Hur en phishing-attack går till

MitID (dansk e-legitimation) har blivit ett relativt lätt mål för SMS-phishing. Vi går igenom hur ett sådant angrepp byggs upp och föreslår sätt att i praktiken göra slut på phishing helt och hållet. Ett kraftfullt botemedel är att gå över till nya OS- och webbläsarbaserade autentiseringsmetoder, som FIDO Alliance-passkeys.

En phishing-attack innebär att en hackare lurar dig att lämna ifrån dig känslig information (t.ex. inloggningsuppgifter) genom att utge sig för att vara en legitim part, såsom din bank eller teleoperatör. I verkligheten är sidan du besöker bara en fasad hackaren använder för att samla in dina uppgifter. När uppgifter är samlade kan hackaren använda dem för egen vinning, till exempel för att stjäla pengar eller ta över ditt telefonnummer.

I takt med att e-legitimationer – digitala identiteter som är kopplade till dig som juridisk person – blivit vanliga inom EU, utsätts många för phishing-attacker. Dessa attacker lurar människor att lämna ut sina inloggningsuppgifter för e-legitimation, som ofta är nyckeln till finansiella tjänster och myndighetstjänster.

Låt oss titta på hur en sådan attack kan gå till mot det danska MitID*.

*Liknande metoder kan användas mot andra e-legitimationer, som svenska eller norska BankID eller belgiska itsme®.

1. Förberedelserna

Först skapar hackaren en falsk kopia av en känd webbplats, till exempel din bank. Webbplatsen är kopplad till hackarens phishing-kontrollpanel, som larmar hackaren när ett offer går i fällan och matar in sina inloggningsuppgifter på den falska sidan.

För MitID kommer sidan batt se ut precis som orginalet, förutom att URL:en avviker. En äkta MitID-inloggningsruta finns alltid på en domän som slutar på mitid.dk. Angreppets framgång hänger därför på att användaren missar just den detaljen.

2. Betet läggs ut

När den falska sidan är på plats kastar hackaren ut nätet. Det handlar vanligtvis om ett e-postmeddelande eller ett SMS (SMS-phishing kallas ibland "smishing").

Hackaren skickar vanligtvis ut tusentals sådana meddelanden till en stor mängd telefonnummer som samlats in före attacken.

3. Offret nappar

Av de tusentals mottagarna kommer det att finnas några som tycker att meddelandet verkar trovärdigt. Det liknar hur en annons visas för tusentals människor för att nå den mindre grupp som faktiskt tycker den är relevant.

I fallet med det här specifika SMS:et kan offret vara en person som precis har börjat använda en ny iPhone eller nyligen har registrerat ett nytt kreditkort i sin Apple Wallet. De är därför mer benägna att uppfatta meddelandet som relevant och klicka på länken utan att lägga märke till den falska URL:en. Offret kan också helt enkelt vara omedvetet om vad en URL betyder och aldrig ens lägga märke till den.

Offret klickar på länken… och nu är attacken igång!

4. Inloggningsuppgifterna fångas upp

Klicket öppnar offrets telefonwebbläsare med hackarens falska webbplats. Offret ser tyvärr fortfarande inte den felaktiga URL:en.

Kom ihåg: en äkta MitID-inloggningsdialog använder alltid en mitid. dk-subdomän! Vårt ovetande offer matar nu in sina uppgifter och går vidare till nästa steg.

I fallet med danska MitID uppmanas användaren nu att öppna MitID-appen på sin telefon för att godkänna inloggningen. Offret hittar MitID-appen och öppnar den.

Under tiden får hackaren ett meddelande om aktiviteten!

5. Hackaren fullföljer själva intrånget

Hackaren är redo att fånga upp inloggningsuppgifterna när de matas in.

I vårt MitID-scenario fångar hackaren snabbt upp det MitID-användarnamn som offret skrivit in och matar in det på den riktiga bankens hemsida.

När hackaren matat in uppgifterna visas en riktig godkännandeförfrågan i appen på offrets telefon. Eftersom det är precis vad offret förväntar sig godkänner de gärna autentiseringsförfrågan.

Hackaren har nu full åtkomst till offrets internetbank. De kan nu fritt granska kontot och försöka föra över pengar till så kallade ”mules”, som ofta anlitas i själva stölden.

Observera: danska banker kräver vanligtvis ytterligare ett svep i offrets MitID-app för att slutföra en överföring. Det betyder att hackaren behöver genomföra en till lyckad phishing-operation mot samma offer.

Hur kunde offret ha undvikit detta?

Så hur kan en vanlig person med danskt MitID skydda sig mot den här typen av bedrägeriförsök?

För det första måste banker och myndigheter regelbundet påminna användarna om två avgörande saker:

1. Banker och myndigheter skickar aldrig ut länkar via e-post eller SMS. De ber dig helt enkelt att logga in på din internetbank, myndighetens hemsida osv. De skickar aldrig, under några omständigheter, ut en länk!
   
   
2. När du anger dina inloggningsuppgifter ska du alltid se till att du gör det på en underdomän till mitid.dk. Detta beror på att MitID inte kan köras på någon annan domän.

Om du ändå råkar ut för den här typen av attack: ring din bank så snart du inser att något är fel! Då kan de förhindra att angriparen gör samma sak mot fler personer.

Hur kan vi stoppa phishing i framtiden?

Fler och fler blir mer medvetna om phishing-attacker och hur man känner igen dem. Men så länge den underliggande metoden och tekniken finns kvar kommer vi att fortsätta se lyckade phishing-kampanjer.

Lyckligtvis finns det åtminstone två nya tekniska lösningar som kan minska eller helt eliminera phishing-kampanjer:

Kortdistansradio

• Att förlita sig på kortdistansradio – som NFC eller Bluetooth – mellan enheter kan eliminera den typ av angrepp på distans som vi beskrivit ovan. Idag är QR-koden det vanligaste sättet att koppla samman enheter. Att hacka den processen kräver mer avancerade knep, men det är fullt möjligt. Med NFC eller liknande teknik kommer detta inte längre att vara fallet!

Passnycklar

• Genom att införa webbplatsspecifika, upptäckbara passnycklar finns det inget kvar att phisha. Vi måste helt eliminera användarnamn och lösenord från autentiseringsprocessen. En lättillgänglig lösning är passnycklar, som standardiserats av FIDO Allianc, med brett stöd från både branschen och olika plattformar.

Passnycklar har två grundläggande egenskaper som eliminerar phishing:

• De personliga, kryptografiska nycklarna är knutna till specifika webbplatser och kan inte användas någon annanstans.

• De kräver inga användarnamn eller annan identifiering, eftersom de upptäcks automatiskt.

Vad händer nu?

För tillfället ser det ut som att phishing är här för att stanna.

Men det pågår initiativ som helt bör kunna eliminera det.

Dessa tekniker – främst QR-koder för enhetskoppling och passnycklar för att eliminera användarnamn och lösenord – håller redan på att införas i produkter och tjänster. Norska BankID stöder till exempel redan passnycklar för användarautentisering, och svenska BankID har använt QR-koder sedan en tid tillbaka.

Här på Idura har vi redan lanserat vårt eget generiska, e-legitimationsoberoende QR-alternativ för kanalbindning. Vi arbetar nu på ett generellt passkey-alternativ som ett steg mot de ID-plånböcker som är på väg till era personliga enheter.

Om detta låter relevant för er, prata med en expert om de tillgängliga alternativen och deras fördelar eller läs mer om hur du kan förbättra MitID.