Phishing - vad det är, hur det fungerar och hur man skyddar sig

Phishing definieras av ENISA (Europeiska unionens cybersäkerhetsbyrå) som "ett försök att tillskansa sig känslig information genom att utge sig för att vara en betrodd entitet i digital kommunikation". Det centrala är alltså bedrägeri kombinerat med imitation. Angreppet kan ske via flera kanaler: e-post är fortfarande dominerande, men SMS (smishing), röstsamtal (vishing), QR-koder (quishing), meddelandeappar som WhatsApp och Messenger, samt sociala medier används i ökande omfattning.

En klassisk phishing-attack består av fyra steg. Först sker rekognosering, där angriparen samlar in information om målorganisationen, dess medarbetare och leverantörer. Detta görs ofta genom LinkedIn, allabolag.se, hitta.se och läckta databaser. Därefter förbereds infrastrukturen: en domän som visuellt liknar målets, ett hostingkonto och en kopierad inloggningssida. I tredje steget skickas meddelandet, ofta via tjänster som Mailchimp, SendGrid eller komprometterade e-postservrar. Sista steget är skördning, där angriparen samlar in inloggningsuppgifter och eventuellt kringgår multifaktorautentisering genom så kallad adversary-in-the-middle-teknik (AiTM) med verktyg som Evilginx eller Modlishka.

Phishing delas vanligen in i flera underkategorier. Generell phishing är breda massutskick utan specifik måltavla. Spear phishing är riktad mot en specifik person eller funktion. Whaling avser attacker mot högt uppsatta personer som vd, CFO eller styrelseledamöter. Business Email Compromise (BEC) är en variant där angriparen kapar eller imiterar en chefs e-postkonto för att initiera bedrägliga betalningar; FBI:s Internet Crime Complaint Center rapporterade BEC-förluster om 2,9 miljarder dollar under 2023. Clone phishing innebär att en legitim e-post kopieras men med utbytt länk eller bilaga. Pharming manipulerar DNS för att dirigera trafik till bedrägliga webbplatser även när användaren skriver rätt adress.

Den svenska hotbilden präglas av imitation av offentliga myndigheter, banker och logistikföretag, eftersom dessa har breda kontaktytor mot allmänheten och kan motivera tidskritiska åtgärder.

BankID-bluff och bankbedrägerier. Sedan 2018 har återkommande kampanjer riktats mot kunder hos Swedbank, SEB, Nordea och Handelsbanken. Bedrägeriet inleds ofta med ett SMS eller telefonsamtal från någon som utger sig för att vara bankens säkerhetsavdelning eller Polisen. Offret ombeds legitimera sig med BankID, ibland flera gånger, varvid angriparen i realtid loggar in på offrets internetbank och godkänner stora överföringar eller lån. Finansinspektionen och Svenska Bankföreningen rapporterade förluster om över 1,2 miljarder kronor till bedrägerier under 2023, varav merparten inleddes med ett phishingmoment.

PostNord-SMS och paketbluffar. Sedan 2020 har miljontals svenskar mottagit SMS med texten "Ditt paket kan inte levereras, betala tullavgift på följande länk". Länken leder till en kopia av PostNord eller Tullverket där offret uppmanas att ange kortuppgifter. Polisen har gått ut med upprepade varningar, och PostNord publicerar löpande information om aktiva kampanjer.

Skatteverket-bedrägerier. Två gånger per år, kring deklaration och kring slutskattebesked, ökar utskicken som påstår att man har en skatteåterbäring att hämta. Skatteverket understryker att myndigheten aldrig begär bankuppgifter via e-post eller SMS och att återbäring sker till anmält konto.

Business Email Compromise (BEC). Mot svenska företag är fakturabedrägeri och vd-bedrägeri vanligt. Ett välkänt exempel är attacken mot Stadium 2019, där bolaget förlorade omkring 22 miljoner kronor efter att ekonomiavdelningen lurats av en förfalskad e-post.

Sektorspecifika incidenter. Coop-stoppet 2021 (kopplat till Kaseya-attacken) och 1177-läckan i Region Stockholm 2019 är exempel på hur initial åtkomst via phishing eller komprometterade leverantörer kan eskalera till samhällspåverkande incidenter. Tietoevry-attacken i januari 2024 slog ut lönesystem hos bland annat Filmstaden, Granngården och flera kommuner, och visar hur tredjepartsleverantörer blir en angreppsvektor även mot välskyddade organisationer.

