Netöryggi og samskipti: Lyktar þú eins og phiskur? Ásta Guðrún Helgadóttir skrifar 9. september 2022 17:02 Stafræna umbreytingin er á fullri ferð sem þýðir að við þurfum að læra á nýjar hættur. Ein stærsta ógnin sem bæði einstaklingar og fyrirtæki standa frammi fyrir í dag eru svikapóstar (phishing). Þessir póstar eru ýmist til þess fallnir að reyna að svíkja peninga af viðkomandi, komast inn í kerfi til að taka þau yfir, eða nálgast viðkvæmar eða leynilegar upplýsingar. Við ættum öll að kannast við svikapóstana sem berast í kringum jólin. Póstana sem virðast koma frá DHL eða Póstinum og segja að við eigum von á pakka, það vanti bara smá uppá til að hægt sé að afhenda hann. Þessir póstar eru orðnir mjög sannfærandi og á það góðri íslensku að það er auðvelt að falla fyrir þeim. Svikapóstar eiga það flestir sameiginlegt að þykjast koma frá yfirvöldum, t.d. Lögreglunni eða Skattinum, eða öðrum traustum aðilum, t.d. póstþjónustum eða bönkum. Sumar af stærstu gagnalekum og lausnargjaldsárásunum (ransomware attack) sem orðið hafa bæði hérlendis og erlendis hafa einmitt átt uppruna sinn í því að fólk lét blekkjast af svikapósti, sem gerði tölvuþrjótum kleift að komast inn í kerfin og taka þau yfir.Nýlega fékk ég skilaboð frá Skattinum í gegnum tölvupóst þar sem var óskað var eftir því að ég staðfesti netfangið mitt og gæfi upp kennitöluna mína þar sem Ríkisskattstjóri væri með fyrirspurn til mín, án þess að útskýra efnistökin eitthvað frekar. Þessi tölvupóstur stuðaði mig verulega. Hann fylgdi í einu og öllu uppskriftinni að svikapósti: Ríkisstofnun sem sér um fjármál og geymir viðkvæm gögn um mig var að hafa samband við mig beint til að senda mér gögn og fá frá mér persónuupplýsingar.Hinsvegar, þá benti margt til þess að tölvupósturinn væri ekta: Starfsmaðurinn sem skrifaði undir póstinn er að vinna hjá Skattinum, allir hlekkir vísuðu rétt á Skattinn, símanúmerið var rétt, jafnvel póstþjónninn sem tölvupósturinn var sendur úr er skráður á Skattinn. Eftir að hafa hringt í Skattinn og rætt við starfsmanninn sem sendi mér póstinn fékk ég staðfestingu á því að þetta væri raunverulega póstur frá Skattinum. Svona póstar eru víst sendir út til þess að auka skilvirkni.Hér er, að mínum dómi, á ferðinni alvarlegur öryggisbrestur. Þegar fyrirtæki og stofnanir senda út pósta, þar með talið markpósta, sem fara í einu og öllu eftir uppskrift svikapósta eru þau um leið að gera viðtakendum ókleift að greina sundur raunverulega pósta og svikapósta. Ef fólk, jafnvel sérfræðingar í netöryggi, geta ekki með góðu móti greint hvort um er að ræða svikapóst eða ekki, þá eru samskiptin öryggisbrestur í sjálfu sér. Það eru nokkur atriði sem við verðum að geta treyst á þegar kemur að tölvupóstsamskiptum. Eitt af þeim er að stofnanir og fyrirtæki á borð við banka hefja aldrei samtal við þig að fyrra bragði til þess að falast eftir persónuupplýsingum.Hér er ekki um einangrað tilvik að ræða. Fjölmörg fyrirtæki og stofnanir hafa óafvitandi sent frá sér pósta eða smáskilaboð sem líta frekar út fyrir að vera svikapóstar en raunverulegir póstar. Stofnanir og fyrirtæki um allt land þurfa að taka sig á og fræða sitt starfsfólk um hvernig eigi að forðast það að líta út fyrir að vera svikari. Slíkt myndi hjálpa til við að tryggja netöryggi almennings sem og auka skilvirkni skilaboðanna. Mörg þessara fyrirtækja og stofnana geyma viðkvæmar persónuupplýsingar eða höndla með greiðsluupplýsingar og fjármagn og þurfa því að setja sér skýrar verklagsreglur hvað þetta varðar. Þar þarf öryggi notenda að vera haft að leiðarljósi auk þess sem reglurnar þurfa að byggja á heildstæðu öryggismati.