SDU IT
Simuleret phishing
SDU gennemfører regelmæssige simuleringer af phishingkampagner mod SDU. Her kan du læse mere om, hvordan vi simulerer phishing.
Hvad er phishing?
Phishing er falske mails, ofte sendt med det formål at stjæle loginoplysninger og betalingsoplysninger, eller identitetstyveri. Oftest sendes phishingmails med en falsk afsender, så det ligner, at mailen kommer fra en bekendt eller en kollega. Hensigten er at vække tillid, for så at snyde brugeren til at aflevere oplysninger. Phishing kan også være mails, der indeholder vedhæftninger med skadelig kode, som kan slette eller ødelægge data på computeren, hvis de åbnes.
SDU oplever i stigende omfang at modtage skadelige e-mails, hvor vores brugere bl.a. bliver snydt til at afgive deres kodeord. Det kan fx være, at du får tilsendt en mail med SDU's logo, hvor du skal skulle trykke på et link for at logge på vores e-læringsplatform, bekræfte kontooplysninger o.l. Linket bringer dig frem til en webside, som er en tro kopi af SDU's single sign on-løsning. Problemet er blot, at det var det ikke – og det var kun tydeligt af browserens URL-felt.
SDU's eksempel på et simuleret phishingangreb
Sådan udfører SDU simuleret phishing
SDU gennemførte i foråret 2023 en simuleret phishingkampagne på alle ansatte. Direktionen har vedtaget, at dette vil være et tilbagevendende tiltag. Det er et centralt opmærksomhedspunkt ift. organisationens informationssikkerhed, da sektoren generelt er under øget pres, ikke mindst efter Ruslands invasion af Ukraine. Det er endnu mere vigtigt for den enkelte medarbejder, da nogle laver forskning, som kan være interessant for fremmede magter.
Resultater af kampagnen i foråret var, at 19,2% klikkede på linket i mailen og afgav deres loginoplysninger. Vi kan allerede nu se en forbedring i, hvor dygtige ansatte på SDU er til at fange phishingmails, da der i kampagnen i efteråret kun var 4,8%, der klikkede og afleverede loginoplysninger.
SDU benyttede Microsofts sikkerhedsplatform til at gennemføre kampagnen. Sikkerhedsplatformen er en intregreret del af vores omfattende Microsoft-løsning.
I løbet af kampagnen blev der registreret, når en bruger klikkede på linket i e-mailen, og om der blev afgivet loginoplysninger. Alle data blev anonymiseret og aggregeret i grupper bestående af mere end 5 personer, kategoriseret efter omkostningsnumre.
Det er værd at bemærke, at oplysninger om den enkelte medarbejders "klik" kun var tilgængelige for to betroede medarbejdere i SDU IT, som udtrak dataene og anonymiserede dem omhyggeligt. Derefter blev de anonymiserede data overdraget til SDU IT, Governance, Risk & Compliance, som var ansvarlig for databehandlingen.
De aggregerede data deles udelukkende gennem ledelseskanalen med den lokale ledelse, som er ansvarlig for at sprede oplysningerne i samarbejde med de lokale GDPR- og informationssikkerhedskoordinatorer. Ingen ledere eller andre medarbejdere vil få adgang til data vedrørende enkeltpersoners eventuelle klik i forbindelse med kampagnen.
Undgå phishing
Er du stadig i tvivl?
- Spørg en kollega, hvis du er i tvivl. Har han eller hun fået samme mail? Kan du ringe tilbage til afsenderen? Dette er især relevant, hvis du modtager en mail fra "din chef" om at udbetale større summer penge. Det kaldes også for CEO-svindel.
- Ring til Servicedesk for afklaring 6550 2990 eller send en mail.
- Din bank eller dit forsikringsselskab vil aldrig bede dig opdatere dine oplysninger via mail. Hvis du er i tvivl, er det altid bedst at ringe og spørge, inden du indtaster nogen oplysninger.
Har du spørgsmål?
GDPR- og informationssikkerhedskoordinatorerne er din lokale kontakt og rådgiver i dagligdagen om databeskyttelse og informationssikkerhed på SDU.