Phishing flytter seg ut av e-posten og inn i tjenestekjøpte angrepssett

Push Security har publisert sin gjennomgang av phishing-trendene i 2025. En tredjedel av phishingen selskapet oppdaget, kom utenfor e-post, og flertallet av angrepene er av typen attacker-in-the-middle, der angriperen setter seg mellom brukeren og innloggingssiden. Angrepene drives i stor grad av kriminelle Phishing-as-a-Service-sett, altså ferdige angrepsverktøy som selges som en tjeneste.

Hva det betyr for virksomheten

Sikkerhetsopplæringen i de fleste norske virksomheter handler fortsatt om e-post. Når en tredjedel av forsøkene kommer via andre kanaler, treffer opplæringen ved siden av. Push Security peker også på at angriperne finner veier rundt phishingmotstandsdyktig autentisering med teknikker som ConsentFix og ClickFix, der brukeren selv lures til å gi et samtykke eller kjøre en kommando. Det betyr at MFA alene ikke lenger er et sluttpunkt i risikovurderingen.

Berigo anbefaler

• Utvid phishing-treningen til de kanalene folk faktisk bruker: chat, samarbeidsverktøy, SMS og sosiale medier.
• Gjennomgå hvilke tredjepartsapper brukerne kan gi samtykke til i identitetsplattformen, og krev administratorgodkjenning for nye.
• Logg og følg opp OAuth-samtykker og uvanlige innlogginger, ikke bare mislykkede passordforsøk.
• Test beredskapen mot et scenario der en sesjon er kapret etter gyldig MFA, ikke bare mot stjålne passord.

Kilde

• pushsecurity.com