Falske fildelinger og digitale signaturer: Den snedige B2B-phishingfælde

I det moderne digitale arbejdsmiljø er det blevet en ren rygmarvsreaktion at klikke på en notifikation fra SharePoint, åbne et link fra OneDrive eller godkende en digital signatur via DocuSign eller Penneo. Medarbejdere i både SMV'er og større virksomheder håndterer snesevis af disse henvendelser hver eneste uge uden tøven. Cyberkriminelle har aflæst denne adfærd til punkt og prikke: De har forladt klodsede fupmails til fordel for millimeterpræcise kloner af virksomhedens daglige samarbejdsrutiner.

For CISO'er, IT-sikkerhedsansvarlige og direktionen udgør denne udvikling en kritisk trussel. Grænsen mellem en legitim arbejdsmail og en teknisk sofistikeret fælde er blevet udvisket. Ved at efterligne velkendte samarbejdsplatforme er angriberne ikke længere blot ude efter simple adgangskoder: De omgår totrinsbekræftelse (MFA) ved at stjæle aktive sessionstokens direkte fra medarbejdernes browsere.

Hvorfor narrer falske fildelingsmails selv erfarne medarbejdere?#

Kort sagt: Falske fildelinger virker, fordi de udnytter medarbejdernes daglige arbejdsvaner og skaber professionel hastefølelse. Ved at benytte kompromitterede cloudinfrastrukturer til at levere indholdet, undgår angriberne mistanke hos brugerne og omgår ofte organisationens traditionelle mailfiltre.

Succesen bag disse angreb bygger på kontekstuel social engineering. De cyberkriminelle opfinder sjældent eksotiske scenarier, men lægger sig i stedet direkte i forlængelse af organisationens faktiske arbejdsgange.

• Perfekt visuel efterligning: Skabeloner, skrifttyper, officielle firmalogoer og juridiske ansvarsfraskrivelser fra store cloudleverandører kopieres ned til mindste pixel. En travl medarbejder genkender de vante rammer og sænker automatisk paraderne.
• Omgåelse af mailfiltre (Secure Email Gateways): Angriberne udnytter ofte reelle, gratis cloudtjenester eller kompromitterede M365-konti til at oprette legitime mellemdokumenter (f.eks. en legitim OneNote-side eller en harmløs PDF), der indeholder det ondsindede link. Sikkerhedsfiltrene ser kun en henvisning til et betroet domæne og tillader mailen at passere direkte ind i indbakken.
• Forretningsmæssig hastesag: En udestående faktura, et fortrolighedsdokument før et strategisk partnerskab eller et tillæg til en ansættelseskontrakt: Sådanne påskud presser medarbejderen til at klikke med det samme for ikke at forsinke forretningen.

AiTM-angreb og sessionskapring: Sådan omgås multifaktorgodkendelse (MFA)#

Kort sagt: Adversary-in-the-Middle (AiTM) phishing opfanger loginoplysninger og sessionstokens i realtid ved at placere sig mellem brugeren og den reelle cloudtjeneste. Selvom medarbejderen godkender sin totrinsbekræftelse, kaprer angriberen sessionscookien og opnår direkte adgang til kontoen.

I mange år har udrulningen af multifaktorgodkendelse (MFA) været betragtet som det ultimative bolværk mod identitetstyveri. Over for moderne AiTM-arkitekturer slår standard MFA (såsom SMS eller simple push-beskeder) dog ikke til, medmindre løsningen er phishing-resistent.

Mekanismen bag en ondsindet reverse proxy

Når en medarbejder klikker på et link til en forfalsket digital signatur eller et delt dokument, lander vedkommende sjældent på en statisk phishingside. I stedet sendes trafikken gennem en reverse proxy, som angriberen kontrollerer:

1. Fup-siden videresender brugerens anmodning direkte til den ægte tjenesteudbyders servere (eksempelvis Microsoft 365).

2. Brugeren indtaster sit brugernavn og sin adgangskode i det spejlede interface.

3. Den officielle server afsender en MFA-udfordring (en push-notifikation eller en kode), som medarbejderen godkender i god tro.