Tekniska kontroller kan inte eliminera phishing men kraftigt minska volymen som når slutanvändaren och försvåra imitation av legitima avsändare. De viktigaste standarderna är SPF, DKIM, DMARC, ARC, BIMI och MTA-STS.

SPF (Sender Policy Framework), definierat i RFC 7208, publicerar i DNS vilka IP-adresser som får skicka e-post för en domän. En korrekt SPF-post för en svensk verksamhet kan se ut som "v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all". Det avslutande "-all" signalerar hård avvisning av obehöriga avsändare.

DKIM (DomainKeys Identified Mail), RFC 6376, signerar utgående meddelanden kryptografiskt med en privat nyckel; den publika nyckeln publiceras i DNS. Mottagande server verifierar signaturen och kan därmed avgöra om meddelandet har manipulerats i transit.

DMARC (Domain-based Message Authentication, Reporting and Conformance), RFC 7489, kombinerar SPF och DKIM med en policy ("none", "quarantine" eller "reject") och möjlighet att få aggregerade rapporter. CERT-SE rekommenderar svenska organisationer att över tid skärpa policyn till p=reject. Enligt MSB:s "Det offentliga Sveriges digitalisering" har endast en mindre andel av kommuner och regioner DMARC i reject-läge, vilket är en betydande sårbarhet.

MTA-STS (RFC 8461) tvingar TLS för inkommande e-post och förhindrar att angripare nedgraderar krypteringen via man-in-the-middle. BIMI (Brand Indicators for Message Identification) tillåter verifierade avsändare att visa sin logotyp i inkorgen, vilket ger användaren en visuell indikator på äkthet, men kräver DMARC i reject.

Utöver e-postautentisering bör organisationer driftsätta moderna säkerhetslösningar: avancerat e-postskydd (Microsoft Defender for Office 365, Proofpoint, Mimecast) med sandboxning av bilagor och länkanalys vid klicktillfället, EDR/XDR-lösningar för endpoint-skydd, samt webbproxy med kategoribaserad filtrering. FIDO2-baserad multifaktorautentisering med säkerhetsnycklar (YubiKey, Titan) är i praktiken phishing-resistent eftersom autentiseringen är bunden till domänen och inte kan reläas av en AiTM-proxy. CISA och MSB rekommenderar uttryckligen FIDO2 framför SMS- och TOTP-baserad MFA.

På nätverkssidan begränsar DNS-filtrering (till exempel Cloudflare Gateway, Cisco Umbrella) tillgång till nyregistrerade och kända phishingdomäner, och conditional access-policys kan blockera inloggningar från avvikande geografiska platser eller enheter utan compliance.

Eftersom phishing primärt exploaterar mänskliga beslutsprocesser räcker inte tekniska kontroller. Verizon Data Breach Investigations Report 2024 anger att 68 procent av alla intrång involverade ett mänskligt element. Säkerhetskultur är därför en avgörande variabel, och flera ramverk beskriver hur den byggs.

Den klassiska modellen "Knowledge, Attitude, Behaviour" (KAB) skiljer mellan vad medarbetare vet, vad de tycker och vad de faktiskt gör. Forskning från SANS Security Awareness visar att kunskapsbaserad utbildning ensam ger begränsad beteendeförändring. För att flytta beteenden krävs återkommande mikroträning, snabb återkoppling i kontext och chefer som föregår med gott exempel.

Effektiv utbildning bygger på följande principer:

• Frekvens framför längd. Korta moduler om 3-5 minuter månadsvis ger högre retention än en årlig heldagsutbildning.


• Kontextuell träning. Träning som levereras precis efter att en medarbetare klickat på en simulerad phishinglänk har dokumenterat hög effekt (just-in-time learning).


• Rollbaserat innehåll. Ekonomiavdelningen behöver utbildning om BEC och fakturabedrägeri; utvecklare om credential-phishing mot GitHub och cloud-konsoler; HR om CV-bilagor med makron.


• Positiv förstärkning. Att premiera rapportering av misstänkta meddelanden ger högre rapporteringsfrekvens än att straffa klick.


• Mätbarhet. KPI:er som klickfrekvens, rapporteringsfrekvens och "time to first report" gör att man kan följa effekt över tid.

Phishing-simuleringar är kontrollerade övningar där organisationen själv (eller en extern leverantör) skickar simulerade phishingmeddelanden till de egna medarbetarna för att mäta motståndskraft och identifiera utbildningsbehov. Tekniken har använts sedan tidigt 2000-tal och är idag etablerad praxis i större svenska organisationer.

