Vishing: Sådan manipulerer cyberkriminelle jeres medarbejdere og IT-servicedesk over telefonen

Scenariet udspiller sig jævnligt i både danske SMV'er og større koncerner: IT-supporteren tager telefonen. I den anden ende lyder en stresset stemme, som udgiver sig for at være en direktør eller salgschef, der står strandet i Kastrup Lufthavn før en afgørende kontraktforhandling. VPN-forbindelsen er nede, MFA-appen (flerfaktorbekræftelse) fejler, og vedkommende kræver en øjeblikkelig nulstilling af adgangskoden for ikke at tabe en millionordre. Konfronteret med autoritetstro, tidspres og et naturligt ønske om at yde god service, vælger teknikeren ofte at omgå de faste sikkerhedsprocedurer.

Vishing (en sammentrækning af "voice" og "phishing") er i dag en af de mest effektive angrebsvektorer mod danske virksomheders IT-infrastruktur. Mens avancerede mailfiltre opfanger størstedelen af traditionelle phishing-mails, rammer et målrettet opkald direkte ned i det mest uforudsigelige element: den menneskelige psykologi. Når trusselsaktører kombinerer psykologisk manipulation med kunstig intelligens og syntetiske stemmer, bliver vishing-forsvar en presserende prioritet for enhver CISO, IT-sikkerhedschef og direktion.

Hvilke manipulationsteknikker anvendes under et vishing-angreb?#

Kort sagt: Cyberkriminelle kombinerer grundig OSINT-research, identitetstyveri mod interne ledere, kunstigt tidspres og venlig manipulation for at få medarbejdere eller IT-supporten til at omgå procedurer, godkende MFA-notifikationer eller nulstille adgangsrettigheder.

Når professionelle hackere ringer op, er intet overladt til tilfældighederne. Vishing bygger på en velafprøvet social engineering-metodik, der udnytter flere psykologiske greb:

• Forudgående OSINT (Open Source Intelligence): Angriberen scanner LinkedIn, CVR-registret, sociale medier og virksomhedens website. De kortlægger organisationsdiagrammet, ledernavne, specifik intern terminologi og rejseaktivitet blandt nøglepersoner.
• Troværdigt påskud (Pretexting): Svindleren indtager en rolle med høj troværdighed. Det kan være en nyansat på sin første arbejdsdag, en ekstern revisor godkendt af direktionen eller en IT-tekniker, der foregiver at udføre akut vedligeholdelse.
• Kognitiv overbelastning gennem tidspres: Ved at skabe en kunstig krisesituation (en truende produktionsstandsning, tab af en stor kunde eller vrede fra topledelsen) presses medarbejderen til at kortslutte sin sunde skepsis og springe valideringstrin over.
• Omvendt hjælperolle: Angriberen tilbyder ofte at "hjælpe" medarbejderen med at løse et IT-problem, som angriberen i virkeligheden selv har opdigtet, hvilket forvandler det fjendtlige angreb til en oplevelse af venlig support.

Hvorfor er IT-servicedesk og MFA primære mål for angriberne?#

Kort sagt: IT-servicedesk råder over omfattende administratorrettigheder og har en stærk servicekultur. Angribere udnytter denne hjælpsomhed til at omgå MFA via notifikationstræthed (MFA fatigue) eller ved at få udstedt nye adgangs-tokens direkte.

Servicedesken er en attraktiv indgangsport for kriminelle netværk. IT-supportere måles ofte på løsningshastighed og brugertilfredshed. Hvis en overbevisende person ringer og hævder at have mistet sin arbejdstelefon på en forretningsrejse, er fristelsen stor til hurtigt at registrere en ny godkendelsesenhed uden at kræve fysisk fremmøde, video-verifikation eller et kontrolleret modopkald.

Manipulation af MFA via telefonen

Flerfaktorbekræftelse (MFA) er en grundpille i moderne IT-sikkerhed, som også fremhæves af Center for Cybersikkerhed (CFCS), men den er sårbar, hvis det menneskelige led manipuleres. Angribere benytter ofte telefonopkald koordineret med "MFA fatigue" (gentagne push-beskeder). Mens offerets telefon kimer med godkendelsesanmodninger, ringer angriberen op og udgiver sig for at være virksomhedens IT-sikkerhedsafdeling: "Vi ser mistænkelig aktivitet på din konto. Godkend venligst den næste besked på din skærm, så vi kan blokere angrebet." Brugeren trykker godkend, og hackerne har fuld adgang.

