Hvordan phishing-mails er bygget op, og hvad du kan se i dem

E-mail er gammel teknologi, og netop derfor virker den stadig. Alle har en indbakke, de fleste tjekker den dagligt, og en mail kan sendes til tusindvis af mennesker for næsten ingen penge. Svindlere behøver ikke ramme alle. Det er nok, at en lille del åbner mailen i en travl stund og klikker uden at tænke over det.

Det er en af grundene til, at jeg har gjort e-mail og phishing til en fast gren på storyvoxi. Det er ikke et emne, der forsvinder, fordi vi bliver klogere. Mailene bliver bare pænere. Sprogfejlene, som tidligere afslørede mange af dem, er ofte væk, og logoer og farver ligner det, du kender fra rigtige afsendere.

I denne artikel tager jeg ikke et enkelt tilfælde, men selve konstruktionen. Når du forstår, hvordan en phishing-mail er bygget, behøver du ikke huske en lang liste af tegn. Du kan i stedet læse mailen nedefra og op, som en der kender planen bag.

De fleste phishing-mails følger samme rækkefølge. Først kommer afsenderen, som skal ligne en, du stoler på. Så kommer en overskrift, der skaber opmærksomhed, og en kort tekst, der forklarer et problem. Til sidst kommer en knap eller et link, som skal løse problemet. Alt i mailen peger mod det sidste trin.

Det betyder, at selve teksten sjældent indeholder meget information. Den skal ikke overbevise dig med fakta, kun få dig til at handle. Hvis du læser en mail og opdager, at den aldrig siger noget konkret om dig, men blot beder dig om at gøre noget, er det værd at stoppe op.

Prøv at stille et enkelt spørgsmål til enhver mail med en knap: hvad ville der ske, hvis jeg slet ikke trykkede? Hvis svaret er, at der ikke sker noget før senere, har du tid til at tjekke mailen i ro og mag.

• Afsender, der ligner en kendt aktør
• Overskrift, der vækker uro eller nysgerrighed
• Kort tekst om et problem, der skal løses nu
• Knap eller link som eneste vej videre

Det navn, der står øverst i en mail, kan afsenderen vælge frit. Det er adressen bag navnet, der tæller, og den er ofte hentet frem i en lille skrifttype eller skjult, hvis du læser mailen på en telefon. Tryk på navnet, så du ser hele adressen, og læs den fra højre mod venstre: hvad står der lige før den sidste del efter snabel-a?

Svindlere bruger gerne adresser, der ligner noget velkendt, men afviger en smule, eller som hænger et kendt navn på et helt andet domæne. En adresse med mange tilfældige tegn eller en tjeneste, der slet ikke passer til afsenderens påstand, er et tydeligt signal.

Husk dog, at en pæn adresse ikke er et bevis. Afsenderadresser kan forfalskes. Brug den som ét af flere tegn, aldrig som den eneste test. Ser adressen mærkelig ud, behøver du ikke vide mere, før du lader mailen ligge.

På en computer kan du holde musen over et link, uden at du trykker, og se den rigtige adresse nederst i vinduet. På en telefon kan du ofte holde fingeren på linket, til en forhåndsvisning dukker op. Begge dele er trygge, så længe du løfter fingeren igen uden at åbne siden.

Se på, om adressen svarer til den, mailen hævder at komme fra. Forkortede links er et advarselstegn i sig selv, når en mail påstår at være officiel, fordi en rigtig afsender sjældent skjuler, hvor et link fører hen.

Skriv aldrig oplysninger ind på en side, du er nået til via en mail, du ikke selv har bedt om. Hvis du er i tvivl om, om en henvendelse er ægte, så gå til afsenderens kendte hjemmeside ved at skrive adressen selv eller bruge din egen bogmærkeliste.

• Hold musen over linket uden at trykke
• Hold fingeren på linket for at se forhåndsvisning
• Vær skeptisk over for forkortede links
• Gå selv til afsenderens kendte side

Næsten alle phishing-mails bruger et følelsesmæssigt greb. Det kan være frygt for at miste adgang til en konto, en lille gevinst, der venter på dig, eller en pakke, der ikke kan leveres. Fælles for dem er, at de sætter en frist og antyder, at noget går tabt, hvis du venter.

Det er den frist, der bærer mailen. Hvis du får lov at tænke dig om, falder konstruktionen fra hinanden. Derfor er det klogeste, du kan gøre, at give dig selv den tid, mailen forsøger at tage fra dig. En rigtig afsender kan næsten altid vente en dag.

Læg mærke til, om mailen tiltaler dig generelt, for eksempel som kunde eller bruger, selvom afsenderen burde kende dit navn. Det er ikke i sig selv et bevis, men sammen med presset bliver det et mønster, du lærer at genkende.

Lad mailen stå, og lad være med at svare, åbne vedhæftede filer eller trykke på noget. Du har ikke brug for at bevise, at den er falsk. Det er nok, at du ikke kan bekræfte, at den er ægte.

Tjek derefter sagen en anden vej. Log ind på din konto via den adresse, du normalt bruger, eller ring til afsenderen på et nummer, du selv har fundet. Hvis der virkelig var et problem, vil du se det dér.

Slet til sidst mailen eller flyt den til spam. Har du allerede klikket eller skrevet noget ind, så bliv rolig og skift adgangskoden til den berørte konto med det samme. Det er en almindelig fejl, og du er langt fra den eneste.

• Lad være med at trykke eller svare
• Tjek sagen via en vej, du selv vælger
• Slet mailen eller markér den som spam
• Skift adgangskode, hvis du har klikket