En simulering består normalt av tre delar: ett påhittat phishingmeddelande, en landningssida som registrerar klick och eventuell datainmatning, samt en utbildningssida som visas direkt efter att medarbetaren interagerat. Plattformar som används i Sverige inkluderar KnowBe4, Proofpoint Security Awareness, Hoxhunt, Junglemap NanoLearning och inhemska Vaksamhet.

Centrala mätetal är:

• Klickfrekvens (click rate): andel mottagare som klickar på länken. Branschsnitt enligt KnowBe4:s "Phishing by Industry Benchmarking 2024" ligger på cirka 33 procent vid första mätningen och faller till under 5 procent efter ett års kontinuerlig träning.


• Compromise rate: andel som även lämnar inloggningsuppgifter på landningssidan. Detta är ett mer rättvisande mått än enbart klick.


• Reporting rate: andel som rapporterar meddelandet via etablerad kanal. En mogen organisation har högre rapporterings- än klickfrekvens.


• Resilience ratio: kvoten reporting/click, ofta använd som sammanfattande KPI.


• Time to first report: mediantid från utskick till första rapport. Under fem minuter indikerar god vakenhet.

Två centrala EU-rättsakter påverkar svenska organisationers ansvar i samband med phishing: dataskyddsförordningen (GDPR, 2016/679) och NIS2-direktivet (2022/2555).

GDPR. Om phishing leder till att personuppgifter exponeras eller blir oåtkomliga utgör det en personuppgiftsincident enligt artikel 4.12. Den personuppgiftsansvarige ska enligt artikel 33 anmäla incidenten till IMY inom 72 timmar från det att den blivit känd, om det är sannolikt att den medför en risk för fysiska personers rättigheter och friheter. Vid hög risk ska även de registrerade informeras enligt artikel 34. Bristande tekniska och organisatoriska åtgärder, inklusive otillräcklig medarbetarutbildning, kan utgöra grund för administrativa sanktionsavgifter upp till 10 miljoner euro eller 2 procent av global omsättning. IMY har vid flera tillfällen utdömt avgifter för bristfälligt skydd som möjliggjort phishing-baserade intrång.

NIS2. Direktivet trädde i kraft i januari 2023 och skulle ha varit införlivat i svensk rätt senast 17 oktober 2024. I Sverige genomförs NIS2 genom cybersäkerhetsskyddslagen (2024:1226) som trädde i kraft 1 januari 2025. NIS2 utvidgar tillämpningsområdet kraftigt jämfört med NIS1: cirka 1 000-3 000 svenska entiteter omfattas, fördelade på "väsentliga" och "viktiga" sektorer som energi, transport, hälso- och sjukvård, dricksvatten, digital infrastruktur, offentlig förvaltning, livsmedel, avlopp, post och tillverkning av kritiska produkter.

Artikel 21 listar tio minimikrav på riskhanteringsåtgärder. Flera av dem är direkt relevanta för phishingförsvar:

• punkt (a) policies för riskanalys och informationssäkerhet,


• punkt (g) grundläggande cyberhygien och utbildning,


• punkt (i) säkerhet i mänskliga resurser, åtkomstkontroll och kapitalförvaltning,


• punkt (j) användning av multifaktorautentisering och kontinuerlig autentisering.

Genombrottet för stora språkmodeller (LLM:er) som GPT-4, Claude och Llama har sänkt tröskeln för att producera språkligt felfria phishingmeddelanden på vilket språk som helst, inklusive svenska. Historiskt har dålig svenska, märkliga formuleringar och felaktiga böjningar varit en av de tydligaste indikatorerna på phishing. Den indikatorn försvinner snabbt.

Microsoft Threat Intelligence och Mandiant har under 2024-2025 dokumenterat flera trender. För det första används LLM:er för personalisering i skala: angripare matar in skrapad LinkedIn-data om en målperson och genererar individanpassade meddelanden som refererar till verkliga kollegor, projekt och evenemang. För det andra används röstkloning för vishing; med 3-10 sekunder ljud från en vd:s podcast eller konferenstal kan verktyg som ElevenLabs producera övertygande röstmeddelanden som ber ekonomichefen att godkänna en akut överföring. För det tredje skapas deepfake-video för möten på Teams och Zoom; ett uppmärksammat fall i Hongkong i februari 2024 medförde att ett företag förlorade 25 miljoner US-dollar efter ett deepfake-Teamsmöte med en falsk CFO.

