Internt phishing: Hva gjor du nar e-posten kommer fra en kollega?

Dette scenarioet gir enhver CISO og IT-sikkerhetsansvarlig hodebry. En mandag morgen mottar flere titalls ansatte en e-post med en innloggingslenke eller et hastevedlegg. Avsenderadressen har ingen skrivefeil, domenenavnet stemmer nøyaktig med virksomhetens eget, og SPF, DKIM og DMARC godkjenner sendingen fullstendig. Årsaken er ubehagelig: Angrepet kommer ikke utenfra, men sendes direkte fra den legitime innboksen til en kollega som har fått sine påloggingsdata stjålet.

Når en trusselaktør får innpass i et Microsoft 365- eller Google Workspace-miljø, forsøker de sjelden å eksfiltrere data umiddelbart. Første instinkt er ofte lateral forflytning ved å utnytte tillitskapitalen som interne meldinger nyter godt av. Mot denne typen angrep kommer tradisjonelle perimeterforsvar til kort. Deteksjonen hviler utelukkende på menneskelig årvåkenhet og umiddelbar innføring av faste rutiner.

Hvordan reagere når en mistenkelig e-post sendes fra en legitim intern adresse?#

Kort oppsummert: Svar aldri direkte på e-posten for å sjekke om den er ekte. Kontakt den påståtte avsenderen umiddelbart via en uavhengig kanal (telefon eller fysisk oppmøte), og videresend den ondsinnede meldingen som vedlegg til IT-sikkerhetsteamet for å isolere kontoen.

Første innskytelse for mange ansatte er å trykke "Svar" og spørre: "Sendte du virkelig dette dokumentet?". Dette er en kritisk feil. Hvis kontoen kontrolleres av en angriper, har vedkommende full tilgang til innboksen og vil svare bekreftende i løpet av sekunder for å fjerne all tvil. Angriperen setter ofte opp usynlige videresendings- eller sletteregler for å skjule sporene sine for den rettmessige eieren.

For å bryte angrepskjeden må reaksjonen være todelt og skje umiddelbart:

• Verifisering utenfor båndet (Out-of-Band): Kontakt personen via en uavhengig kanal. Ring direkte på tjenestetelefonen, eller gå fysisk bort til pulten dersom dere sitter i samme kontorlandskap.
• Umiddelbar varsling til IT-sikkerhet: Benytt rapporteringsknappen for phishing i e-postklienten, eller videresend meldingen som vedlegg (.eml eller .msg) til sikkerhetsavdelingen, slik at alle tekniske meldingshoder forblir intakte for teknisk analyse.

Hvilke tegn avslører intern kontoovertakelse tross legitim adresse?#

Kort oppsummert: Avsløringen baserer seg på atferdsanalyse av meldingen: et markant stilbrudd, uvanlige hasteordrer, lenker til uventede eksterne påloggingssider eller en generisk melding skutt inn i en eksisterende tråd.

Kontoovertakelse og internt phishing bygger på misbruk av etablert tillit, men angriperne etterlater seg nesten alltid kontekstuelle spor. En trusselaktør som har kapret en aktiv sesjon kjenner sjelden virksomhetens interne sjargong, relasjonshistorikk eller kollegaens vanlige skrivemåte.

Flere svakere signaler bør få alarmklokkene til å ringe:

• Brudd på normal tone og stil: En kollega du vanligvis spøker med på uformelt norsk skriver plutselig stivt, formelt eller med merkelige formuleringer som virker maskinoversatte.
• Ugrunnet hastverk og følelsesmessig press: Meldingen viser til en kritisk ubetalt faktura, en forestående sperring av IT-tilganger eller en konfidensiell avtale som må signeres innen en time.
• Uvanlige krav om re-autentisering: Lenken fører til en falsk påloggingsside som ber om brukernavn og passord for å åpne en påstått SharePoint-, OneDrive- eller Google Drive-fil.
• Trådkapring (Thread Hijacking): Angriperen vekker til live en uker gammel e-postutveksling og legger til en ondsinnet lenke, uten sammenheng med den opprinnelige dialogen.

