Typosquatting og homoglyf-angreb: Lær organisationen at afkode en URL

Scenariet udspiller sig jævnligt i danske SOC-funktioner og IT-afdelinger. En medarbejder modtager en hastebesked, der tilsyneladende stammer fra intern IT, klikker på linket, indtaster sine legitimationsoplysninger og godkender MFA-prompten. Visuelt lignede siden virksomhedens Microsoft 365-login til forveksling. I virkeligheden indeholdt webadressen en mikroskopisk ændring, som ved første øjekast var umulig at fange, og en almindelig arbejdsrutine blev lynhurtigt forvandlet til et kritisk brud på infrastrukturen.

For CISO'er og IT-sikkerhedsansvarlige i både SMV'er og større virksomheder rækker teknisk filtrering alene ikke længere. Selvom mailfiltre blokerer en massiv mængde generiske trusler i overensstemmelse med anbefalinger fra CFCS (Center for Cybersikkerhed), investerer trusselsaktører målrettet i manipulerede domænenavne, der er skabt specifikt til at snyde det menneskelige øje. Skal organisationen modstå dette pres, kræver det, at hver enkelt medarbejder lærer at dissekere URL-strukturen metodisk, før der gives tillid.

Hvordan afslører man et manipuleret domænenavn ved typosquatting eller homoglyf-angreb?#

Kort sagt: For at opdage et forfalsket domæne skal du aflæse rod-domænet umiddelbart før den første skråstreg ("/"), være opmærksom på sammensmeltede bogstaver som "rn" i stedet for "m", og spotte fremmede tegn via automatisk Punycode-konvertering ("xn--") i browserens adresselinje.

Domænesvindel udnytter hjernens naturlige mønstergenkendelse. Når vi læser velkendte ord under tidspres, afkoder vi sjældent bogstaverne enkeltvis, men opfatter ordet som et samlet billede. Kriminelle udnytter denne kognitive genvej via to primære metoder:

• Klassisk typosquatting: Metoden baserer sig på stavefejl, udeladte bogstaver, ombyttede konsonanter eller diskrete tilføjelser. En udbredt variant er visuel substitution: at sætte et "r" og et "n" tæt sammen, så det danner et "m" (eksempelvis "rnicrosoft.com" i stedet for "microsoft.com"). På en bærbar PC eller en smartphone fremstår forskellen næsten usynlig.
• Homoglyf-angreb (IDN homograph attacks): Her benytter angriberen internationale tegnsæt til at erstatte latinske bogstaver med visuelt identiske tegn fra eksempelvis det kyrilliske eller græske alfabet. Det kyrilliske tegn "а" (U+0430) ligner det latinske "a" (U+0061) på en prik, men teknisk leder det til en helt anden webserver.
• Punycode som sladrehank: Når et domæne indeholder ikke-latinske tegn, oversætter moderne browsere ofte adressen til Punycode, hvilket altid indledes med præfikset "xn--". Hvis medarbejderne lærer at holde øje med denne streng i adressefeltet, neutraliseres homoglyf-truslen effektivt.

Hvorfor falder medarbejdere så let i subdomæne-fælden?#

Kort sagt: Angribere kaster et slør over den reelle adresse ved at opbygge en kæde af troværdige subdomæner i starten af URL'en. Modtrækket er at aflæse adressen baglæns fra den første skråstreg mod venstre for at finde det reelle rod-domæne.

En anden udbredt manipulation er strategisk brug af subdomæner. Angriberen registrerer et anonymt domæne, for eksempel "sikker-server.dk", og opretter derefter en række subdomæner, der efterligner kendte leverandører eller interne systemer.

Resultatet i browserens felt kan se sådan ud: https://login.microsoft.com.sikker-server.dk/auth.

