Gå til ecit.dk
Gå til forsiden for blog

Hackerens højsæson er i din sommerferie

Skrevet af Rasmus Veidiksen
Jun 16, 2020 11:39:25 AM

Sommeren står for døren og for mange af os betyder det, at vi skruer ned for aktiviteten, fordi vi selv og vores kolleger - på skift eller samtidigt - holder ferie. Og det sidste vi har lyst til at skænke en tanke på vores sommerferie, er IT-sikkerhed.

Men skal du kunne gå på sommerferie med ro i maven, er det nu, du skal tage ansvar for din IT-sikkerhed. De cyberkriminelle er nemlig fuldt ud klar over, at sommerferiedvalen kan gøre dig sårbar og dermed være deres chance for at hacke sig ind i din virksomhed og få adgang til forretningskritisk data.

Vi oplever igen og igen, at antallet af phishing-forsøg stiger over sommeren, og da vi samtidigt i år har set en eksplosion i cyberkriminalitet, hvor hackere udnytter virksomheder, der er blevet sårbare grundet bl.a. hjemmearbejde i forbindelse med corona-krisen, er netop nu det rette tidspunkt at få helt styr på IT-sikkerheden hos jer.

Derfor har jeg her samlet 5 af de mest almindelige IT-sikkerhedshuller og mine bedste råd til at lappe dem: 

 

1. CEO Fraud

Som navnet antyder, handler CEO Fraud om, at hackeren gennem mail eller telefon udgiver sig for at være direktør eller en anden ledende person i virksomheden - og de er bedre til det, end du måske tror. Det er nemlig ikke gennemskuelige mails med dårlig tegnsætning og urealistiske forespørgsler, de sender afsted. De er med tiden (desværre) blevet en del mere kreative.

Faktisk hacker de cyberkriminelle sig ind på chefens computer og tjekker både kalender, mails, Linkedin osv. for på den måde at få et helstøbt billede af personen. De venter, indtil de kan se, at han eller hun er taget på ferie, og så udgiver de sig for at være chefen ved at kopiere vedkommendes skrivestil for at skrive en troværdig mail til en medarbejder - typisk en ansat i regnskabsafdelingen - som har adgang til at flytte penge og beder om en overførsel til hackeren. 

 

Hvad kan du gøre?

Hackerne bliver mere og mere snedige, så selvom du mener, at du som chef kender dine medarbejdere, eller at du som medarbejder kender din chef og hurtigt vil kunne gennemskue en svindler, er det altså ikke altid så nemt.

Derfor er det centralt, at I inden sommerferien sørger for at lave en klar aftale mellem alle medarbejdere, hvor det fremgår, hvad proceduren er for håndtering af overførsler. Her kan I med fordel sørge for en godkendelsesproces, hvor en eller flere personer - mundtligt eller skriftligt - skal verificere overførslen, inden den sendes afsted. Og her er det naturligvis centralt, at der altid er en person, der kan godkende en overførsel, tilgængelig for medarbejderne.

 

2. Usikker hjemmearbejdsplads og computer

Især grundet coronakrisen er det blevet mere og mere almindeligt at arbejde hjemmefra, og I har måske også planer om at tage computeren med hjem eller med på ferie i sommerperioden. Men selvom det er let at tage den bærbare under armen, er det centralt for jeres IT-sikkerhed, at I opretholder visse sikkerhedsregler, når I bruger arbejdscomputeren på hjemmearbejdspladsen eller på ferien.

Her kan linjerne mellem privaten og arbejde nemlig hurtigt udviskes. Blandt andet skal du huske ikke at gemme følsomme filer og data på din private computer eller videresende mails fra din arbejdsmail til din private mail - heller ikke selvom det kan virke fristende og nemt. Så ligger jeres virksomhedsdata nemlig pludselig uden for virksomheden, og du har ikke samme sikkerhed ved fx din private Google-mail, som du har ved din arbejdsmail.

Desuden skal du være opmærksom, når du bruger hjælpemidler som USB-sticks. Her kan det også være fristende lige at tjekke din vens feriebilleder på arbejdscomputeren, hvis han kommer med dem på et USB-stick, men da du ikke kan vide dig sikker på, hvordan andre håndterer deres IT-sikkerhed, kan du heller ikke sikre dig, at andre USB-sticks ikke er kompromitterede.

 

Hvad kan du gøre?

Sidder du selv hjemme eller på ferien med din arbejdscomputer, skal du naturligvis først og fremmest huske, at de samme sikkerhedsregler gælder her som på kontoret: Brug ikke din arbejdscomputer til private formål og gem ikke følsom virksomhedsdata på din private computer.

Derudover er det en god idé at lave en Accepted Use Policy, hvor det udførligt beskrives, hvad man som medarbejder må og ikke må bruge sin arbejdscomputer til, så alle kender til retningslinjerne. Alternativt kan I bruge værktøjer som enhedsovervågning, Secure DNS, AppLocker eller Conditional Access-politikker til at sikre enheder.

 

New call-to-action

3. Sikkerhedsrisici når du er på farten

Selvom corona har sat en stopper for mange af vores ferieplaner, vil jeg lige slå et slag for IT-sikkerhed på farten. Det kunne jo være, du havde planlagt en tur rundt i de lande, der er åbnet op, og at du har planer om at tage dit arbejde med. Her er der flere ting, du skal være opmærksom på.

