Security awareness – Nimblr Security Awareness

Falska mejl från Telia lockar med iPhone

Under tisdagen fick många svenskar ett falskt erbjudande från någon som utgav sig för att vara Telia. Meddelandet utlovade en gratis iPhone som tack för att man varit en lojal kund och att genom att klicka på en länk ska man kunna ange vart man vill ha sin gåva levererad. I själva verket gömmer sig skadlig kod bakom länken.

Telia Phishing Email

Det falska meddelandet är slarvigt ihopsatt och skrivet på relativt dålig svenska. Däremot har man ansträngt sig för att penetrera spamfilter och andra säkerhetsfunktioner, bland annat genom att gömma en stor mängd text som handlar om GDPR och cookie-hantering inne i meddelandet, troligtvis i syfte att förvirra spamfilrens granskning av innehållet.

Texten och länken till den skadlig sidan är också kodad för att undgå att upptäckas. De meddelanden som Nimblr har analyserat är skickade från ett legitimt e-postkonto i Apples e-posttjänst iCloud som kan antagas vara hackat.

Länken skickar användaren vidare i flera hopp för slutligen att landa på en Malaysisk server som tidigare använts för att sprida skadlig kod. Den skadliga koden ser ut att analysera användarens system och angriper bara om den anser sig ha en chans att lyckas infektera enheten, medans användare som t.ex. klickar på länken från en iPhone skickas vidare till Google.

De som ligger bakom meddelandet ser ut att ha lyckats väl med att ta sig förbi spamfilter och säkerhetsskydd, så sent som kl. 13 på tisdagen kunde meddelandet fortfarande passera Googles spamfilter utan att varken stoppas eller märkas upp som «osäkert». Man använder sig också av en välbeprövad metod för att få tveksamma mottagare att klicka på på länken – nämligen att varna för att erbjudandet är tidsbegränsat.

Alla delar i ett e-postmeddelande kan enkelt förfalskas. Den här gången används «bara» ett falskt avsändarnamn så bluffen kan relativt enkelt genomskådas genom att granska avsändarens adress som inte alls är Telia.

Utbilda mina användare hur då?

Med en strid ström av varningar om nya cyberhot, phishing-attacker och bedrägerier i tidningar och säkerhetsbloggar så följer också vanligtvis något klokt expertutlåtande. Ett antal råd till företag och organisationer om hur de ska skydda sig.

I nio av tio fall trycker man extra hårt på vikten av att utbilda sina användare om IT-säkerhet, men sällan presenteras något konkret förslag om hur det kan göras. Vi på Nimblr har länge funderat över frågan om hur man lyfter säkerhetsmedvetenheten hos vanliga datoranvändare.

Både dagspress och branschtidningar varnar oss ständigt för nya attacker, falsk e-post och andra e-bedrägerier. Få kollegor i IT-branschen blir särskilt förvånade över att höra hur företag drabbats av kostsamma IT-bedrägerier eller tidskrävande virus. Många av oss skulle kunna återge experternas råd och förslag i sömnen; uppdaterad mjukvara, fungerande antivirus och så viktigast av allt, att utbilda sina användare.

Redan för fem år sedan började jag och mina kollegor fundera över experternas ständiga förmaningar om vikten av att utbilda sina användare. Företaget som jag då arbetade för utvecklade och levererade tekniska säkerhetslösningar såsom antivirus, spam- och web-filter och vi kunde erbjuda våra kunder lösningar som hjälpte dem med mjukvaruuppdateringar och antivirus. Men det viktigaste rådet, det om att utbilda sina användare, hade vi inga lösningar för.

Att utbilda sina användare om IT-säkerhet kan låta som «mission impossible». Hur ska vanliga datoranvändare hitta tid och motivation att sätta sig in i ett, för gemene man, så ointressant ämne som IT-säkerhet? Även om vi, mot förmodan, lyckas samla alla våra användare för en dags utbildning är risken stor att kunskaperna snabbt blir inaktuella eller glöms bort. Dessutom hade det blivit mycket kostsamt att avsätta en heldag för samtliga anställda.

På Nimblr började vår idé om att utbilda användare att växa. Tillsammans med beteendevetare, e-learningexperter och psykolog utformade vi ett online-baserat koncept med fokus på att förändra användarens beteende och stärka säkerhetsmedvetandet.

Genom korta interaktiva mikroutbildningar, övningar och simuleringar kunde vi nå samtliga användare. Vi lånade hackarnas egna modell, som de använder för att motivera användare att klicka på skadliga länkar, och skapade ofarliga simuleringar som leder användarna till mikro-utbildningar i just det ögonblicket de gjort ett potentiellt skadligt val.

Resultatet talade för sig själv. Hos våra tidiga test-kunder kunde vi, efter bara några månader med Nimblr Security Awareness, notera en signifikant minskning av antalet klick på våra simulerade attacker. Genom att automatiskt använda information som våra kunder registrerat hos oss gör vi med tiden simuleringarna mer avancerade och svårare att genomskåda – precis som hackare gör i verkliga attacker. Användarna bygger successivt upp en medvetenhet och försiktighet och motiveras av sina egna misstag. Vi hade äntligen ett svar på frågan; hur utbildar man sina användare? Det gör man inte – användarna utbildar sig själva!

www.nimblr.no

Nimblr Security Awareness är en onlinebaserad utbildningsplattform designad för att stärka slutanvändarnas säkerhetsmedvetande och minimera risken för fullbordade angrepp. Utbildningsprogrammet bygger på en holistisk inlärningsmodell och uppdateras löpande med intelligent teknologi, smarta illustrationer, expertkompetens om IT-säkerhet och modern pedagogik.