Virksomheter som utsettes for phishing øker. I dag er det er vanskelig for bedrifter å beskytte seg mot hackerangrepet, en form for digitalt angrep der de som står bak prøver å lure, eller «fiske» etter informasjon.
– Det er på grunn av at de «fisker» etter informasjon, betegnelsen «phishing» har oppstått. Det skrives litt spesielt fordi det kommer fra hacker-verdenen, sier daglig leder i Cyber Defence (Cydef), Amund Mortensen.
Selskapet ble opprettet i 2017 med formål om å bekjempe og sikre mot digitale trusler.
– Phishing utnytter kommunikasjonskanalene bedriften eller «målet» benytter. Det kan være alt fra e-post til sosiale medier til å ringe på telefonen. Disse angrepene kan være av den enkle sorten som er forsøker å angripe alt og alle, eller de kan være svært sofistikerte og målrettet.
Videre forteller Mortensen at det er svært interessant å se det i sammenheng med trusselaktører.
– Vi ser at alle fra statlige aktører til de som driver på gutterommet benytter phishing som angrepsmetode, forklarer han.
Mest vanlig over e-post
– Hvordan vi skal oppdage phishingangrep er et vanskelig spørsmål. I dag eksisterer det ingen teknisk løsning som sikrer hundre prosent. Du kan implementere løsninger som kan fjerne en del av det, men til syvende og sist er det brukeropplæring som gjelder. Brukerne må lære «nettvett» og bli mer skeptiske til hva de ser på skjermen, sier Mortensen.
Phishingangrep er mest vanlig over e-post, og det har opphav i at «alle» har en, ifølge Mortensen.
– I tillegg er e-post en gammel standard som ble utviklet på en tid der sikkerhet ikke ble tenkt på, forklarer han.
– Vil du si at phishing er ansett som den største trusselen for bedrifter i dag globalt?
– Jeg er fristet til å svare ja, men det fordrer selvsagt at bedriftene har fulgt med i timen og gjort basistiltakene som må på plass. En angriper vil alltid benytte enkleste og raskeste vei til målet. Det hjelper ikke med masse tiltak mot phishing, hvis det står en sårbar web-server mot internett. God sikkerhet er summen av alle tiltakene, sier Mortensen, men forklarer videre at det er helt klart at statistikken viser at phishing er den prefererte angrepsmetoden.
– Det er nok fordi den er såpass effektiv, angriper mennesket bak, og omgår alle de dyre sikkerhetstiltakene bedriften har investert i.
Deteksjon og reduksjon
Hva vi gjør dersom vi er blitt utsatt vil avhenge av kontekst.
– Hvis vi ser for oss en gjennomsnittlig bedrift som blir kompromittert, gjennom phishing eller andre måter, så er det to ting som er viktig, og det er deteksjon og reduksjon. Dette er begge faser som er svært viktig, men å redusere eller gjenopprette normaltilstand er vanskelig hvis angrepet aldri blir oppdaget, sier Mortensen.
Det er nok av eksempler der angripere har fått alt for god tid til å utøve målet de hadde i utgangspunktet, forklarer han, og presiserer at det å faktisk oppdage at du er kompromittert på mange måter er nøkkelen til god informasjonssikkerhet.
– Kan vi forhindre at det skjer?
– Jeg mener bestemt at det er umulig å sikre seg hundre prosent. Det vil alltid eksistere svakheter som kan utnyttes, om det er menneskelige svakheter (phishing), eller tekniske svakheter (systemer). Vi kan redusere sannsynlighet, og når det gjelder phishing som angrepsvektor trengs det opplæring, sier Mortensen.
Hans erfaring er at mennesker glemmer fort, så det er viktig å kontinuerlig ha fokus på brukeropplæring slik at «nettvett» og iboende skeptisisme til digitale flater blir naturlig.
Av Julie Malvik, [email protected]
