Skydda dig mot nätfiskeattacker

By January 20, 2016 Okategoriserad No Comments

Tror du att nätfiske är en förlegad typ av attack? Då är det dags att tänka om. Trots att skräppostfiltren har blivit smartare rapporterar Anti-Phishing Working Group att antalet nätfiskerapporter har ökat med 18 % under det sista kvartalet av 2014, och enligt säkerhetsexperter kommer de fortsätta att öka under 2016.

Nätfiske fortsätter att vara en populär taktik för att stjäla känslig information som lösenord, säkerhetskoder och kreditkortsnummer, men även för att smyga in sabotageprogram på personliga enheter och i företagssystem. Även ett LastPass-konto kan vara mål för en nätfiskeattack. För att kunna skydda sig mot nätfiske krävs det att programmen som vi använder blir smartare och bättre på att upptäcka faror. Dessutom måste användarna vara bättre förberedda eftersom de utgör första försvarslinjen vid en attack.

Nedan får du reda på hur LastPass bekämpar nätfiske. Dessutom får du tips på vad du kan göra för att öka din förmåga att upptäcka nätfiske och skydda din känsligaste information när du attackeras utan att märka av det.

Vad är nätfiske?

Nätfiskeattacker kan anta många olika former. Det finns e-brev där avsändaren utger sig för att vara din bank och begär att du bekräftar en kontoaktivitet. Eller falska fakturor som ber dig ladda ner det bifogade dokumentet eller bekräfta ditt köp. Attackerna kan även utgöras av skadliga annonser eller länkar på sociala medier. Angriparna kan till och med dirigera dig till en inloggningssida som i princip är en klonad version av en välkänd, betrodd webbplats som du brukar använda.

Harpunfiske är en variant som är ännu mer personinriktad. Angriparna skickar e-brev som ser ut att komma från en kollega eller chefen, eller till och med din IT-avdelning. De får sin begäran att verka tillförlitlig genom att använda information som de har lärt sig om dig för att efterfråga ännu fler uppgifter eller få dig att ladda ner en skadlig fil eller föra över pengar.

Hur du upptäcker nätfiskeattacker

Många nätfiskeattacker är osofistikerade och enkla att upptäcka medan andra är mycket mer avancerade. I dessa fall krävs det att du är ordentligt skeptisk för att kunna identifiera misstänkta e-brev, länkar och meddelanden. Så här upptäcker du en enkel nätfiskeattack:

  • Kontrollera webbadressen: Titta i adressfältet för webbplatsen som du öppnat eller för musen över en länk för att se webbadressen i webbläsarens nedre vänstra hörn för att kontrollera om webbadressen kommer från en betrodd källa eller en bedragare innan du öppnar den. För LastPass ser du till exempel alltid https://lastpass.com eller https://underdomän.lastpass.com. En webbadress som används vid nätfiske däremot kan se ut så här: http://lastpass.annandomän.com. I det här fallet är domänen i själva verket ”annandomän.com” och bör undvikas.
    Image credit: Lifehacker

    Image credit: Lifehacker

  • Kontrollera vem det är adresserat till: Var skeptisk mot e-brev som skickas till ”Bästa kund” eller utan hälsning. De flesta återförsäljarna använder ditt namn nuförtiden. Det här dock inte alltid en helt säker metod eftersom harpunfiskeattacker brukar vända sig specifikt till dig.
  • Öppna webbplatsen själv: Om du är osäker öppnar du bara en ny flik eller ett nytt fönster i webbläsaren och skriver in webbadressen själv (eller öppnar den från din lösenordshanterare) för att förvissa dig om att sidan du besöker är tillförlitlig.Screen Shot 2016-01-20 at 9.14.38 AM (2)
  • Kontrollera om din lösenordshanterare visar en matchande inloggning: LastPass kan skydda dig mot nätfiske genom att inte fylla i dina inloggningsuppgifter automatiskt på en bluffwebbplats. Eftersom domänen inte stämmer överens med den som lagrats i LastPass kommer dina uppgifter inte att fyllas i. Kontrollera webbadressen om du ser att detta inträffar.
  • Ta det lugnt när du ser brådskande uppmaningar: Om du uppmanas att agera snabbt kan det vara ett försök att manipulera dig till att göra något utan att tänka efter först.
  • Ställ frågor till dig själv: Bad jag den här personen skicka en bilaga till mig? Är det här otypiskt för den andra personen? Om du är osäker ska du fortsätta att vara skeptisk och helt enkelt fråga.
  • Kontrollera att adressen föregås av HTTPS:// och hänglåset: När du besöker en webbplats ska du alltid kontrollera i adressfältet att du ansluter säkert via HTTPS och att hänglåsikonen finns där, vilket innebär att webbplatsen har verifierats av ett utomstående säkerhetsföretag. Screen Shot 2016-01-20 at 9.16.41 AM (2)

När nätfiske är riktat mot din lösenordshanterare

Nätfiskeattacker är inte längre begränsade till skadliga e-brev, annonser eller länkar på sociala medier. Vissa nätfiskeattacker försöker till och med att angripa tillägg som du använder i din webbläsare genom att bland annat utge sig för att vara en lösenordshanterare.

