Slik unngår du å bli nett-svindlet

–Ville dere bestilt noe fra «dunjakke-no.com»? spør foredragsholder Lise Ringvold Kristoffersen de tjuetalls sikkerhetsekspertene som deltar på Security Divas nettverksmøte om Nettsvindel.

Hele salen ler. Nei, det ville ekspertene neppe gjort.

Men ville dine ansatte?

Kanskje. Kanskje fra jobbtelefonen til og med. Eller fulgt lenken til «Facebouk.com» og gitt fra seg passord.

Falske nettsider og Phishing er et sterkt økende problem, og svindlerne blir stadig mer avanserte.

I tillegg viskes grensene mellom privatliv og jobb ut, vi bruker jobb-enheter på hjemmenettverket og bestiller dunjakker fra jobb.

– Som leder er sikkerheten ditt ansvar, både teknisk sikkerhet og den interne sikkerhetskulturen, sier Trude Talberg-Furulund fra NorSIS, som er prosjektleder for både Security Divas og Nasjonal Sikkerhetsmåned.

– Det tekniske handler om sikre systemer, organisert enten internt eller gjennom leverandør. Sikkerhetskultur handler om at de ansatte har kompetanse til å ivareta virksomhetens verdier og sin digitale trygghet. For eksempel ved at dere er åpne om feil og trusler slik at dere kan lære av disse, sier hun.

«Direktør-svindel»

«Sunn fornuft» er fint, men kanskje ikke nok når svindlerne blir mer avanserte.

– En ansatt fikk en epost fra sjefen, sendt fra sjefens egen e-post, med instrukser om å overføre penger, forteller Talberg-Furulund.

Men siden e-posten ble avsluttet med et «Tusen takk», skjønte den ansatte det var svindel. Hennes sjef ville aldri sendt en så hyggelig e-post ...

– Det er en morsom historie. Men her hadde altså svindlerne kommet seg inn på lederens e-post og sendte derfra. Det er vanskelig å ikke gå på svindelforsøket.

Slike såkalte «direktør-svindler» ser vi stadig flere av. De er ofte rettet direkte mot ansatte i organisasjonen som kan foreta utbetalinger.

Forsøker stresse deg

Eksempelet med den ansatte som ikke lot seg lure av «tusen takk-et» peker på et viktig aspekt: Gode rutiner og prosedyrer gjør det lettere å avsløre svindelforsøk.

– Det er gjerne små detaljer som avslører svindelen. Samtidig blir ofte slike svindler presentert som kriser, det haster, må gjøres nå. Og det er for å stresse den som rammes til å ikke følge prosedyrene, bare handle umiddelbart. Når du vet det, er det lettere å håndtere. Ta en pause, les gjennom på nytt og hør med en kollega før du handler, råder Talberg-Furulund.

NorSIS koordinerer Nasjonal sikkerhetsmåned, som arrangeres hvert år i oktober. De utarbeider opplæringspakker som er gratis for bedrifter med færre enn 20 ansatte.

Du blir sjelden «for liten» for svindlerne

Små og mellomstore bedrifter tror gjerne at «Vi har ingenting av verdi, hvorfor skulle noen gidde å hacke oss?».

Men alle som har penger, informasjon eller forretningshemmeligheter er attraktive mål.

I tillegg gjør vår digitale hverdag, der det meste er koblet på nett, at man er en del av større verdi-nettverk, og kan bli et mål gjennom det. Kriminelle kan bruke din lille bedrift for å få tilgang til større virksomheter, for eksempel gjennom fag-, lønns- eller regnskapssystemet.

– Vi hører mest om de store, dramatiske angrepene, men dette skjer hver dag, med alle typer bedrifter. Vi vil anbefale alle bedrifter å regne med at de vil bli utsatt for angrep, og ha tiltak på plass for hvordan de skal håndtere det, i tilfelle det skjer, formaner Talberg-Furulund.

Ikke bli paranoid, bli kompetent

Så ingen er trygge? Farer overalt? Hvor paranoid skal man bli?

Ikke bli paranoid, bli kompetent, er Trude Talberg-Furulunds klare råd. Forebygging er langt smartere enn å gå i skyttergraven.

– Sørg for at de ansatte har både kompetanse, verktøy og tid til å være gode digitale brukere. Det er mange metoder som kan brukes. Gode rutiner og prosedyrer og oppdaterte systemer er selvsagt viktig.

Men her er det også viktig å ha en god kultur, der det er lov å gjøre feil og være åpen.

Talberg-Furulund har et kanskje uvanlig eksempel:

– Vi hørte om en ansatt som fikk en sånn «porno-skam-epost» der det hevdes at man har filmet deg mens du ser på porno, og vil spre filmen til nettverket ditt dersom du ikke betaler en sum. Siden vedkommende faktisk hadde sett på porno på en enhet tilknyttet jobben oppfattet vedkommende e-posten som reell og ble svært redd for konsekvensene. Da må man ha en kultur der det går an å komme og si: «Jeg har gjort noe som kan få konsekvenser». En kultur der man er åpen om feil og trusler, så man kan lære av det.

– Alle bedrifter har en sikkerhetskultur. Spørsmålet er bare om den er god eller dårlig.