Hvorfor HR er cyberkriminelles foretrukne phishingmaal (og hvordan I handler)

I de fleste afdelinger i en virksomhed er den grundlaeggende sikkerhedsregel universel: aabn aldrig en uventet vedhaeftet fil fra en ukendt afsender. Men for en HR-konsulent eller rekrutteringsansvarlig er denne instruks ganske umulig at overholde i hverdagen. Selve kerneopgaven bestaar i at raekke ud til eksterne parter, modtage uopfordrede ansoegninger og loebende screene profiler fra ukendte personer.

Dette operationelle paradoks goer HR-teams til primaere maal for cyberkriminelle. Trusselsaktoerer udnytter bevidst rekrutterernes tidspres, deres naturlige nysgerrighed og frygten for at overse den perfekte kandidat til at infiltrere virksomhedens netvaerk. For en CISO eller IT-sikkerhedsansvarlig kraever sikringen af denne indgangsvinkel en balanceret teknisk og menneskelig indsats, saa rekrutteringsflowet ikke bremses.

Hvordan rammer cyberkriminelle specifikt rekrutterere og HR-teams?#

Kort fortalt: Cyberkriminelle udnytter HR-medarbejderes pligt til at aabne henvendelser ved at skjule ransomware eller stealers i vellignende ansoegninger. De bruger aabne stillingsopslag paa LinkedIn eller Jobindex til at fremsende manipulerede CV'er, skjulte makroer eller links til falske portefoeljer.

Angrebene fremstaar sjaeldent som klodsede e-mails fyldt med aabenlyse sprogfejl. I dag udsaettes HR-funktioner for maelrettet spear-phishing af hoej kvalitet. Angriberen overvaager jeres aktive stillingsopslag, optraeder som en motiveret kandidat og personaliserer henvendelsen med den nojagtige stillingsbetegnelse og relevante referencer.

De hyppigste angrebsvektorer udnytter velkendte arbejdsvaner:

• PDF-filer med dobbelt filendelse: Filen fremstaar som et harmlost dokument med navnet CV_Senior_Udvikler.pdf.exe eller en genvejsfil (.lnk). I et standard Windows-miljoe er filendelser ofte skjult, hvilket oeger risikoen for et uovervejet dobbeltklik.
• Office-dokumenter med makroer: Et Word- eller Excel-ark, der udgiver sig for at vaere en loenforventningsmatrix eller en kompetenceprofil. Dokumentet opfordrer brugeren til at klikke paa "Aktiver indhold" for at vise teksten, hvilket i virkeligheden eksekverer et ondsindet script.
• Portefoeljer hostet i skyen: Ved kreative eller tekniske stillinger deler angribere links til platforme som Behance, Notion eller Canva. Siderne opfordrer til at downloade en password-beskyttet .zip-fil for at omgaa mailfilterets automatiske scanning.
• Administrative afledningsmanoevrer: Angribere retter ogsaa skytset mod loenadministrationen ved at udgive sig for at vaere offentlige myndigheder eller en medarbejder, der anmoder om akut aendring af NemKonto eller bankoplysninger.

Hvorfor er tekniske mailfiltre utilstraekkelige mod HR-phishing og skadelige CV'er?#

Kort fortalt: Mailgateways overses ofte, fordi beskederne sendes fra legitime gratis mailtjenester med korrekte SPF- og DKIM-signaturer. Adgangskodebeskyttede zip-arkiver og links til godkendte cloud-tjenester forhindrer traditionelle sandkasser i at analysere indholdet i tide.

De cyberkriminelle kender mekanismerne i moderne Secure Email Gateways (SEG). De ved, at rekrutterere noedvendigvis modtager henvendelser fra offentlige domæner som Gmail, Outlook eller ProtonMail. Disse beskeder overholder ofte gaengse autentifikationsstandarder (SPF, DKIM og DMARC), hvorfor automatiske advarsler om spoofing udebliver.

Metoden med det beskyttede zip-arkiv

Ved at oplyse adgangskoden direkte i mailen (eksempelvis: "Adgangskoden til min portfolio er kandidat2024") sikrer angriberen, at mailgatewayens sandbox ikke kan udpakke og analysere filen automatisk. HR-medarbejderen indtaster mekanisk koden for at se materialet, hvorved malwaren afvikles direkte paa endepunktet.

