Svindel og phishing rettet mot borettslag
Se ekte eksempler på svindelforsøk og lær hva du skal se etter.
Styremedlemmer har tilgang til nettbank, felleskontoer og beboerdata. Svindlere vet dette, og målretter angrep mot styret. De vanligste angrepene er direktørsvindel og falske fakturaer.
Eksempel 1: Direktørsvindel
Svindleren utgir seg for å være styrelederen og sender en hastemelding til den som har tilgang til nettbanken:
Hei,
Jeg er i møte og kan ikke ringe, men vi må betale en faktura til rørlegger Andersen AS i dag. Kan du overføre kr 47 500,- til konto 1234.56.78903 så snart som mulig?
Viktig at det skjer i dag, ellers mister vi avtalen. Jeg forklarer mer etterpå.
Mvh,
Ola Nordmann
Styreleder
- Avsenderadresse: Gmail, ikke borettslagets e-post. Legg merke til ekstra «n» i navnet.
- Hastepreg: «Må skje i dag» — svindlere skaper tidspress for å hindre deg i å tenke.
- Kan ikke ringe: Svindleren vil unngå stemmesjekk for enhver pris.
- Nytt kontonummer: Alltid en ny konto du ikke har brukt før.
Eksempel 2: Falsk faktura fra «leverandør»
Dere har nylig hatt rørlegger inne. Kort tid etter dukker det opp en faktura:
Vedlagt faktura for utført arbeid i teknisk rom 14.–15. januar.
Vennligst merk at vi har byttet bank. Nytt kontonummer er: 9876.54.32100
Betalingsfrist: 7 dager.
- Domene: «roerlegger-andersen.com» er ikke det ekte firmaets domene — sjekk alltid nøye.
- Nytt kontonummer: Klassisk teknikk. Ring alltid leverandøren på nummeret dere allerede har.
- Kort betalingsfrist: Igjen tidspress for å unngå at dere sjekker.
Eksempel 3: Falsk innloggingsside
Du mottar en e-post som ser ut til å komme fra Microsoft eller Vibbo:
Din Microsoft 365-konto for borettslaget vil bli deaktivert om 24 timer grunnet manglende verifisering.
Klikk knappen under for å bekrefte kontoen din:
Hvis du ikke bekrefter, mister du tilgang til e-post og SharePoint.
- Avsender: «m1crosoft» med tallet 1 i stedet for bokstaven l.
- Skrivefeil: «Handlingskrevd» i stedet for «Handling kreves».
- Trusler: «Mister tilgang om 24 timer» — fryktdrevet tidspress.
- Lenke: Fører til en falsk side som ser ut som Microsoft, men stjeler passordet ditt.
Eksempel 4: «Man i midten»-angrep (AITM) — som omgår vanlig MFA
Du mottar en e-post som ser helt ekte ut fra Microsoft. Lenken fører til en side som ser identisk ut med den ekte innloggingssiden — men alt du skriver sendes gjennom angriperens datamaskin:
Vi har oppdaget et påloggingsforsøk fra en ukjent enhet. Hvis dette ikke var deg, vennligst bekreft identiteten din umiddelbart.
Hvis du ikke bekrefter innen 1 time, blir kontoen midlertidig låst.
- Avsender: «m1crosoft365.com» — falskt domene som ligner det ekte.
- Tidspress: «Innen 1 time» — presser deg til å handle uten å tenke.
- Lenken: Fører til en proxy-side som videresender alt til den ekte Microsoft-innloggingen i sanntid.
Du skriver inn passordet ditt — det sendes videre til ekte Microsoft. Du godkjenner MFA-varselet på telefonen — angriperen fanger opp sesjonsnøkkelen (en digital «adgangsbrikke» som beviser at du er logget inn). Nå er angriperen logget inn som deg, med full tilgang til e-post, SharePoint og styredokumenter.
Mottiltak: Bruk phishing-resistent MFA som passkeys (innlogging med fingeravtrykk eller ansikt) eller FIDO2 sikkerhetsnøkler (fysiske USB-/NFC-nøkler) — disse fungerer kun mot den ekte nettsiden og kan ikke lures av en falsk side. Gå alltid direkte til portal.office.com i stedet for å klikke lenker i e-post.
Gullreglene
1. Ring alltid. Før dere overfører penger til et nytt kontonummer — ring personen som ba om det på nummeret dere allerede har. Aldri ring nummeret i e-posten.
2. Sjekk avsenderadressen. Les hele e-postadressen nøye, ikke bare navnet som vises.
3. Aldri klikk «bekreft konto»-lenker. Gå heller direkte til tjenesten (skriv inn adressen selv) og logg inn der.
4. Tostegs godkjenning. Ha en fast regel: Ingen betalinger over et avtalt beløp uten at to personer har godkjent.
5. Del eksemplene. Vis denne siden til resten av styret. Bevissthet er det beste forsvaret.