7 grunde til, at ingen — heller ikke IT-professionelle — bør klikke på mistænkelige links

IT-professionelle siger igen og igen til slutbrugere, at de aldrig må klikke på mistænkelige links. Og den advarsel bør man altid lytte til! Tænk på, at:

• 90 % af alle databrud hænger sammen med phishingangreb.
• 95 % af de virksomheder, der oplevede et brud relateret til phishing i 2021, led tab på mellem 250 og 984.855 USD, og medianen var 30.000 USD (det vil sige, at halvdelen af alle ofre mistede mere end 30.000 USD!).
• 65 % af hackergrupper bruger phishing som deres primære infektionsvektor.

I lyset af de alarmerende tal er det ikke overraskende, at Devolutions’ undersøgelse af cybersikkerhedens tilstand i SMV’er i 2021-22 viste, at phishing er blandt de tre cybertrusler, SMV’er er mest bekymrede for.

Der er dog mere i historien, som er yderst relevant for IT-professionelle, der har tabt tællingen over, hvor mange slutbrugere de har advaret mod nogensinde at klikke på mistænkelige links: IT-professionelle bør heller aldrig selv klikke på dem!

De skjulte farer ved at klikke på mistænkelige links

Når de støder på et mistænkeligt link (ideelt set fordi det er delt af en opmærksom og veluddannet slutbruger!), klikker nogle IT-professionelle alligevel på det. Det er bestemt IKKE, fordi de er skødesløse eller uforsigtige. Det er, fordi de vil undersøge det og finde ud af, om linket er legitimt.

I teorien giver det mening. I praksis mener nogle eksperter, at det er en stor fejl — fordi der er skjulte farer ved at klikke på mistænkelige links, som selv nogle IT-professionelle måske ikke kender. De omfatter:

1. Hvis der findes en sårbarhed i en browser, kan hackere muligvis udføre alle mulige farlige handlinger. I nogle tilfælde kan de endda opnå permanent fjernadgang til et endpoint.

2. IT-professionelle, der klikker på et mistænkeligt link, men ikke mister kontrollen over deres browser, skal ikke nødvendigvis ånde lettet op. Begrænset kontrol over en browser (eller mere teknisk: dens indhold) udvider stadig angrebsfladen voldsomt og giver hackere mange måder at skaffe oplysninger på. JavaScript-pop-ups er et oplagt eksempel.

3. Selv hvis hackere ikke formår at udnytte kendte sårbarheder i en browser, kan de stadig indsamle oplysninger om enhedsmodellen, operativsystemet, hardwaren, IP-adressen, browserversionen og visse cookies, der ikke er beskyttet af same-origin-politikken (det kan være særligt alvorligt, hvis der er følsomme cookies, som ikke er sikre). Det giver hackere værdifuld efterretning, som kan bruges i fremtidige kampagner. Hvis de for eksempel ved, hvilken version af Chrome et offer bruger, kan de gå efter zero-day-angreb. Eller de kan udnytte sårbarheder i udvidelser. Husk, at en undersøgelse fra sikkerhedsfirmaet Awake fandt mere end 100 ondsindede og falske browserudvidelser til Google Chrome, som (inden de blev fjernet) var blevet downloadet omkring 33 millioner gange. Og HowToGeek.com advarer om, at „browserudvidelser er et privatlivsmareridt“.

Og der er stadig mere i historien: At klikke på et ondsindet link kan føre til, at du bliver sporet og profileret på tværs af internettet. Hackere kan for eksempel gennemsøge Facebook, Instagram, LinkedIn og andre konti for at lære mere om mulige ofre — herunder hvor de arbejder, og hvad de laver. Mulige ofre kan også begynde at modtage sms’er, private e-mails og telefonopkald. Oplysningerne kan også bruges til spear phishing-kampagner, der retter sig mod bestemte personer.

4. En udbredt taktik, som telemarketingsvindlere bruger, er automatisk at ringe til mange numre og lægge på, så snart opkaldet bliver taget. Formålet er at bekræfte, at et nummer er aktivt og bliver besvaret af et rigtigt menneske. Phishinghackere bruger den samme drejebog. Selve det at klikke på et link kan bekræfte, at et muligt offer findes. Det kan åbne sluserne for mange flere phishingforsøg i fremtiden — og ikke kun mod en bestemt person, men mod personer i hele organisationen.

5. At klikke på et mistænkeligt link kan udløse et automatisk download. Ganske vist er risikoen minimal, så længe filen ikke åbnes — men den findes stadig!

6. Nogle IT-professionelle bekymrer sig måske ikke så meget om at klikke på et mistænkeligt link, fordi de nemt kan gennemskue en falsk landingsside. Men … kan de det? Måske ikke! Tilbage i september 2019 bad vi IT-professionelle i vores fællesskab om at beskrive det mest realistiske hackingforsøg, de nogensinde havde oplevet. Mange fortalte, at nogle phishingkampagner, især dem der involverede kendte mærker som Microsoft og Amazon, så bemærkelsesværdigt ægte ud.

7. Lad os ikke glemme de berygtede drive-by-download-angreb, som har eksisteret i så mange år af en enkel grund: De virker! Ja, ud over at klikke på linket er det også nødvendigt at acceptere advarslen fra SmartScreen (eller noget tilsvarende). Men nogle IT-professionelle, der bliver narret af meget veludviklede kampagner, springer måske den advarsel over.

Hold dine slutbrugere informeret — og i sikkerhed

Som IT-professionel kender du måske allerede de her grunde til ikke at klikke på mistænkelige links. Alligevel skader det aldrig at tænke over det grundlæggende. Som forfatteren og lederskabsrådgiveren John Maxwell siger: „Reflekterende tænkning forvandler erfaring til indsigt.“ Og når det gælder cybersikkerhed og IT-sikkerhed, er mere indsigt bedre!

Derudover opfordrer vi alle IT-professionelle til at dele de syv grunde til ikke at klikke på mistænkelige links med deres slutbrugere. Nogle slutbrugere — også dem på ledelsesniveau — forstår stadig ikke, HVORFOR det er så dårligt et træk at klikke på mistænkelige links. Når de er informeret, kan de blive en del af cybersikkerhedsløsningen i stedet for utilsigtet at bidrage til problemet.

Det sidste ord

At holde sig fra mistænkelige links fjerner ikke truslen fra phishing 100 procent — for desværre kan intet opnå det ideal. Men det gør angrebsfladen mindre og kan potentielt reducere hyppigheden, omfanget og alvoren af cyberangreb. Det er et afgørende mål, og et som IT-professionelle kan være stolte af at gå forrest med.

Hvad mener du?

Vi nævnte ovenfor, at nogle eksperter mener, at IT-professionelle aldrig bør klikke på mistænkelige links. Andre eksperter mener, at det ikke nødvendigvis er uklogt, hvis der tages visse forholdsregler. Der er en betydelig debat om emnet (herunder en meget interessant og til tider ret ophedet Slack-samtale blandt IT-professionelle, som inspirerede denne artikel!). Del gerne din mening og dine råd. Hvor står du i spørgsmålet?