Nätfiske är vanligt i samband med datorintrång och det kan användas som ett första steg för att komma in på insidan av organisationers brandväggar genom att skicka ett falskt mejl med en skadlig programvara som installeras i hemlighet.

FOI har sammanfattat resultaten från ett stort antal vetenskapliga publikationer om nätfiske. En slutsats som kan överraska många är att godtrogna personer inte går i fällan i högre grad än andra.

– Många har försökt göra kopplingen till personlighet men den statistiska kopplingen är svag, säger Teodor Sommestad, forskningsledare och projektledare för Informationssäkerhetskultur.

Kunskapen om nätfiske tycks däremot ha en betydelse för vem som går på ett nätfiskeförsök.

– De som gått en kurs klarar sig lite bättre. Det kan räcka med en femton minuter lång video och andra enkla utbildningar som exempelvis en informationsbroschyr.

Betet för själva nätfisket har betydelse för hur framgångsrikt det blir: vad det falska meddelandet handlar om har stor betydelse.

– Skickar du en falsk kursregistrering till studenter så får det större effekt än om de får ett erbjudande om en Ipad. Däremot har personligt anpassade beten mindre effekt än vad man kan tro, vilket sannolikt beror på att risken är större att avsändaren får detaljerna fel och därmed röjer sig, säger Teodor Sommestad.

Vad nätfiskaren ber om spelar också roll enligt FOI. 

– Det vanligaste och enklaste sättet är att angriparen får mottagaren att klicka på en länk och lura av dennes lösenord genom att länken leder till en webbsida som ser ut som den riktiga. Däremot har det visat sig svårare att få mottagaren att ladda ner ett program. Dels för att användaren blir misstänksam, dels för att det triggar datorns egna varningssystem och meddelanden, säger Teodor Sommestad.

Han menar att de flesta organisationer har någon form av blockering mot elaka mejladresser som gör det svårare att nå mottagarna.

– Det faktum att många forskare själva behövt samarbeta med IT-avdelningar för att få igenom sina nätfiske-mejl visar ju att det kan vara effektivt.

Nu kommer FOI att påbörja egna studier finansierade med stöd av MSB. FOI kommer under ett och halvt års tid att skicka nätfiske-mejl till ett antal testpersoner på olika företag. Samtidigt kommer testpersonerna att få utbildning i att identifiera nätfiskeförsök och deras chefer kommer att coachas av FOI i hur man utbildar kring nätfiske.

– Det ger oss möjlighet att djupdyka. Med egna tester kan vi få en uppfattning om vilken påverkan olika typer av utbildning och attityder till nätfiske har på i vilken utsträckning nätfiske lyckas. Förhoppningen är att kunna visa hur utbildning i kombination med chefers agerande har effekt.

Teodor Sommestad, som nu har börjat konstruera egna nätfiske-mejl inom ramen för projektet, skrattar till.

– Jag var på vippen att gå på mitt eget mejl när det hamnade i min inkorg. Jag klickade på mejlet men hindrade mig själv innan jag laddade ner bilagan.