Hvordan forstærker kunstig intelligens truslen fra vishing?#

Fremkomsten af generative AI-værktøjer har ændret trusselsbilledet markant. Cyberkriminelle behøver blot få sekunders lydoptagelse, hentet fra en video på LinkedIn, et webinar eller et interview i medierne, for at klone en dansk direktørs stemme med skræmmende præcision, inklusive tonefald, pauser og dialektale træk.

Over for disse hyperrealistiske angreb slår traditionelle retningslinjer og PowerPoint-præsentationer sjældent til. For at give organisationen en reel forståelse af, hvor let digital identitet kan manipuleres i dag, har Brain Security udviklet Deepfake Studio, et interaktivt læringsstudie, der kan prøves gratis online uden oprettelse af konto. Når medarbejdere selv ser og oplever teknologien i praksis, opbygger de en sund, varig skepsis og stoler ikke længere blindt på, at en velkendt stemme i telefonen altid er ægte.

BRAIN SECURITY I PRAKSIS · Deepfake Studio

Hvilke menneskelige forsvarsmekanismer skal virksomheden etablere?#

Teknologiske filtre kan ikke afværge manipulation, der foregår direkte i en samtale. En robust modstandskraft, der lever op til principperne i NIS 2-loven og standarder som ISO 27001 samt D-mærket, kræver faste arbejdsgange og en stærk sikkerhedskultur:

• Obligatorisk modopkald (Out-of-Band validering): Ved alle kritiske henvendelser (nulstilling af adgangskoder, registrering af nye MFA-enheder eller ændring af stamdata) skal supporten have en fast regel: Læg røret på, og ring tilbage til brugeren via det officielle telefonnummer registreret i HR- eller telefonsystemet.
• Ledelsesmæssig opbakning til at sige stop: Ingen medarbejder må sanktioneres for at afvise et hasteopkald fra en påstået leder, hvis formålet var at verificere identiteten. En kultur, hvor sund skepsis anerkendes af direktionen, er virksomhedens stærkeste værn.
• Kodeløsninger til nødsituationer: Ved kritiske administrative ændringer over telefonen kan man indføre engangskoder eller foruddefinerede kontrolspørgsmål, som kun den retmæssige bruger kender.
• Praksisnær og kontinuerlig træning: Teori glemmes hurtigt, men konkrete oplevelser huskes. Når medarbejdere og IT-support regelmæssigt udsættes for realistiske scenarier inden for social engineering, lærer de at gennemskue faresignaler som kunstig hast, usædvanlig smiger og pres.

Sikkerheden omkring jeres identiteter og systemer afhænger i sidste ende af medarbejdernes dømmekraft, når telefonen ringer. Ønsker I at afdække organisationens modstandsdygtighed og implementere et engagerende træningsforløb? Book et møde med vores team for en dialog om jeres behov og erfaringer med social engineering.

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• BEC-angreb og ændring af bankoplysninger: Stop svindel med falske leverandører (Phishing & Social Engineering) : Hvordan afslører du falske bankoplysninger ved kompromitterede leverandørkonti? Få indsigt i adfærdsmønstre, kontrolopkald og beredskab.
• Typosquatting og homoglyf-angreb: Lær organisationen at afkode en URL (Phishing & Social Engineering) : Lær at gennemskue typosquatting og homoglyf-domæner. Træn medarbejderne i at aflæse URL-adresser og styrk forsvaret mod avancerede phishing-angreb.
• AiTM-phishing: Hvorfor selv MFA og 2FA-koder stjæles på falske login-sider (Phishing & Social Engineering) : Lær hvordan AiTM-phishing omgår totrinsbekræftelse via session cookie hijacking. Få tekniske råd til CISO og IT-sikkerhedsansvarlige.
• AI-stemmekloning: Hvorfor en falsk lydbesked pa 30 sekunder slar alle teoretiske foredrag (AI Literacy & AI Act) : Oplev hvordan en praktisk demonstration af AI-stemmekloning forvandler organisationens adfærd til handlingsorienterede autentificeringsreflekser.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Deepfake Studio : Bevidsthed om deepfakes og stemmekloning: beskyt ledelsen og økonomiafdelingen mod AI-svindel.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)