For det første skal du være opmærksom på, at du bliver et nemt offer for cyberkriminelle, når du tilgår offentlige netværk såsom i busser, hoteller eller lufthavne. I mange busser og på hoteller er det desuden blevet populært med USB-ladestik, hvor du kan sætte din telefon eller lignende til. Smart, men også risikofyldt, da vi allerede har set eksempler på, at hackere sætter et falsk USB-lader stik ind i det “ægte” ladestik - lidt a la en kortlæser på en hæveautomat - og så kan de hacke sig ind på dit device, når du sætter stikket i.

Til sidst skal du være opmærksom på, hvor du er. Nogle lande har meget overvågning, så tager du eksempelvis til Kina (selvom det måske ikke er så relevant lige nu), og har I meget IP (intellectual property) skal du måske lige genoverveje at bruge internettet. 

 

Hvad kan du gøre?

Både når det gælder offentlige netværk i lufthavne, busser osv., og når det gælder rejser til lande med meget overvågning, kan du sikre dig ved at bruge en VPN-forbindelse. Med en VPN krypterer du din data, så hackeren ikke kan få fat i den, selvom han eller hun har formået at hacke sig ind på netværket.

Når det gælder falske USB-ladestik, er der desværre ikke meget andet at gøre end at være forsigtig i forhold til, hvilke stik du bruger. Har du mistanke til, at stikket er kompromitteret, er det bedre at lade telefonen løbe tør for strøm end at give hackeren adgang til din data.

 

4. Ups! Jeg klikkede på linket i en snydemail - Hvad gør jeg nu?

Uheld sker, og fordi hackerne netop bliver mere og mere kreative, når de sender os falske mails og forsøger at lokke informationer ud af os, kan selv den bedste se sig snydt. Det er aldrig fedt, men problemet kan hurtigt vokse sig større, hvis der ikke bliver gjort noget med det samme.

Netop i sommerferien, når du enten selv er på ferie, eller hvis du ikke kan få fat i den IT-ansvarlige, oplever vi sommetider, at der går uger fra et potentielt sikkerhedsbrud sker grundet et klik på et usikkert link, til det bliver opdaget af de rette personer.

Her er det desuden vigtigt at huske, at hvis du klikker på et link på din private computer, som du sommetider bruger til at logge på dine firmakonti, så er også de konti udsat. Så bruger du din private computer i arbejdsregi, skal du altså være ekstra opmærksom.

 

Hvad kan du gøre?

Kommer du til at trykke på et link eller hente en fil i en mail, du senere finder ud af ikke var legitim, handler det om at reagere hurtigt. Du skal med det samme give en besked til én, der er uddannet i, hvordan de skal håndtere situationen. Derfor er det centralt, at der under sommerperioden er klare retningslinjer for, hvem medarbejderne kan kontakte i en sådan situation, og at det gøres med det samme - ikke først når man er hjemme fra ferien.

Som virksomhed kan undgå en stor del af denne form for hacking ved at bruge Multifaktor-autentificering. Her vil medarbejderne blive opkrævet en sikkerhedsnøgle, når de eksempelvis logger på deres virksomhedsmail, som de blandt andet kan modtage på deres telefon.

På den måde vil en hacker ikke kunne logge sig ind på mailen, selvom vedkommende har fået loginoplysningerne, da han eller hun ikke har autentificeringsnøglen. Du kan bede din IT-afdeling om at sætte dette op på de konti, du bruger i firmaet, og du kan nemt selv sætte det op på dine private konti - har du en Google-konto kan du eksempelvis finde en guide til opsætning her.

 

5. Fysisk indbrud på arbejdspladsen under ferie

Du er ikke kun udsat digitalt under sommerferien. Hvis du lukker helt ned på din fysiske lokation i en periode i sommerferien, kan du være ekstra udsat for indbrud. Indbrud er aldrig fedt, men det kan blive endnu mere problematisk, hvis du har computere og harddiske til at stå, som eventuelle tyve kan få fingrene i, mens I alle er på ferie.

 

Hvad kan du gøre?

Det bedste, du kan gøre for at sikre dig mod datatyveri ved fysiske indhold, er at kryptere alle de enheder, der står tilbage på kontoret, når I går på sommerferie. Så kan tyven måske nok stjæle computeren eller harddisken, men ikke få adgang til jeres forretningskritiske data.

Derudover kan det være en god idé at gemme enhederne væk enten i sikringsskabe på lokationen, eller I kan sørge for, at medarbejderne tager dem med hjem i ferien. Ved sidstnævnte er det naturligvis centralt, at medarbejderne så overholder de øvrige retningslinjer for brug af arbejdscomputeren i hjemmet. 

Det kan måske virke som meget, men faktisk behøver det ikke at være svært at sikre din virksomhed - heller ikke i sommerferien. Faktisk handler det meste om medarbejdernes forståelse for IT-sikkerhed, da netop dine medarbejdere er hackerens nemmeste vej ind i din virksomhed.

Hos ECIT hjælper vi dig gerne med at styrke jeres sikkerhedsniveau gennem blandt andet opmærksomhedstræning og/eller cybertest. Du er derfor meget velkommen til at kontakte mig, hvis I står med et specifikt IT-sikkerhedsproblem, som I ønsker gode råd til.

Temaer:

Rasmus Veidiksen

CISO hos ECIT Solutions

Læs flere indlæg fra Rasmus Veidiksen

Kontakt