Misbrug af tillid og hjaelpsomhed

HR-fagfolk er traenet i dialog, empati og imodekommenhed. At afvise et format eller ignorere en ansoeger strider mod deres professionelle DNA. Angribere udnytter dette ved at skabe tidspres eller noedsituationer (en hasteansoegning eller manglende dokumentation til et uddannelsesforloeb), hvilket faar medarbejderen til at tilsidesaette normale advarselssignaler. Samtidig skal virksomheden i henhold til Datatilsynets retningslinjer og GDPR passe ekstra godt paa de personoplysninger, som HR dagligt haandterer.

Hvordan etableres et staerkt forsvarsvaerk for HR uden at hindre rekrutteringen?#

For at minimere risikoen uden at skabe flaskehalse i rekrutteringen boer organisationer kombinere teknisk haerdning med realistisk, operationel traening. Dette understoetter ogsaa de overordnede krav i NIS 2-loven samt principperne i D-mærket for ansvarlig dataanvendelse.

Noedvendige tekniske tiltag

• Synliggoer altid filendelser: Konfigurer arbejdsstationer via GPO eller Intune, saa alle kendte filendelser altid vises. Det afslorer hurtigt manipulationer.
• Bloker eksterne makroer: Deaktiver som standard koersel af makroer i Office-pakken for alle filer hentet fra internettet.
• Isoler aabning af vedhaeftede filer: Implementer Remote Browser Isolation (RBI) eller gennemtving brug af et Applicant Tracking System (ATS), der automatisk konverterer indkommende dokumenter til harmløse web-visninger uden eksekverbar kode.

Traen medarbejderne under realistiske forhold med Brain Security

Passive e-learning-videoer eller aarlige politikker aendrer sjaeldent adfaerd, naar arbejdsdagen er travl. For at opbygge modstandskraft skal traeningen afspejle den virkelighed, rekruttererne arbejder i.

Her spiller Super Phisher en central rolle. Loesningen er vores avancerede simulator til phishing-kampagner, der implementeres i samarbejde med Brain Securitys raadgivere. Med Super Phisher kan IT-sikkerhedsansvarlige designe maelrettede ovelser tilpasset HR-konteksten: realistiske ansoegninger, manipulerede CV-formater eller falske links til samtalerum. Formaalet er aldrig at udskamme medarbejdere, men at opbygge en sund skepsis og give dem trygge rammer til at identificere avancerede angreb.

BRAIN SECURITY I PRAKSIS · Super Phisher

Goer det mest udsatte led til jeres staerkeste varslingspost#

HR-afdelingen udgoer ofte organisationens primaere kontaktpunkt mod omverdenen. De boer derfor betragtes som en central del af forsvarslinjen. Naar rekrutterere forstaar de metoder, der udnytter deres daglige arbejdsgange, transformerer de sig fra et potentielt saarbart punkt til en aktiv sikkerhedssensor, der hurtigt kan identificere og rapportere maelrettede kampagner, foer de spreder sig til resten af infrastrukturen.

Vil I afdaekke, hvor modstandsdygtige jeres medarbejdere er over for sofistikeret social engineering? Kontakt os for en dialog om, hvordan vi opbygger et traeningsprogram, der passer til jeres risikobillede.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Intern phishing: Hvad gør man, hvis en phishingmail kommer fra en kollegas konto? (Phishing & Social Engineering) : Modtaget en mistænkelig mail fra en intern kollegas rigtige adresse? Lær de afgørende forholdsregler ved kontoovertagelse og intern phishing her.
• Hjemmearbejde, tog og hotel: 6 cybersikkerhedsfejl på farten der truer virksomheden (Phishing & Social Engineering) : Styrk jeres mobile cybersikkerhed mod offentligt wi-fi og shoulder surfing. Lær hvordan VPN og gode digitale vaner beskytter jeres medarbejdere.
• Hvor ofte bør I køre phishing-simuleringer: Den rette balance for jeres organisation (Phishing & Social Engineering) : Hvor ofte skal I teste jeres medarbejdere mod phishing? Find den rette kadence, der fastholder årvågenheden uden at overbelaste organisationen.
• Advokatfirmaer og konsulenthuse: Beskyt tavshedspligten mod målrettede cyberangreb (Industries & Roles) : Opdag hvorfor advokat- og konsulentbranchen er mål for cyberkriminelle, og hvordan I ruster partnerne mod avanceret spear-phishing.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)