Í grunninn er þetta sáraeinfalt: Ekki líta út fyrir að vera phiskur. Í því felst meðal annars að hefja ekki samskipti við skjólstæðinga eða viðskiptavini í gegnum tölvupóst og biðja um persónuupplýsingar á borð við kennitölur. Gerið allt sem í ykkar valdi stendur til koma í veg fyrir að póstar frá ykkur líti út fyrir að vera svikapóstar, því hvernig á fólk annars að geta gert greinarmun á því sem er ekta og því sem er fals?Æskilegast væri að fyrirtæki og stofnanir nýttu sér fordæmi stórra alþjóðlegra fyrirtækja, hvers viðskiptavinir hafa marg oft lent í svikapóstum, s.s. Amazon, LinkedIn o.fl. Þessi fyrirtæki beina fólki ávallt inn á “Mitt svæði” eða innra kerfi, jafnvel án þess að gefa upp hlekk á innskráningarsíðuna, þar sem hægt er að tengja við rafræn skilríki. Þetta þekkjum við öll frá t.d. Heilsuveru. Flestir íslenskir bankar gera líka vel hvað þetta varðar og hafa sett netöryggi á oddinn í samskiptum við viðskiptavini. Þrátt fyrir það fellur fólk samt fyrir svikaskilaboðum í nafni banka eins og gerðist nú í sumar. Fórnarlömbin væru eflaust mun fleiri ef samskiptaform bankanna væri með þeim hætti sem lýst er í dæminu að ofan.Þegar stofnanir sem við treystum óska eftir persónuupplýsingum að fyrra bragði í gegnum tölvupóst, og er fúlasta alvara með það, veikir það öryggiskeðjuna sem við sem samfélag verðum að leggja okkur fram við að styrkja. Við verðum öll að gera betur og vanda okkur meira þegar kemur að öruggum samskiptum á netinu. Höfundur er sérfræðingur hjá AwareGO í upplýsingaöryggisfræðslu og með meistaragráðu í félagsfræði internetsins frá Oxford háskóla. Viltu birta grein á Vísi? Sendu okkur póst. Senda grein Netöryggi Stafræn þróun Netglæpir Upplýsingatækni Ásta Guðrún Helgadóttir Mest lesið Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun Við fylgjum þér frá getnaði til grafar Benedikt S. Benediktsson Skoðun Ef þið bara hefðuð séð heiminn út frá mínum augum: Börn & ADHD Stefán Þorri Helgason Skoðun Konur á örorku Sigríður Ingibjörg Ingadóttir,Steinunn Bragadóttir Skoðun Börn í meðferð eiga rétt á fagfólki orð duga ekki lengur! Steindór Þórarinsson Skoðun Ekki sama hvaðan gott kemur Magnea Gná Jóhannsdóttir Skoðun Greindarskerðing eða ofurgáfur með gervigreind Björgmundur Örn Guðmundsson Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun 112. liðurinn í aðgerðaáætlun í menntamálum? Ingólfur Ásgeir Jóhannesson Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun Skoðun Skoðun Við fylgjum þér frá getnaði til grafar Benedikt S. Benediktsson skrifar Skoðun Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir skrifar Skoðun Ef þið bara hefðuð séð heiminn út frá mínum augum: Börn & ADHD Stefán Þorri Helgason skrifar Skoðun 112. liðurinn í aðgerðaáætlun í menntamálum? Ingólfur Ásgeir Jóhannesson skrifar Skoðun Konur á örorku Sigríður Ingibjörg Ingadóttir,Steinunn Bragadóttir skrifar Skoðun Drambið okkar Júlíus Valsson skrifar Skoðun Við vitum Guðrún Jónsdóttir skrifar Skoðun Ekki sama hvaðan gott kemur Magnea Gná Jóhannsdóttir skrifar Skoðun Börn í meðferð eiga rétt á fagfólki orð duga ekki lengur! Steindór Þórarinsson skrifar Skoðun Greindarskerðing eða ofurgáfur með gervigreind Björgmundur Örn Guðmundsson skrifar Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson skrifar Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson skrifar Skoðun Stöndum saman gegn fjölþáttaógnum Bryndís Haraldsdóttir skrifar Skoðun Hagræðing á kostnað fjölbreytni og gæðamenntunar Ida Marguerite Semey skrifar Skoðun Umbúðir en ekkert innihald í Hafnarfirði Einar Geir Þorsteinsson skrifar Skoðun Við viljum tala íslensku, en hvernig Ólafur Guðsteinn Kristjánsson skrifar Skoðun Mansalsmál á Íslandi Kristján