Till exempel kan en skadlig webbplats utge sig för att vara ditt webbläsartillägg genom att visa meddelanden som begär att du anger information som användarnamn, lösenord och kod för tvåfaktorautentisering. Det kan vara svårt att avgöra om meddelandena verkligen kommer från den skadliga webbplatsen istället för ditt webbläsartillägg.

Hur LastPass skyddar dig mot nätfiskeattacker

  • Du varnas om huvudlösenordet angavs på en icke-LastPass-sida: LastPass visar en kraftfull varning, även innan du skickar huvudlösenordet till en sida, när du försöker ange ditt huvudlösenord för LastPass på en icke-LastPass-sida. Du får genast reda på om ditt huvudlösenord kan ha avslöjats så att du kan ändra det.
  • Verifiering krävs för inloggningar från okända platser eller enheter: LastPass har en verifieringsprocess som är obligatorisk när du försöker logga in från en okänd plats eller enhet. Om du omedvetet anger ditt huvudlösenord och tvåfaktoruppgifter kommer angriparens försök att använda uppgifterna därför att hindras av verifieringsstegen via e-post. Angriparen måste även kunna komma åt ditt e-postkonto, vilket kan försvåras ytterligare genom tvåfaktorautentisering för ditt e-postkonto. Om du ser en verifieringsbegäran som du inte startade kan du ignorera den utan problem och uppdatera ditt huvudlösenord i kontoinställningarna för LastPass-valvet (LastPass Valve).
  • Förhindrar utloggning: Även om en skadlig sida kan visa ett falskt LastPass-meddelande som säger att du har loggats ut och behöver logga in igen, bör du kontrollera om du fortfarande är inloggad i LastPass-tillägget och endast logga in via detta tillägg.

Utöver dessa skyddsåtgärder uppmuntrar vi även Google och andra webbläsare till att hjälpa oss skydda användarna genom att erbjuda säkra sätt för att visa meddelanden utanför webbläsarens visningsområde.

Hur du kan bidra till att skydda ditt LastPass-konto

Utöver säkerhetsåtgärderna som vi har vidtaget kan du även hålla ditt valv säkert genom följande bästa metoder:

  • Logga alltid in genom LastPass-tillägget. Det säkraste sättet att logga in på LastPass är att klicka på tilläggsikonen i din webbläsares verktygsfält. Screen Shot 2016-01-20 at 9.24.22 AM (2)
  • Återanvänd aldrig ditt huvudlösenord. Att återanvända huvudlösenordet ökar risken för att någon stjäl ditt valv. Använd alltid ett unikt huvudlösenord för LastPass och ta hänsyn till varningen som visas om du skriver in ditt huvudlösenord någon annanstans än för att logga in på LastPass.
  • Var försiktig med varifrån du laddar ner LastPass. Se till att alltid ladda ner LastPass från LastPass.com eller från tilläggsbutikerna som din webbläsare eller enhet tillhandahåller. Använd aldrig nedladdningssidor från tredje part och var dessutom vaksam i tilläggsbutikerna på alternativ som ser ut som LastPass men som i själva verket har ett annat utgivarnamn eller inga omdömen.
  • Dela aldrig ditt huvudlösenord. LastPass-teamet kommer aldrig att be dig uppge ditt huvudlösenord. Var på din vakt om någon utger sig för att representera LastPass och ber om ditt huvudlösenord. Avslöja aldrig någonsin ditt lösenord.
  • Lägg till tvåfaktorautentisering. God säkerhet handlar om att ha flera lager av skydd som minskar risken. Med tvåfaktorautentisering måste ytterligare en informationsdel anges innan du kan komma åt kontot. Även om det inte är en bombsäker lösning så får ditt konto ett betydligt bättre skydd.
  • Skydda din e-post med ett starkt lösenord och tvåfaktorautentisering. Ditt e-postkonto innehåller ofta mycket känslig information. Skydda därför kontot som om det vore helt avgörande för ditt digitala liv, för det kan faktiskt vara. LastPass kan generera ett lösenord för ditt e-postkonto som är starkt och ”uttalbart” på samma gång, så att du fortfarande kan memorera det om du vill. Och aktivera alltid tvåfaktorautentisering om din e-postleverantör erbjuder detta alternativ.

Att skydda sig på nätet är ett kontinuerligt arbete som vi alla måste åta oss. Även LastPass åtar sig att förbättra produkten i takt med att nya hot uppstår och att samarbeta med forskarsamhället inom säkerhetsområdet för att stärka vår produkt. Vi, som användare, behöver också se till att följa de bästa säkerhetsmetoderna.