En nätfiskepanel, hur fungerar det?

Under första halvåret 2022 mottog den holländska Fraud Helpdesk så många som 18 738 anmälningar om bedrägerier online [1]. Då var förlustbeloppet över 21 miljoner euro, vilket redan var 2,5 miljoner högre än första halvåret 2021. Onlinebedrägerier kommer i många olika former: bedrägerier i nätbutiker, bedrägerier med betalningsmetoder, identitetsbedrägerier, felaktig försäljning till privatpersoner och så vidare. Många av dessa former av bedrägerier underlättas av en nätfiskepanel (phishing panel). Vi kommer i den här artikeln att förklara mer detaljerat hur en nätfiskepanel fungerar och vilka utredningsmöjligheter som är involverade.

Driften av en webbplats
För att förstå hur en nätfiskepanel fungerar är det viktigt att först förstå hur en vanlig webbplats fungerar. En webbplats är en samling filer och mappar som placeras på en dator. Genom en IP-adress, en unik sträng som 100.200.80.60, kan datorn samt några av mapparna och filerna på den nås via internet. Att göra en webbplats tillgänglig på internet kallas också "hosting" på en "webserver".

Eftersom det inte är särskilt användarvänligt att skriva en IP-adress i adressfältet för att komma till en webbplats, används ett domännamn för att nå webbplatsen. Det angivna domännamnet (t.ex. dataexpert.eu) hänvisar till den dator på vilken webbplatsen finns.

En nätfiskepanel
En nätfiskepanel är inget annat än en webbplats eller en samling mappar och filer på en dator. Bilden nedan visar mappar med filer från en nätfiskepanel. När cyberbrottslingen gör dessa mappar tillgängliga via en webbserver publiceras nätfiskewebbplatserna automatiskt.

Genom att gå till avsnittet "admin" bakom domännamnet med en webbläsare kan cyberbrottslingar få tillgång till en adminpanel. Från den här administratörspanelen kan cyberbrottslingar välja en nätfiskeattack som 0,01 €-bedrägeriet eller PostNL-bedrägeriet.

Den valda attacken inkluderar färdiga nätfiskewebbplatser som kan visas för offren. Dessa nätfiskewebbplatser har det exakta utseendet som välkända och pålitliga organisationer, till exempel bankinloggningssidor.

När offren faller i fällan kan cyberbrottslingarna se data som matas in i realtid i adminpanelen. Dessutom kan de interagera live med offren för att ta reda på rätt information.

Förutom utseendet på webbplatserna som liknar befintliga affärssidor, använder cyberbrottslingar också domännamn som är mycket lika de vi är vana vid från de välkända webbplatserna. Med tillkomsten av andra toppdomäner (TLD) än .se och .com har det blivit lättare för cyberbrottslingar att leda ett offer vilse. Ta Tikkie som exempel. Är det rätta domännamnet https://tikkie.nl, https://tikkie.com, https://tikkie.online eller https://tikkie.me? Webbplatsen med .me-domänen är den riktiga "Tikkie"-tjänsten.

Möjligheterna för brottsbekämpning
Det är relativt lätt för en cyberbrottsling att förbli anonym på nätet och använda kriminella tjänster som nätfiskepaneler. Detta är möjligt eftersom de använder tekniker som en VPN-anslutning, en mobilanslutning eller ett offentligt Wi-Fi-nätverk. Ändå görs misstag regelbundet av cyberbrottslingar och chansen att bli gripen av brottsbekämpande myndigheter är reell. Däremot är det avgörande att utredarna vet vilka steg cyberbrottslingar går igenom för att sedan veta vilka spår de lämnar efter sig.

När det gäller nätfiske är det nödvändigt att se till den större bilden. Till exempel är det inte bara själva nätfiskewebbplatsen som är relevant för att ta reda på hur en cyberbrottsling arbetar, utan också hur de tog kontakt och hur de löste det ekonomiskt. Nedan har vi listat steg för steg vilken information som kan vara relevant att undersöka vid nätfiske:

1. Identifiera hur cyberbrottslingen tog kontakt:
   * Genom en onlineannons.
   * Via ett e-postmeddelande.
   * Via WhatsApp eller SMS.
2. Beroende på kontaktsätt kan olika datakällor rekvireras och undersökas:
   * Onlineannons: rekvisition av IP-adressdata för besök.
   * E-post: undersök e-posthuvudet.
   * WhatsApp eller SMS: fråga efter telefonnumret och begär IP-adressen från WhatsApp.
   * Undersök dessutom proprietära system & OSINT.
3. Ta reda på värdefull information om själva nätfiskewebbplatsen, inklusive:
   * Var finns den? Här begärs namn och adress, betalnings- och IP-adressuppgifter.
   * Var är domännamnet registrerat? Här rekvirerar du namn, betalning och IP-adress.
4. Kartlägg hur den ekonomiska avräkningen gick till.
   * Rekvivera namn, adress och andra uppgifter om motkontot.
   * Beställ IP-adressuppgifter vid inloggning och överföring.
   * Rekvirera kamerabilder om pengar tagits ut.

Följ våra kurser om it-brottslighet
Vill du lära dig mer om hur cyberkriminella fungerar? Delta i våra kurser om it-brottslighet. Under dessa utbildningar kartlägger vi (komplexa) cyberbrottsprocesser och lär dig hur du utreder cyberbrott med hänsyn till eventuella skaderisker.

Källa
[1] https://www.nu.nl/tech/6213738/dit-jaar-al-bijna-21-miljoen-euro-aan-schade-door-online-fraude-gemeld.html