Falske fildelinger og digitale signaturer: Slik omgår angripere MFA i B2B-sektoren

I et moderne norsk arbeidsmiljø er det å klikke på et delingsvarsel fra SharePoint, åpne en OneDrive-lenke eller signere en avtale via DocuSign eller tilsvarende løsninger blitt en ren ryggmargsrefleks. Ansatte håndterer dusinvis av slike varsler ukentlig uten å nøle. Trusselaktørene har tilpasset seg denne dynamikken. De har i stor grad forlatt åpenbare massesvindler til fordel for presise kopier av virksomhetens daglige samarbeidsflyt.

For CISO-er, IT-sikkerhetsansvarlige og ledergruppen utgjør denne utviklingen en akutt utfordring. Skillelinjen mellom en legitim forretningsforespørsel og en teknisk felle er nesten usynlig. Ved å etterligne kjente samhandlingsplattformer forsøker angriperne ikke lenger bare å stjele brukernavn og passord. De omgår multifaktorautentisering (MFA) ved å kapre aktive sesjoner direkte fra medarbeidernes nettlesere.

Hvorfor lykkes svindel med falsk fildeling så ofte mot profesjonelle?#

Kort oppsummert : Falske fildelinger fungerer fordi de etterligner etablerte arbeidsprosesser og utnytter en profesjonell ansvarsfølelse. Bruken av legitime eller kompromitterte skytjenester som mellomledd reduserer skepsisen hos de ansatte og omgår ofte tradisjonelle e-postsikkerhetsfiltre.

Suksessen til denne angrepsvektoren hviler på kontekstuell sosial manipulering. Angriperne finner ikke opp nye scenarier, men hekter seg direkte på de eksisterende rutinene i organisasjonens digitale økosystem:

• Visuell presisjon : Maler, fonter, logoer og juridiske standardtekster fra store sky- og samhandlingsplattformer gjenskapes ned til minste detalj. En travel medarbeider kjenner igjen designet og senker automatisk beredskapen.
• Nøytralisering av e-postfiltre : Angripere benytter ofte reelle, gratis skytjenester eller overtatte bedriftskontoer til å opprette legitime OneNote- eller PDF-dokumenter som inneholder den skadelige lenken. E-postsikkerhetsløsninger (SEG) ser en lenke til et anerkjent og legitimt domene, og slipper meldingen rett gjennom til innboksen.
• Operasjonelt tidspress : En ubetalt leverandørfaktura, et tillegg til en ansettelsesavtale eller en konfidensialitetsavtale (NDA) før et strategisk prosjektmøte. Slike påskudd skaper et ønske om å handle raskt for å unngå å bli en flaskehals i driften.

AiTM-angrep og sesjonskapring : Slik omgås multifaktorautentisering#

Kort oppsummert : Adversary-in-the-Middle (AiTM)-angrep fanger opp innloggingsopplysninger og sesjonstokener i sanntid ved å plassere en ondsinnet omvendt proxy mellom brukeren og den faktiske skytjenesten. Selv med godkjent MFA får angriperen tak i sesjonskaken og logger seg inn uten å utløse varsler.

Lenge ble implementering av MFA ansett som det endelige forsvarsverket mot kontoovertakelse. I møte med moderne AiTM-metoder er tradisjonell MFA (som SMS-koder eller standard push-varsler) utilstrekkelig dersom autentiseringen ikke er phishing-resistent.

Mekanismen bak en ondsinnet omvendt proxy

Når en medarbeider klikker på en forfalsket signeringslenke, ledes de sjelden til et statisk skjema. De sendes i stedet gjennom en omvendt proxy (reverse proxy) kontrollert av angriperen:

1. Den falske påloggingssiden videresender påloggingsforespørselen i sanntid til skytilbyderens faktiske servere (for eksempel Microsoft 365).

2. Brukeren taster inn sitt brukernavn og passord i det speilede grensesnittet.

3. Den legitime autentiseringstjenesten ber om MFA (et push-varsel i en app eller en engangskode), som brukeren godkjenner på vanlig måte.

4. Tjenesten bekrefter identiteten og genererer en gyldig sesjonsinformasjonskapsel (session cookie).

5. Angriperens proxy-server fanger opp denne sesjonskaken idet den sendes i retur, før brukeren videresendes til et ufarlig dokument for å skjule sporet.