OpenAI, Anthropic och Google rapporterar löpande att de stänger ner konton som används för phishingkampanjer, och alla större modeller har inbyggda skyddsmekanismer. Dessa kan dock kringgås med relativt enkla tekniker (jailbreaks, finjustering, lokala open-weight-modeller som Llama 3, Qwen och Mistral). Resultatet är att aktörerna effektivt har obegränsad tillgång till språkmodeller utan skyddsräcken.

Konsekvenser för försvaret:

• Detektion baserad på språkfel blir obsolet; fokus måste flyttas till tekniska indikatorer (avsändardomän, header-anomalier, länkmål) och kontextuella avvikelser (oväntad begäran, brådska, kanalbyte).


• Verifiering ut-of-band (callback till känt nummer, ej det i meddelandet) blir kritisk för alla finansiella transaktioner och ändring av betaluppgifter.


• FIDO2-MFA blir än viktigare eftersom credential-stöld blir lättare.


• Awareness-utbildning måste uppdateras för att inkludera deepfakes, röstkloning och AI-genererad text. Det räcker inte längre att lära ut "leta efter stavfel".


• Defensiva AI-verktyg (Microsoft Security Copilot, Darktrace, Abnormal Security) använder samma teknik åt motsatt håll, för att upptäcka tonalitets- och beteendeavvikelser i e-postflöden.

Att klicka på en phishinglänk är inte i sig en katastrof, men efterföljande steg avgör hur stor skadan blir. Följande åtgärdslista bygger på rekommendationer från CERT-SE, MSB, Polisen och NIST SP 800-61r2.

Omedelbart (inom minuter):

1. Avbryt all interaktion. Stäng webbläsarfliken, men ta gärna en skärmbild av sidan och URL:en först om det går snabbt.
2. Koppla bort enheten från nätverket om en bilaga öppnats eller programvara installerats. Dra nätverkskabeln eller stäng av Wi-Fi; stäng inte av datorn (det kan förstöra forensiskt material i RAM).
3. Anmäl incidenten till organisationens IT- eller säkerhetsfunktion. Använd telefon om e-post misstänks vara komprometterad.

Inom första timmen:

4. Byt lösenord för alla konton där samma eller liknande lösenord använts, med början på e-post, bank, identitetsleverantörer (Microsoft 365, Google Workspace) och BankID-relaterade tjänster. Logga in från en betrodd enhet, inte den möjligen komprometterade.
5. Återkalla aktiva sessioner. I Microsoft 365 görs det via "Sign out everywhere" i kontot eller via administratör med "Revoke sessions". I Google Workspace används "Sign out user".
6. Granska multifaktorautentiseringen. Ta bort okända authenticator-appar eller säkerhetsnycklar som registrerats. Aktivera MFA om det saknas.
7. Vid finansiell skada: kontakta banken direkt på officiellt nummer. Banker har dygnetruntbemannad bedrägerijour. Spärra kort och stoppa pågående överföringar.

Inom första dygnet:

8. Granska e-postregler och vidarebefordringsregler. En vanlig taktik vid BEC är att skapa en regel som vidarebefordrar all post till en extern adress och raderar originalet. Kontrollera även OAuth-medgivanden ("App passwords" och "Connected apps") och återkalla okända applikationer.
9. Skanna enheten med EDR/antivirus. Vid misstanke om persistent malware bör enheten ominstalleras från grunden, inte enbart "rensas".
10. Polisanmäl. Polisen tar emot anmälningar via 114 14 eller polisen.se. Ange så mycket teknisk information som möjligt (avsändare, headers, URL:er, tidpunkter).
11. Rapportera till CERT-SE via [email protected] om incidenten har samhällspåverkan eller om organisationen omfattas av NIS2.
12. Vid personuppgiftsincident: påbörja 72-timmarsklockan enligt GDPR artikel 33.

Efterarbete:

13. Genomför en rotorsaksanalys (RCA). Varför nådde meddelandet inkorgen? Varför klickade medarbetaren? Vilka tekniska kontroller saknades?
14. Justera tekniska kontroller och utbildning baserat på lärdomarna. Dokumentera i incidentregister.
15. Kommunicera transparent internt. Att skuldbelägga medarbetare som klickar minskar framtida rapporteringsbenägenhet och förvärrar säkerhetskulturen.