Et utrænet øje læser fra venstre mod højre og stopper ved "login.microsoft.com", hvorefter siden opfattes som legitim. For at gennemskue denne finte bør hele organisationen kende tre grundlæggende trin:

• Find den første enkeltstående skråstreg: Find det første "/" efter protokollen "https://".
• Læs mod venstre: Det reelle domæne er udelukkende ordet og top-level-domænet (som .dk eller .com), der står umiddelbart før denne skråstreg.
• Afgør ejerskabet: Alt foran dette rod-domæne er underdomæner styret af ejeren af rod-domænet. I eksemplet ovenfor tilhører siden "sikker-server.dk" og har intet med den officielle softwareleverandør at gøre.

Hvilke operationelle vaner bør forankres i det daglige arbejde?#

Teoretiske retningslinjer er sjældent nok. Digital årvågenhed skal gøres til en fast vane, der matcher kravene i NIS 2, D-mærket og ISO 27001-rammeværker.

Systematisk brug af virksomhedens bogmærker

Den mest driftssikre beskyttelse mod typosquatting er konsekvent at undgå at klikke på links i uventede mails til forretningskritiske platforme. Opbyg en kultur, hvor medarbejderne benytter godkendte browser-bogmærker til adgang til ERP, HR-systemer, netbank eller administrative cloud-miljøer, frem for at navigere via links i indbakken.

Læring gennem korte, engagerende udfordringer

For at gøre principperne intuitive uden at lægge unødigt beslag på medarbejdernes tid, er interaktiv træning et stærkt redskab. Korte, praktiske øvelser i at afkode URL'er under tidspres styrker opmærksomheden markant.

Dette understøttes direkte af Cyber Cup, som er en teambaseret cybersikkerhedskonkurrence i arkadestil. Med hurtige runder på tre minutter og en live-rangliste kan organisationen dyste i at spotte falske links og manipulerede URL-adresser (tilgængelig som selvbetjening med 5 gratis adgange uden kreditkort). Det opbygger en skarpere risikoforståelse gennem sund intern konkurrence.

BRAIN SECURITY I PRAKSIS · Cyber Cup

Gør passiv tvivl til et aktivt forsvar#

Typosquatting og homoglyf-angreb vil fortsat være en trussel for danske organisationer, fordi metoderne er billige at eksekvere i forhold til det potentielle udbytte for angriberen. Men i det øjeblik medarbejderne automatisk analyserer en webadresse korrekt, falder angribernes succesrate dramatisk.

Kombinerer I stærke tekniske barrierer, såsom phishing-resistent FIDO2-godkendelse, med involverende træningsinitiativer, skaber I et menneskeligt forsvar, der komplementerer kravene fra Finanstilsynet, Datatilsynet og CFCS. Vil I løfte sikkerhedskulturen med formater, der engagerer hele organisationen? Tag en dialog med os om jeres behov og oplev vores pædagogiske tilgange i praksis.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Falske fildelinger og digitale signaturer: Den snedige B2B-phishingfælde (Phishing & Social Engineering) : Lær hvordan jeres virksomhed modstår phishing med falske fildelinger, AiTM-angreb og sessionskapring trods MFA. Beskyt jeres cloudmiljø effektivt.
• AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider (Phishing & Social Engineering) : Lær hvordan AiTM-phishing omgår totrinsbekræftelse via session cookie hijacking. Få tekniske råd til CISO og IT-sikkerhedsansvarlige.
• Rapporteringsrate for phishing: Hvorfor CISOen skal droppe klikraten (Phishing & Social Engineering) : Opdag hvorfor rapporteringsraten overgår klikraten, når CISOen skal reducere risikoeksponeringen og styrke IT-sikkerheden i organisationen.
• Digital hygiejne i virksomheden: De enkle vaner der blokerer 80 % af angrebene (Cyber Crisis & Ransomware) : Styrk jeres digitale hygiejne og stop opportunistiske cyberangreb med enkle daglige vaner. Læs rådene til CISO og direktionen her.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cyber Cup : Intern cybersikkerhedsturnering: korte holdkampe, der skaber stærke sikkerhedsvaner på tværs af virksomheden.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)