Þórður Snæbjarnarson skrifar Skoðun Hættur heimsins virða engin landamæri Tótla I. Sæmundsdóttir skrifar Skoðun Tímamót í sjálfsvígsforvörnum Ingibjörg Isaksen skrifar Skoðun Yfirgangur, yfirlæti og endastöð Strætó Axel Hall skrifar Skoðun Hugsum fíknivanda upp á nýtt - Ný nálgun í meðhöndlun fíknivanda og áhættuhegðunar Svala Jóhannesdóttir,Lilja Sif Þorsteinsdóttir skrifar Skoðun Háskólinn á Bifröst – Öflugur og sjálfstæður fjarnámsskóli Sólveig Hallsteinsdóttir skrifar Skoðun Það eru fleiri fiskar í sjónum og fleiri sjónarmið í hafstjórn Guðbjörg Ásta Ólafsdóttir skrifar Skoðun Skapandi menntun skilar raunverulegum árangri Bryngeir Valdimarsson skrifar Skoðun Sex ára sáttmáli Davíð Þorláksson skrifar Skoðun Af hverju kynjafræði? Og hvaða greinar hafa fengið svipaðar mótbárur í gegnum tíðina? Guðrún Elísa Friðbjargardóttir Sævarsdóttir skrifar Skoðun Stjórnendur sem mega ekki stjórna Stefán Vagn Stefánsson skrifar Skoðun Stokkhólmseinkenni sem við ættum að forðast Aðalsteinn Júlíus Magnússon skrifar Skoðun Eflum iðnlöggjöfina og stöðvum brotin Hilmar Harðarson skrifar Skoðun Pjattkratar taka til Þorsteinn Sæmundsson skrifar Sjá meira
Stafræna umbreytingin er á fullri ferð sem þýðir að við þurfum að læra á nýjar hættur. Ein stærsta ógnin sem bæði einstaklingar og fyrirtæki standa frammi fyrir í dag eru svikapóstar (phishing). Þessir póstar eru ýmist til þess fallnir að reyna að svíkja peninga af viðkomandi, komast inn í kerfi til að taka þau yfir, eða nálgast viðkvæmar eða leynilegar upplýsingar. Við ættum öll að kannast við svikapóstana sem berast í kringum jólin. Póstana sem virðast koma frá DHL eða Póstinum og segja að við eigum von á pakka, það vanti bara smá uppá til að hægt sé að afhenda hann. Þessir póstar eru orðnir mjög sannfærandi og á það góðri íslensku að það er auðvelt að falla fyrir þeim. Svikapóstar eiga það flestir sameiginlegt að þykjast koma frá yfirvöldum, t.d. Lögreglunni eða Skattinum, eða öðrum traustum aðilum, t.d. póstþjónustum eða bönkum. Sumar af stærstu gagnalekum og lausnargjaldsárásunum (ransomware attack) sem orðið hafa bæði hérlendis og erlendis hafa einmitt átt uppruna sinn í því að fólk lét blekkjast af svikapósti, sem gerði tölvuþrjótum kleift að komast inn í kerfin og taka þau yfir.Nýlega fékk ég skilaboð frá Skattinum í gegnum tölvupóst þar sem var óskað var eftir því að ég staðfesti netfangið mitt og gæfi upp kennitöluna mína þar sem Ríkisskattstjóri væri með fyrirspurn til mín, án þess að útskýra efnistökin eitthvað frekar. Þessi tölvupóstur stuðaði mig verulega. Hann fylgdi í einu og öllu uppskriftinni að svikapósti: Ríkisstofnun sem sér um fjármál og geymir viðkvæm gögn um mig var að hafa samband við mig beint til að senda mér gögn og fá frá mér persónuupplýsingar.Hinsvegar, þá benti margt til þess að tölvupósturinn væri ekta: Starfsmaðurinn sem skrifaði undir póstinn er að vinna hjá Skattinum, allir hlekkir vísuðu rétt á Skattinn, símanúmerið var rétt, jafnvel póstþjónninn sem tölvupósturinn var sendur úr er skráður á Skattinn. Eftir að hafa hringt í Skattinn og rætt við starfsmanninn sem sendi mér póstinn fékk ég staðfestingu á því að þetta væri raunverulega póstur frá Skattinum. Svona póstar eru víst sendir út til þess að auka skilvirkni.Hér er, að mínum dómi, á ferðinni alvarlegur öryggisbrestur. Þegar fyrirtæki og stofnanir senda út pósta, þar með talið markpósta, sem fara í einu og öllu eftir uppskrift svikapósta eru þau um leið að gera viðtakendum ókleift að greina sundur raunverulega pósta og svikapósta. Ef fólk, jafnvel sérfræðingar í netöryggi, geta ekki með góðu móti greint hvort um er að ræða svikapóst eða ekki, þá