Hvorfor HR-avdelingen er cyberkriminelles favorittmal for phishing (og tiltakene som virker)

I de fleste avdelinger i en virksomhet er den grunnleggende sikkerhetsinstruksen krystallklar: aldri åpne uventede vedlegg fra ukjente avsendere. For en rekrutterer eller HR-ansvarlig er denne regelen fullstendig umulig å følge i praksis. Hele kjerneoppgaven deres handler om å kommunisere med eksterne parter, ta imot åpne søknader og kontinuerlig evaluere ukjente kandidater.

Dette operative paradokset gjør HR-teamet til et prioritert angrepsmål for trusselaktører. Angripere utnytter bevisst det høye arbeidspresset, den iboende nysgjerrigheten i rekrutteringsfaget og frykten for å gå glipp av den perfekte kandidaten for å infiltrere virksomhetens nettverk. For en CISO eller IT-sikkerhetsleder krever det en helhetlig tilnærming for å sikre denne inngangsporten uten å kvele ansettelsesprosessene.

Hvordan angriper cyberkriminelle rekrutterere og HR-team spesifikt?#

Kort oppsummert : Cyberkriminelle misbruker HRs kjerneoppgaver ved å bake inn løsepengevirus eller infostealere i troverdige jobbsøknader. De henter detaljer fra reelle stillingsannonser på LinkedIn eller Finn.no for å sende skreddersydde e-poster med skadelige CV-filer, makroer eller lenker til falske porteføljer.

Trusselen kommer sjelden i form av en åpenbar svindel-e-post full av skrivefeil. Angrep mot HR-avdelinger er i dag preget av sofistikert spear phishing. Angriperen kartlegger en aktiv stillingsutlysning, tilpasser tonen til en engasjert søker og refererer nøyaktig til stillingstittelen og selskapets fagmiljø.

De vanligste angrepsvektorene utnytter etablerte arbeidsrutiner:

• PDF-filer med dobbelt filendelse : Dokumentet ser ut som en harmløs fil med navnet CV_Seniorutvikler.pdf.exe eller en .lnk-snarvei. I et standard Windows-oppsett skjules den reelle filendelsen, noe som lokker rekruttereren til å dobbeltklikke uten mistanke.
• Office-dokumenter med ondsinnede makroer : En Word- eller Excel-fil som tilsynelatende inneholder en kompetanseoversikt eller et lønnskrav. Dokumentet viser en uklar forhåndsvisning og ber brukeren om å aktivere innhold eller makroer for å lese teksten, noe som trigger et ondsinnet script.
• Porteføljer lagret i skyen : For kreative eller tekniske roller deler angripere lenker til tjenester som Behance, Notion eller Canva. Lenkene leder til nedlasting av et passordbeskyttet .zip-arkiv for å omgå automatiserte e-postskannere.
• Falske administrative henvendelser : Angripere retter seg også mot lønnsmedarbeidere ved å utgi seg for å være NAV, pensjonskasser eller en ansatt som ber om akutt endring av kontonummer for lønnsutbetaling.

Hvorfor tekniske e-postfiltre kommer til kort mot HR-rettet phishing#

Kort oppsummert : Sikre e-postporter (SEG) sliter med å stanse disse angrepene fordi meldingene sendes fra legitime gratistjenester med gyldig SPF og DKIM. Bruken av passordbeskyttede arkiver og lenker til godkjente skytjenester gjør automatiske sandkasser midlertidig blinde.

Trusselaktørene kjenner virkemåten til moderne e-postsikkerhetsløsninger. De vet at HR daglig mottar legitime henvendelser fra offentlige leverandører som Gmail, Outlook eller ProtonMail. Disse meldingene har ofte korrekt SPF-, DKIM- og DMARC-oppsett, noe som nøytraliserer tradisjonelle varsler om spoofing.

Taktikken med passordbeskyttede arkivfiler

Ved å oppgi passordet til arkivfilen direkte i e-postteksten (for eksempel: "Passordet for å åpne porteføljen min er kandidat2024"), sørger angriperen for at sikkerhetsløsningens automatiske sandkasse ikke kan pakke ut og analysere innholdet. Rekruttereren taster inn passordet rutinemessig for å vurdere kandidaten, og skadevaren rulles ut på endepunktet.

