å teste kontoer.
Varsle IT-sikkerhet: Hvis du er på jobb, si ifra til IT-avdelingen din umiddelbart. De kan skanne enheten din for skadelig programvare og forhindre at trusselen sprer seg til selskapets nettverk.
Tekniske filtre for SMS er for øyeblikket svake, noe som betyr at «menneskelig brannmur» er den viktigste forsvarslinjen. AGS og Nimbler foreslår at den eneste måten å virkelig bekjempe smishing på, er gjennom kontinuerlig trening og simulering.
Nimbler tilbyr en plattform som sender "falske" smishing-angrep mot ansatte. Hvis en ansatt klikker på lenken, blir de ikke straffet; i stedet blir de umiddelbart presentert for «Instant Learning»—et 2-minutters mikrokurs som forklarer hva de har gått glipp av og hvordan man kan identifisere lignende trusler i fremtiden.
Denne metoden har vist seg å være utrolig effektiv. Selskaper som starter med en klikkrate på 20–25 % ser ofte at dette tallet faller til under 2 % etter seks måneder med jevnlig, kortvarig opplæring.
Med innføringen av nye cybersikkerhetsdirektiver som NIS 2, blir kontinuerlig sikkerhetsopplæring mer enn bare en «god idé» – det blir et regulatorisk krav for mange bransjer. Organisasjoner må kunne vise at de aktivt trener ansatte til å gjenkjenne og håndtere sikkerhetsrisikoer.
Smishing er vellykket fordi det utnytter vår mest personlige enhet og våre travleste øyeblikk. Men ved å endre tankesett og behandle SMS med samme sunne skepsis som vi bruker mot e-post, kan vi nøytralisere denne trusselen. Enten det er gjennom individuell årvåkenhet eller selskapsomfattende opplæringsprogrammer, er det beste forsvaret å holde seg informert i en stadig mer mobil verden.