En mail med emnet ‘Nyt organisationsdiagram’ dukkede i slutningen af maj op i indbakken på samtlige DR-medarbejdere. Med i mailen var et link til det formodede diagram - og det valgte 1406 medarbejdere i organisationen med omkring 3.000 ansatte at klikke på.
1406 medarbejdere gik dermed direkte i den phishing-fælde, som DR’s egen it-afdeling- DR Teknologi - havde lavet for at gøre DR-ansatte opmærksomme på phishing-faren.
»Vi arbejder med at skabe en bevidsthed omkring sikkerheden, så risikoen bliver mindre,« fortæller Erik Frederiksen, der er stabschef ved DR Teknologi, til Version2.
»I stedet for at lave en side, der forklarer hvad en phishing-mail er, har vi forsøgt at fange folks opmærksomhed med mail-testen,« forklarer han.
Høj procentdel faldt i fælde
Ud af de 1.406 personer, der lod nysgerrigheden råde og klikkede på linket i den falske phishing-mail, gik 787 videre til at logge ind på den side, linket førte hen til. Ud af en organisation på omkring 3.000 medarbejdere er det en høj procentsats, erkender Erik Frederiksen.
»Men resultatet svarer til andre organisation, så det er som sådan ikke overraskende,« tilføjer han.
Hos sikkerhedsfirmaet Dubex, der har assisteret DR med phishing-forsøget, har man samme opfattelse.
»Det er desværre vores generelle oplevelse, at der er forholdsvis mange som går i fælden. Der hænger klart sammen med, hvor professionel man laver mailen, men når den er målrettet specifikt mod en organisation, er der mange, som falder i,« fortæller Dubex-direktør Jacob Herbst.
Ren psykologi
Det er langt fra tilfældigt, at phishing-testen lokker med et nyt organisationsdiagram, fortæller han.
»Det er ren psykologi. Organisationsdiagrammer, fyringer, lønnings-information og nyansættelser er alt sammen noget, der fanger, fordi modtagerne har en fornemmelse af, at det er noget, der påvirker deres hverdag,« siger Jacob Herbst og tilføjer, at dem der laver phishinangreb godt ved, hvad der skal til for at hente kliks.
Selvom om DR’s falske mail på den måde effektivt lokker de ansatte, er der også indbyggede hints, der burde få alarmklokkerne til at ringe hos den opmærksomme modtager.
Fx kommer mailen fra et domæne, der ligner - men ikke er - et ægte DR-domæne - navnlig dr.dk-net.org. Derudover rummer teksten en syntaks-fejl og en blanding af dansk og engelsk stavemåde med ordet ‘Communikation’.
Som et brandberedskab
Det er et spørgsmål om at lære folk sund fornuft, understreger Jacob Herbst
»Det er de færreste, der spiser et lækkert stykke chokolade, de finder på fortovet. Vi skal give folk den samme sunde fornuft omkring it-sikkerhed - at du ikke kan klikke på alt, der havner i din mailboks,« siger han.
DR’s falske mail kom kun ud til samtlige medarbejdere, fordi spamfilteret blev tweaket til at tillade det forud for øvelsen. Men ifølge Dubex-direktøren vil den tekniske sikkerhed aldrig garantere, at der ikke slipper phishing-mails igennem.
»Ligesom folk skal vide, hvad de gør, når brandalarmen lyder, skal brugerne vide, hvordan de skal reagere, når de opdager noget mistænkeligt,« siger Jacob Herbst og fortsætter:
»Og her er det vigtigt, at vi arbejder med brugernes adfærd og handlemåder, og for at lykkes at ændre på det kræves der mere end et simpelt online kursus.«
Kunne være stoppet
Trods den høje andel af medarbejdere, der hoppede i DR’s phishing-fælde, er Erik Frederiksen godt tilfreds med resultatet af øvelsen.
»Få minutter efter mailen var sendt ud, fik vi de første indberetninger. Havde det været et rigtigt phishing-angreb, kunne vi have stoppet det relativt hurtigt,« fortæller han.
Nogle medarbejdere gik så vidt, som at opspore dem, der havde sendt mailen for at høre, hvad meningen var, fortæller stabschefen.
Det er netop den reaktion, som it-afdelingen håber på at lære DR-ansatte med phishing-mail, der nu er blevet til en informationsplakat i DR Byen.
»Hvis man ser noget, skal man hellere reagere end ignorere det. Få gjort it-afdelingen opmærksom på det, for der kan være flere, der har fået den samme mail,« understreger Erik Frederiksen.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