eru samskiptin öryggisbrestur í sjálfu sér. Það eru nokkur atriði sem við verðum að geta treyst á þegar kemur að tölvupóstsamskiptum. Eitt af þeim er að stofnanir og fyrirtæki á borð við banka hefja aldrei samtal við þig að fyrra bragði til þess að falast eftir persónuupplýsingum.Hér er ekki um einangrað tilvik að ræða. Fjölmörg fyrirtæki og stofnanir hafa óafvitandi sent frá sér pósta eða smáskilaboð sem líta frekar út fyrir að vera svikapóstar en raunverulegir póstar. Stofnanir og fyrirtæki um allt land þurfa að taka sig á og fræða sitt starfsfólk um hvernig eigi að forðast það að líta út fyrir að vera svikari. Slíkt myndi hjálpa til við að tryggja netöryggi almennings sem og auka skilvirkni skilaboðanna. Mörg þessara fyrirtækja og stofnana geyma viðkvæmar persónuupplýsingar eða höndla með greiðsluupplýsingar og fjármagn og þurfa því að setja sér skýrar verklagsreglur hvað þetta varðar. Þar þarf öryggi notenda að vera haft að leiðarljósi auk þess sem reglurnar þurfa að byggja á heildstæðu öryggismati.Í grunninn er þetta sáraeinfalt: Ekki líta út fyrir að vera phiskur. Í því felst meðal annars að hefja ekki samskipti við skjólstæðinga eða viðskiptavini í gegnum tölvupóst og biðja um persónuupplýsingar á borð við kennitölur. Gerið allt sem í ykkar valdi stendur til koma í veg fyrir að póstar frá ykkur líti út fyrir að vera svikapóstar, því hvernig á fólk annars að geta gert greinarmun á því sem er ekta og því sem er fals?Æskilegast væri að fyrirtæki og stofnanir nýttu sér fordæmi stórra alþjóðlegra fyrirtækja, hvers viðskiptavinir hafa marg oft lent í svikapóstum, s.s. Amazon, LinkedIn o.fl. Þessi fyrirtæki beina fólki ávallt inn á “Mitt svæði” eða innra kerfi, jafnvel án þess að gefa upp hlekk á innskráningarsíðuna, þar sem hægt er að tengja við rafræn skilríki. Þetta þekkjum við öll frá t.d. Heilsuveru. Flestir íslenskir bankar gera líka vel hvað þetta varðar og hafa sett netöryggi á oddinn í samskiptum við viðskiptavini. Þrátt fyrir það fellur fólk samt fyrir svikaskilaboðum í nafni banka eins og gerðist nú í sumar. Fórnarlömbin væru eflaust mun fleiri ef samskiptaform bankanna væri með þeim hætti sem lýst er í dæminu að ofan.Þegar stofnanir sem við treystum óska eftir persónuupplýsingum að fyrra bragði í gegnum tölvupóst, og er fúlasta alvara með það, veikir það öryggiskeðjuna sem við sem samfélag verðum að leggja okkur fram við að styrkja. Við verðum öll að gera betur og vanda okkur meira þegar kemur að öruggum samskiptum á netinu. Höfundur er sérfræðingur hjá AwareGO í upplýsingaöryggisfræðslu og með meistaragráðu í félagsfræði internetsins frá Oxford háskóla.
Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun
Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun
Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun
Skoðun Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir skrifar
Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson skrifar
Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson skrifar
Skoðun Hugsum fíknivanda upp á nýtt - Ný nálgun í meðhöndlun fíknivanda og áhættuhegðunar Svala Jóhannesdóttir,Lilja Sif Þorsteinsdóttir skrifar
Skoðun Háskólinn á Bifröst – Öflugur og sjálfstæður fjarnámsskóli Sólveig Hallsteinsdóttir skrifar
Skoðun Það eru fleiri fiskar í sjónum og fleiri sjónarmið í hafstjórn Guðbjörg Ásta Ólafsdóttir skrifar
Skoðun Af hverju kynjafræði? Og hvaða greinar hafa fengið svipaðar mótbárur í gegnum tíðina? Guðrún Elísa Friðbjargardóttir Sævarsdóttir skrifar
Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun
Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun
Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun