Phishing (på svenska "nätfiske") betyder en attackmetod där bedragare lurar dig att avslöja känslig information genom att utge sig för att vara en pålitlig part. Ordet är en lek med engelskans fishing – angriparen "fiskar" efter dina uppgifter. Istället för att hacka systemet tekniskt utnyttjar angriparen mänsklig psykologi för att komma över lösenord och bankuppgifter.
Nedan går vi igenom hur attackerna går till, vilka varianter som finns och de konkreta stegen för att skydda dig och din organisation.
Vanliga typer av phishing
Phishing kan ta flera olika former, beroende på angriparens mål och metod. Här är några av de vanligaste typerna:
- E-postphishing: Detta är den vanligaste formen av phishing, där bedragaren skickar e-postmeddelanden och försöker efterlikna meddelanden från större företag eller organisationer. Vanligtvis uppmanar de mottagaren att klicka på en länk eller öppna en bilaga.
- Spear phishing: Spear phishing är riktad mot specifika individer eller organisationer. Här har angriparen ofta läst på om sitt mål för att göra meddelandet så övertygande som möjligt.
- Smishing och vishing: Dessa metoder involverar SMS (smishing) och röstsamtal (vishing). De fungerar på liknande sätt som e-postphishing men använder telefonen för att övertyga människor att avslöja personlig information eller utföra handlingar för att komma åt känslig information.
- Whaling: Denna typ av attack riktar sig mot högt uppsatta tjänstemän inom en organisation, såsom en VD eller chefer. Whaling liknar i grunden spear phishing, men angriparen inkluderar mycket specifik och intern information som gör meddelandet särskilt övertygande och farligt.
Phishing kan också kombineras med andra attackmetoder som man-in-the-middle-attacker för att fånga upp känslig information, eller användas för att distribuera ransomware genom skadliga bilagor.
AI-genererat phishing
Angripare kan använda generativ AI för att skriva trovärdiga meddelanden och imitera röster eller video. Språkfel är därför en svag kontroll: ett välskrivet mejl kan vara bedrägligt.
Utgå från vad meddelandet ber dig göra. Var särskilt uppmärksam på betalningar, ändrade kontonummer, lösenordsåterställningar eller begäran om MFA-koder. Bekräfta via ett känt telefonnummer eller ett godkänt arbetsflöde, även om avsändarens namn, röst eller bild verkar stämma.
Se CISA:s råd om att känna igen och rapportera phishing. Kombinera rapporteringsrutinen med tvåpersonersgodkännande av känsliga betalningar och nätfiskeresistent MFA.
Hur skyddar man sig?
Skydda dig mot phishingattacker genom att känna igen hotet och vara försiktig online.
Här är några tips som du kan tänka på för att vara säker online:
- Var skeptisk: Misstänk alltid meddelanden som begär personlig eller finansiell information. Verifiera begäran via en känd kontaktväg innan du lämnar uppgifter eller gör en betalning.
- Kontrollera avsändaren: Innan du klickar på en länk eller laddar ner en fil, kontrollera noggrant avsändarens e-postadress och URL:en som länken leder till. Se om du kan hitta små felaktigheter som kan skilja den från en legitim adress.
- Aktivera flerfaktorsautentisering: Flerfaktorsautentisering (MFA) erbjuder ett extra skydd genom att kräva ytterligare bekräftelse utöver lösenordet. Det gör det i sin tur svårare för angripare att få tillgång till dina konton även om de har ditt lösenord.
- Uppdatera och säkra dina enheter: Se till att dina datorer, telefon och andra enheter alltid är uppdaterade. Använd även antivirusprogramvara och en brandvägg för att blockera misstänkta försök till intrång.
- Utbilda andra: Människor är ofta den svagaste länken i säkerhetskedjan. Alla behöver förstå riskerna med phishing och hur man undviker det. Att skapa en stark säkerhetskultur där medarbetare känner sig trygga att rapportera misstänkta mejl är avgörande.
- Verifiera via separat kanal: Vid känsliga begäranden – betalningar, ändrade kontouppgifter, brådskande godkännanden – ring alltid tillbaka på ett känt nummer från intern katalog. Lita aldrig på kontaktuppgifter som finns i själva mejlet eller mötet, även om rösten eller videon ser ut att stämma. Etablera ett internt kodord eller bekräftelseflöde för finansiella godkännanden över ett visst belopp.
