Phishing-mails går målrettet efter forskere ved at udnytte offentligt tilgængelig information.
Henrik Larsen, der er chef for DKCERT, skriver hver måned på Computerworld Online om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
”Kære <navngiven forsker>. Jeg har for nylig læst din artikel <navn på artikel>. Den er meget nyttig for mit forskningsområde. Jeg vil høre, om du måske kan sende mig følgende artikler til hjælp i mit aktuelle forskningsprojekt?”
Sådan en mail modtog en række danske forskere i januar. Mailen var på engelsk og angav at komme fra en forsker ved et tysk universitet.
Hver mail var stilet til den enkelte forsker personligt. Navn og e-mailadresse var korrekt, og der blev henvist til flere artikler, som modtageren havde publiceret.
Afsenderadressen så umiddelbart rigtig ud: ”<navn>@uni-muenchin.de”. Skulle den have været rigtig, skulle domænet dog have været ”uni-muenchen.de”.
Så der er altså tale om mail-svindel. Oven i købet et særdeles overbevisende svindelnummer: Mailen er målrettet den enkelte forsker og roser vedkommende for en god artikel. Hvem ville ikke reagere positivt på den slags?
Her kommer svindlen ind i billedet
Afsenderen beder forskeren sende et par artikler. I mailen er der link til dem. Og det er her, svindlen kommer ind i billedet.
Det ene link fører til omtalen af en af modtagerens artikler på forskerportalen ScienceDirect. Det andet fører til en forfalsket login-side, der efterligner portalen ved forskerens universitet.
Formålet med hele øvelsen er altså at lokke brugernavn og adgangskode ud af forskeren.
Automatiseret proces
Universitetet modtog et halvt hundrede mails. Alle rettet mod forskellige forskere, og alle med konkrete henvisninger til artikler, modtageren havde skrevet.
Jeg antager, at svindlerne har automatiseret processen. De har sikkert taget udgangspunkt i ScienceDirect eller en lignende portal, hvor man kan finde forskeres navne, mailadresser og publikationer.
Så skal der ikke de store evner til at skrive et script, der henter data ud og udformer målrettede mails rettet mod forskerne.
Svindlerne kan oven i købet udvælge bestemte forskningsområder, som de især er interesserede i at spionere mod.
Automatiseringen fremgår af, at mailene var fuldstændig enslydende. Eneste forskel var navne og titler på artiklerne.
Den forfalskede afsender var i øvrigt også forskellig fra mail til mail. Der var angivet fuldt navn, universitet og institut på afsenderen – sikkert fundet på en forskerportal eller det tyske universitets websted.
Det danske universitet opdagede hurtigt problemet og fik ændret passwords for de forskere, der havde klikket på linket.
Hvem tjekker links?
Jeg finder affæren interessant, fordi den er et tegn på, hvordan phishing-svindel udvikler sig. Jeg frygter, at vi kommer til at se flere lignende svindelforsøg i fremtiden.
De fleste forsøg på phishing er meget primitive. En mail fra banken om, at din konto er spærret. Men da du ikke er kunde i den pågældende bank, bliver den hurtigt slettet.
Hvordan ville du reagere, hvis du modtog en lige så målrettet mail som den, der blev sendt til de danske forskere?
Som Computerworld-læser er du nok årvågen nok til at tjekke, hvor et link fører hen, før du klikker på det.
Men hvor mange af dine kolleger ville gøre det?
Information kan skrælles
Stadig mere information om os ligger frit tilgængeligt ude på nettet. Det gør det lettere at udføre den form for automatiseret phishing.
Forestil dig for eksempel et script, der skræller data fra LinkedIn- eller Facebook-profiler. Det sender målrettede mails til alle, der har meldt sig til en gruppe med et bestemt emne.
Hvordan vil medlemmerne af en gruppe om Porscher for eksempel reagere på en mail med link til billige reservedele målrettet til lige præcis deres model?
Eller hvad med en mail til medlemmerne af et politisk diskussionsforum med link til et lækket udkast? De skal bare lige logge ind først.
Vi må undervise
Vi kan ikke undgå den type angreb. Men vi kan forberede vores brugere på dem, så de bliver bedre til at gennemskue dem.
Her er der brug for awareness-kampagner og undervisning. Det er et område, som jeg gjorde en indsats for i min tid som informationssikkerhedschef på Københavns Universitet. Og det vil jeg også slå et slag for i min nye rolle som chef for DKCERT.
Jeg glæder mig til at dele flere holdninger og informationer om informationssikkerhed med læserne via mine klummer her i Computerworld.
Oprindelig offentliggjort på Computerworld Online den 13. marts 2015