Med denne sesjonskaken i hende kan angriperen injecte sesjonen i sin egen nettleser og få full tilgang til virksomhetens skyløsning, helt uten å kjenne passordet eller trenge ny MFA-bekreftelse.

Konkrete tiltak for å avdekke samhandlingsfeller i hverdagen#

Teknologiske sperrer er aldri alene tilstrekkelig mot trusler som utnytter menneskelige vaner. Noen konkrete operasjonelle rutiner kan likevel stanse de aller fleste forsøk:

• Inspiser den faktiske nettadressen (URL-en) : Selv om e-posten fremstår offisiell, må adresselinjen i nettleseren alltid kontrolleres før pålogging. Ukjente domenenavn eller uvanlige subdomener avslører umiddelbart en mellomledd-proxy.
• Kontekstuell verifisering utenfor e-post (out-of-band) : Dersom en samarbeidspartner uventet sender et dokument til signering med kort tidsfrist, bør dette bekreftes via en etablert chat-kanal eller en rask telefonsamtale før lenken åpnes.
• Innføring av phishing-resistent MFA : Bruk av fysiske sikkerhetsnøkler basert på FIDO2-standarden gir et kryptografisk vern mot AiTM. Nøkkelen vil nekte å levere ut påloggingsdata dersom domenet i nettleseren ikke matcher det faktiske målsystemet, helt i tråd med NSMs grunnprinsipper for IKT-sikkerhet.
• Senk terskelen for intern rapportering : Etabler enkle mekanismer der ansatte med ett klikk kan melde fra om mistenkelige henvendelser uten frykt for negative reaksjoner. Dette gir sikkerhetsmiljøet mulighet til å isolere trusler før sesjoner blir kompromittert i stor skala.

BRAIN SECURITY I PRAKSIS · Super Phisher

Hvordan trene organisasjonen mot realistiske samhandlingsscenarier?#

Teoretiske retningslinjer alene gir lite beskyttelse når en ansatt mottar et vellaget, kontekstuelt varsel midt i en travel arbeidsdag. For å etablere varige reflekser må medarbeiderne erfare slike scenarier i trygge, kontrollerte omgivelser.

Dette er fundamentet i Super Phisher, vår plattform for realistiske phishing- og treningskampanjer. Løsningen rulles ut i tett samarbeid med teamet i Brain Security, og lar virksomheten teste egne ansatte mot aktuelle teknikker: falske fildelingsvarsler, hastepregede signeringsforespørsler eller simulerte skyoppdateringer. Målet er aldri å straffe eller henge ut enkeltpersoner, men å omgjøre sårbare rutinehandlinger til umiddelbare, pedagogiske læringspunkter.

I et trusselbilde der angripere speiler virksomhetens kjernekommunikasjon, er det avgjørende å gi organisasjonen praktiske ferdigheter til å oppdage avvikene. Ta kontakt for en gjennomgang av hvordan vi kan tilpasse et treningsløp til deres tekniske plattform og risikoprofil.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• AiTM-phishing: Hvorfor selv tofaktorautentisering og MFA-koder stjeles (Phishing & Social Engineering) : Lær hvordan AiTM-angrep omgår MFA ved å stjele sesjonskapsler, og hvordan norske virksomheter sikrer seg mot moderne phishing-angrep.
• Sosial manipulering pa profesjonelle nettverk: Nar falske jobbtilbud skjuler cyberangrep (Phishing & Social Engineering) : Lær hvordan trusselaktører utnytter LinkedIn og profesjonelle nettverk til a lure ansatte med falske jobbtilbud og kapre virksomhetens tilganger.
• Passord, passordhvelv og Passkeys: Trygg autentisering uten friksjon for ansatte (Phishing & Social Engineering) : Hvorfor droppe passordbytte hver 90. dag? Se anbefalingene fra NSM og NIST for passordfraser og Passkeys som styrker virksomhetens digitale sikkerhet.
• Advokatfirmaer og konsulentselskaper: Beskytt taushetsplikten mot målrettede cyberangrep (Industries & Roles) : Lær hvorfor advokatfirmaer og rådgivere er utsatt for spionasje og spear-phishing, og hvordan dere sikrer taushetsplikten med realistisk trening.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)