- Stärk det tekniska skyddet mot AI-attacker: Komplettera traditionella e-postfilter med AI-baserad detektion som analyserar beteendemönster snarare än signaturer, brand impersonation protection och skydd mot lookalike-domäner. För videomöten med externa parter, överväg rutiner för att verifiera deltagares identitet vid möten där känsliga beslut fattas.
Genom att följa dessa steg kan du öka din säkerhet på nätet och skydda dig bättre mot phishing. Kunskap och försiktighet är avgörande för att hålla din information säker på nätet.
Vad ska man göra om man klickat på en skadlig länk?
- Stäng sidan och rapportera direkt. Spara meddelandet, länken och tidpunkten så att IT kan bedöma vad som hänt.
- Om du lämnade lösenord eller en MFA-kod: Byt lösenord från en säker enhet. Be IT återkalla sessioner och kontrollera kontots återställningsuppgifter och eventuella vidarebefordringsregler.
- Om du laddade ner eller öppnade en fil: Sluta använda enheten. Vid misstänkt skadlig kod, koppla bort den från nätverket enligt er incidenthanteringsrutin. Undvik att radera underlag som IT behöver undersöka.
- Om du betalade eller lämnade kortuppgifter: Kontakta banken omedelbart och polisanmäl misstänkt bedrägeri.
Åtgärden beror på vad som hände efter klicket. Ett lösenordsbyte hanterar inte skadlig kod, och en antivirusskanning återkallar inte en stulen inloggningssession.
Vanliga frågor
Vad är phishing?
Phishing är en typ av social manipulation där angripare utger sig för att vara en betrodd avsändare – ofta via e-post, sms eller telefon – för att lura mottagaren att lämna ifrån sig inloggningsuppgifter, betalningsinformation eller klicka på en skadlig länk.
Vad är ett exempel på phishing?
Ett klassiskt exempel är ett mejl som ser ut att komma från din bank eller från Microsoft och varnar för att ditt konto spärras om du inte "verifierar dina uppgifter" via en länk. Länken leder till en falsk inloggningssida som stjäl ditt lösenord. Andra vanliga exempel är sms om ett paket som inte kunnat levereras (smishing), fakturor med ändrat bankkontonummer, eller ett brådskande mejl från "VD:n" som ber dig göra en snabb betalning.
Vad är skillnaden mellan phishing och spear phishing?
Vanlig phishing är massutskick där angriparen skickar samma meddelande till tusentals mottagare i hopp om att några nappar. Spear phishing är riktade attacker mot en specifik person eller organisation, ofta med detaljerad information om mottagaren för att framstå som trovärdig. Riktningen gör meddelandet mer trovärdigt och kan användas som första steg i ett större intrång.
Vad ska jag göra om jag klickat på en phishing-länk?
Stäng sidan och rapportera händelsen till IT. Om du lämnade inloggningsuppgifter: byt lösenord från en säker enhet och be IT återkalla aktiva sessioner. Om du öppnade en misstänkt fil eller ser tecken på skadlig kod: koppla bort enheten från nätverket enligt er incidentrutin. Ett klick i sig visar inte att enheten är infekterad.
Hur skyddar man en organisation mot phishing?
De viktigaste åtgärderna är multifaktorautentisering, regelbunden utbildning och simulerade phishing-tester, e-postfilter med skydd mot spoofing (SPF, DKIM, DMARC), tydliga rutiner för att rapportera misstänkta mejl och en kultur där det är okej att ifrågasätta även mejl som ser ut att komma från ledningen.
Hur skyddar man sig mot AI-genererat phishing och deepfakes?
AI-genererade attacker kan vara svåra att upptäcka. Språket kan vara välskrivet och röster eller video kan förfalskas. Verifiera därför känsliga begäranden via en separat kanal: ring tillbaka på ett känt nummer från er interna katalog. Använd inte kontaktuppgifterna i mejlet. Kräv en andra persons godkännande för känsliga betalningar och ändringar av kontouppgifter. Utbilda medarbetarna i rutinen och öva den även för begäranden via telefon eller videomöten.