Hvorfor er internt phishing så effektivt for lateral bevegelse?#

Phishing fra konto til konto er den mest effektive eskaleringsteknikken i moderne cyberangrep. Så snart en innledende konto faller, ofte via sesjonskapring og infostealere etter et AitM-angrep (Adversary-in-the-Middle), har angriperen full oversikt over organisasjonskartet.

Aktøren kan målrette seg direkte mot økonomiavdelingen, HR eller ansatte med administrative rettigheter. Innen få minutter spres fellen internt. Fordi e-posten kommer fra det interne miljøet, senker de ansatte skuldrene og utviser langt mindre skepsis enn ved eksterne henvendelser. Dette utfordrer også kravene til risikostyring under Digitalsikkerhetsloven (NIS 2) og DORA for finansielle aktører.

For å nøytralisere denne sårbarheten må virksomheter gå lenger enn tradisjonell, teoretisk opplæring. Kontinuerlig praktisk trening på realistiske angrep er påkrevd. Med treningssimulatoren Super Phisher, som rulles ut i tett samarbeid med våre rådgivere, kan dere trene de ansatte på reelle angrepsmønstre og intern identitetsimitasjon, slik at de rette refleksene sitter før en ekte hendelse rammer.

BRAIN SECURITY I PRAKSIS · Super Phisher

Hvilke strakstiltak må IT-avdelingen iverksette ved varsel?#

Når et internt phishing-varsel bekreftes, teller hvert minutt for å begrense skadeomfanget og hindre videre spredning i virksomhetens IKT-infrastruktur, i tråd med NSMs grunnprinsipper for IKT-sikkerhet:

• Umiddelbar tilbakekalling av sesjoner: IT må tilbakestille passordet til den kompromitterte kontoen og terminere alle aktive sesjonstokener på tvers av samtlige enheter og skytjenester.
• Gjennomgang av innboksregler: Angripere oppretter nesten alltid skjulte regler for å slette eller videresende innkommende e-post som inneholder ord som "sikkerhet", "passord", "phishing" eller "faktura". Disse må revideres og fjernes.
• Global fjerning av meldingen: Ved hjelp av administrasjonsverktøyene i Microsoft 365 eller Google Workspace må sikkerhetsteamet søke opp og slette den ondsinnede e-posten fra alle interne innbokser før andre ansatte rekker å åpne den.
• Analyse av påloggingslogger: Gjennomgang av IP-adresser, geografiske lokasjoner, MFA-logger og brukeragent-signaturer gjør det mulig å kartlegge nøyaktig når innbruddet skjedde og hvilke data som eventuelt er berørt, noe som er vesentlig ved eventuell avviksrapportering til Datatilsynet i henhold til personopplysningsloven (GDPR).

Å beskytte virksomheten mot interne forgreininger krever et samspill mellom robuste tekniske kontroller og trygge, observante medarbeidere. For å bygge et skreddersydd program for cybersikkerhetstilvenning tilpasset deres faktiske risiko, kan dere avtale en demonstrasjon direkte med sikkerhetsspesialistene i Brain Security.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Hjemmekontor, tog og hotell: 6 cybersikkerhetsfeil på reise som truer virksomheten (Phishing & Social Engineering) : Lær hvordan du sikrer mobile medarbeidere mot åpne trådløse nettverk, innsyn på skjerm og datatyveri i tråd med NSMs grunnprinsipper for IKT-sikkerhet.
• Infostealere: Hvorfor lagring av jobbpassord i uadministrerte nettlesere er en kritisk risiko (Phishing & Social Engineering) : Finn ut hvordan infostealere stjeler innloggingsdetaljer og økt-cookies fra uadministrerte nettlesere for å infiltrere bedriftens nettverk.
• Scareware og falske nettleseradvarsler: Lær de ansatte å gjenkjenne nettbaserte feller (Phishing & Social Engineering) : Stopp scareware og falske virusadvarsler. Lær hvordan ClickFix fungerer, og tren de ansatte i å sikre nettleseren i tråd med NSMs prinsipper.
• Cybersikkerhet for HR og rekruttering: Avdekk infiserte cver og falske kandidater (Industries & Roles) : Lær hvordan HR og rekrutterere beskytter virksomheten mot infiserte cver, skadelige lenker og deepfake kandidater under jobbintervjuer.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)