4. Den legitime server godkender godkendelsen og udsteder en gyldig sessionscookie (session token).

5. Angriberens proxyserver snupper denne cookie i forbifarten, hvorefter brugeren typisk videresendes til et vilkårligt dokument for at skjule angrebet.

Udstyret med dette sessionstoken kan angriberen logge direkte ind i virksomhedens miljø uden nogensinde at skulle taste koden igen eller trigge en ny MFA-notifikation.

Konkrete vaner til at gennemskue angrebene i det daglige#

Tekniske værn kan ikke stå alene, når angrebet rammer medarbejderens automatiske rutiner. En række faste vaner kan dog afværge langt de fleste forsøg på kompromittering:

• Tjek den endelige URL i adresselinjen: Selvom mailen ser autentisk ud, afslører domænenavnet på selve loginside ofte svindlen. Et ukendt topdomæne eller et mistænkeligt subdomæne indikerer en ondsindet proxy.
• Verificér uden om den digitale kanal (Out-of-band): Hvis en ekstern samarbejdspartner pludselig sender et uventet dokument til hastig underskrift, bør medarbejderen ringe op eller skrive via en kendt, separat kanal for at få bekræftet ægtheden.
• Implementér FIDO2-sikkerhedsnøgler: Anvendelse af fysiske hardwarenøgler baseret på FIDO2-standarden yder kryptografisk beskyttelse mod AiTM-angreb, da nøglen binder godkendelsen specifikt til det korrekte webdomæne.
• Gør det enkelt og risikofrit at rapportere mistanke: Når medarbejdere med et enkelt klik kan anmelde en mistænkelig mail uden frygt for bebrejdelser, kan jeres IT-sikkerhedsafdeling eller SOC nå at reagere, før hele jeres tenant bliver kompromitteret. Dette understøtter også kravene til hændelseshåndtering under NIS 2 og anbefalingerne fra Center for Cybersikkerhed (CFCS).

BRAIN SECURITY I PRAKSIS · Super Phisher

Hvordan træner I organisationen mod realistiske samarbejdsscenarier?#

Teoretiske slides beskytter ikke en travl kollega, der modtager en overbevisende mail midt i en hektisk arbejdsdag. Skal der opbygges robuste reflekser, må medarbejderne møde scenarier, der spejler deres faktiske hverdag.

Det er netop kernen i Super Phisher, vores platform til simulerede phishingkampagner. Løsningen udrulles i tæt samarbejde med teamet hos Brain Security og gør det muligt at træne medarbejderne i de nyeste trusselsbilleder: Falske fildelinger, hastende underskriftsanmodninger eller advarsler om cloudsynkronisering. Målet er aldrig at udskamme medarbejderen, men at vende en naturlig sårbarhed til en lærerig, tillidsfuld erfaring.

Når cyberkriminelle målretter deres angreb mod hverdagens faste rutiner, skal organisationen have de rette værktøjer til at gennemskue bedraget. Tag en dialog med vores specialister for at sammensætte et træningsforløb, der matcher jeres cloudmiljø, trusselsbillede og compliance-krav.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider (Phishing & Social Engineering) : Lær hvordan AiTM-phishing omgår totrinsbekræftelse via session cookie hijacking. Få tekniske råd til CISO og IT-sikkerhedsansvarlige.
• Social engineering pa professionelle netvaerk: Nar et falsk jobtilbud skjuler et cyberangreb (Phishing & Social Engineering) : Opdag hvordan trusselsaktorer udnytter professionelle netvaerk og falske jobtilbud til at ramme medarbejdere og omga perimeterforsvaret.
• Adgangskoder, password managers og Passkeys: Skab sikker adfærd uden friktion (Phishing & Social Engineering) : Hvorfor droppe tvunget password-skift hver 90. dag? Se anbefalinger fra CFCS og NIST om passphrases og Passkeys tilpasset jeres IT-sikkerhed.
• Advokatfirmaer og konsulenthuse: Beskyt tavshedspligten mod målrettede cyberangreb (Industries & Roles) : Opdag hvorfor advokat- og konsulentbranchen er mål for cyberkriminelle, og hvordan I ruster partnerne mod avanceret spear-phishing.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)