Tillit og imøtekommenhet som sårbarhet

En rekrutterer er drillet i å være imøtekommende, nysgjerrig og profesjonelt åpen. Å avvise et dokument eller ignorere en søker strider mot den faglige ryggmargsrefleksen. Angripere utnytter denne empatien ved å skape tidspress eller beskrive utfordrende personlige situasjoner (som en akutt frist for lærlingplass), noe som senker den kritiske sansen hos mottakeren.

Hvordan bygge et robust forsvar for HR uten å bremse rekrutteringen?#

For å redusere risikoen i tråd med NSMs grunnprinsipper for IKT-sikkerhet må virksomheten kombinere teknisk herding med praksisnær trening.

Kritiske tekniske tiltak

• Synliggjør filendelser : Konfigurer maskinparken via GPO eller MDM slik at alle kjente filendelser alltid vises i filutforskeren for å avsløre doble endelser.
• Blokker kjøring av eksterne makroer : Deaktiver makrokjøring som standard i kontorstøttesystemer for alle dokumenter lastet ned fra internett.
• Isoler åpning av vedlegg : Bruk nettleserisolasjon (RBI) eller krev at alle søknader må gå via et rekrutteringssystem (ATS) som automatisk konverterer innkommende filer til ufarlige forhåndsvisninger.

Tren teamet i realistiske scenarier med Brain Security

Passive e-læringskurs og statiske sikkerhetsinstrukser endrer sjelden atferd i en hektisk rekrutteringshverdag. For å etablere varige reflekser må treningen speile de reelle arbeidsoppgavene de ansatte står i.

Det er her Super Phisher kommer inn, vår plattform for realistiske simuleringer levert sammen med teamet i Brain Security. Med Super Phisher kan dere skreddersy scenarioer direkte rettet mot HRs arbeidsflyt: troverdige åpne søknader, preparerte CV-er, henvendelser om endring av skattekort eller falske lenker til jobbintervjuer på Teams. Hensikten er ikke å ta ansatte i en feil for å straffe dem, men å ufarliggjøre trusselbildet i trygge rammer slik at den kritiske sansen skjerpes.

BRAIN SECURITY I PRAKSIS · Super Phisher

Gjør HR-avdelingen fra et sårbart punkt til en aktiv sensor#

Rekrutteringsteamet utgjør ofte virksomhetens fremste kontaktflate mot omverdenen, og de bør være en sentral brikke i sikkerhetsforsvaret. Når HR forstår metodene bak målrettet spear phishing, slutter de å være en sårbarhet. De blir i stedet våkne sensorer som raskt oppdager og rapporterer avanserte angrepskampanjer før trusselaktørene etablerer fotfeste i organisasjonen.

Ønsker dere å teste hvor motstandsdyktige organisasjonen og ledergruppen er mot moderne sosial manipulering? Ta kontakt med oss for en samtale for å planlegge et treningsløp tilpasset virksomhetens faktiske risikobilde.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Internt phishing: Hva gjor du nar e-posten kommer fra en kollega? (Phishing & Social Engineering) : Mistenkelig e-post fra en legitim intern konto? Lær hvordan du håndterer kompromitterte kontoer og internt phishing i tråd med NSMs prinsipper.
• Hjemmekontor, tog og hotell: 6 cybersikkerhetsfeil på reise som truer virksomheten (Phishing & Social Engineering) : Lær hvordan du sikrer mobile medarbeidere mot åpne trådløse nettverk, innsyn på skjerm og datatyveri i tråd med NSMs grunnprinsipper for IKT-sikkerhet.
• Hvor ofte bør man kjøre phishing-simuleringer: Riktig frekvens for norske virksomheter (Phishing & Social Engineering) : Hvor ofte bør dere teste ansatte mot phishing? Finn balansen som bygger årvåkenhet uten å overbelaste organisasjonen eller skape varslingstretthet.
• Advokatfirmaer og konsulentselskaper: Beskytt taushetsplikten mot målrettede cyberangrep (Industries & Roles) : Lær hvorfor advokatfirmaer og rådgivere er utsatt for spionasje og spear-phishing, og hvordan dere sikrer taushetsplikten med realistisk trening.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)