Zero-click phishing kræver kontrol af mailplatformen

Ved klassisk phishing skal modtageren typisk klikke på et link, åbne en fil eller udlevere oplysninger. Ved zero-click-phishing kan selve visningen af en e-mail være tilstrækkelig til at udnytte en sårbarhed i mailplatformen. Artiklen gennemgår fire kontroller, der reducerer risikoen og gør forsvaret mindre afhængigt af medarbejderens reaktion.

Phishing bliver ofte betragtet som et spørgsmål om medarbejdernes opmærksomhed. En international advarsel fra juli 2026 viser imidlertid, hvorfor e-mailsikkerhed også kræver teknisk og organisatorisk kontrol med selve mailplatformen.

I den konkrete kampagne blev forældede versioner af Zimbra Collaboration Suite målrettet med ondsindede e-mails. Brugeren behøvede ikke at klikke på et link eller åbne en vedhæftet fil. Det kunne være tilstrækkeligt, at e-mailen blev vist i den sårbare webmailtjeneste. Sagen viser derfor, at awareness-træning ikke kan stå alene. Virksomheden skal også have styr på opdateringer, overvågning, leverandører og beredskab.

Den nederlandske efterretningstjeneste AIVD beskrev den 23. juli, hvordan den Rusland-støttede aktør Laundry Bear målrettede forældede Zimbra-mailservere. Ifølge AIVD kunne aktøren ved udnyttelse få adgang til op til 90 dages e-mailtrafik samt søgehistorik, adressebog og andre følsomme oplysninger. Herefter forsøgte aktøren at fastholde adgang til miljøet.

Det britiske NCSC’s HTML-meddelelse om den fælles advarsel præciserer, at kampagnen ikke krævede et klik på et link eller åbning af en fil. Brugeren skulle blot vise den ondsindede mail i en sårbar version af webmailtjenesten. Meddelelsen angiver også Danmark som medunderskriver. Det dokumenterer dansk myndighedsdeltagelse, men er ikke i sig selv dokumentation for danske ofre.

CERT-EU tog kampagnen med i Cyber Brief 26-08 og fremhævede, at vestlige offentlige og private sektorer var berørt globalt. Sagen er produktspecifik, men læringen er bred: Når mailklienten eller mailserveren fortolker indholdet, kan en sårbarhed flytte angrebspunktet fra brugerens beslutning til selve platformens behandling af mailen.

Phishingforsvaret skal omfatte drift og leverandører

Awareness-træning er fortsat vigtig mod falske login-sider, betalingssvindel og andre almindelige former for phishing. Sikkerdigitals vejledning om phishing fokuserer eksempelvis på at genkende mistænkelige e-mails, links og afsendere. Zero-click-phishing kan imidlertid ikke forebygges alene gennem medarbejdernes adfærd, fordi angrebet udnytter selve mailplatformen.

Forsvaret skal derfor også omfatte systemejerskab, drift, sårbarhedshåndtering, overvågning og beredskab. Ledelsen bør vide, hvem der har ansvaret for hvert område, og hvordan virksomheden følger op på leverandørernes opgaver.

Det afgørende er ikke kun, om virksomheden anvender Zimbra. Det er, om alle mailrelaterede komponenter kan identificeres, og om deres version, supportstatus og driftsansvar er kendt. Virksomheden skal desuden kunne modtage leverandørvarsler, prioritere kritiske sårbarheder og dokumentere, at nødvendige opdateringer er installeret.

Sikkerdigital understreger, at opdateringer lukker kendte sikkerhedshuller. Det kræver dog, at opdateringerne bliver installeret på de relevante systemer. Hvis en leverandør varetager opgaven, skal virksomheden derfor kunne følge op på, om og hvornår den er udført.

Mailplatformen kræver særlig opmærksomhed, fordi den både er kommunikationskanal, en central del af identitetsmiljøet og et arkiv for forretningskritisk viden. Et kompromis kan eksponere fortrolige oplysninger, danne grundlag for efterfølgende svindel og gøre e-mail uegnet til krisekommunikation. Virksomhedens risikovurdering bør derfor afspejle mailmiljøets konkrete data, processer og afhængigheder frem for alene at bygge på leverandørens generelle sikkerhedsbeskrivelse.

1. Kortlæg hele mailmiljøet

Registrér mailserver, webmail, gateway, spamfilter, identitetsløsning, arkiv, integrationer og de leverandører, der driver eller administrerer dem. Kortlæg også interneteksponering, administratoradgange, datatyper og kritiske afhængigheder.

Et produktnavn i en kontrakt giver ikke et tilstrækkeligt systemoverblik. Versionsoplysninger, supportstatus, konfigurationer og driftsansvar skal kunne findes hurtigt, når en kritisk sårbarhed bliver offentliggjort.

2. Prioritér opdateringer efter risiko

En kritisk sårbarhed i en internetvendt mailplatform med adgang til fortrolige oplysninger bør normalt håndteres hurtigere end en tilsvarende sårbarhed i et isoleret testsystem.

Fastlæg på forhånd, hvem der kan godkende et akut vedligeholdelsesvindue, hvordan relevante data og konfigurationer sikres, og hvordan mailflow og login bliver kontrolleret efter opdateringen. Hvis en leverandør udfører arbejdet, bør virksomheden kræve dokumentation for tidspunkt, installeret version og resultatet af den efterfølgende kontrol.

3. Brug logning til at opdage og undersøge misbrug

Bevar relevante logs fra webmail, autentifikation, administration og netværk længe nok til, at et nødvendigt tilbageblik kan gennemføres. Overvåg blandt andet usædvanlige sessioner, ændrede videresendelsesregler, nye administrative handlinger og uventede dataoverførsler.

Et tilsyneladende normalt login udelukker ikke, at en session eller selve platformen allerede er kompromitteret. Logningen skal derfor gøre det muligt både at opdage afvigelser og efterfølgende fastslå, hvad der er sket.

4. Øv håndteringen af de første timer

Beredskabet skal beskrive, hvordan virksomheden isolerer en berørt mailtjeneste, bevarer tekniske spor, ændrer relevante legitimationsoplysninger, vurderer berørte data og koordinerer indsatsen med leverandøren. Øvelsen bør også afklare, hvordan virksomheden kommunikerer, hvis e-mail ikke længere kan betragtes som en sikker kanal.

Aftal desuden, hvem der vurderer, om hændelsen udgør et brud på persondatasikkerheden, og hvem der træffer beslutning om kommunikation til kunder, medarbejdere og myndigheder. Den tekniske håndtering og den juridiske vurdering bør foregå parallelt og bygge på samme tidslinje og dokumenterede oplysninger. Det reducerer risikoen for, at afhjælpningen sletter vigtige spor, eller at organisationen kommunikerer modstridende oplysninger om hændelsen.

En afprøvet it-beredskabsplan gør det lettere at opdage manglende kontaktoplysninger, uklare beslutningsmandater og kritiske afhængigheder, før en reel hændelse opstår.

Awareness er stadig nødvendigt, men kan ikke stå alene

Zero-click-phishing gør ikke medarbejdertræning overflødig. Det viser derimod, at træningen skal indgå i et samlet forsvar med opdateringer, overvågning, begrænsede rettigheder, leverandøropfølgning og et afprøvet beredskab.

Ledelsens opgave er at sikre dokumentation for, at mailmiljøet er kortlagt, opdateret og overvåget, og at organisationen kan reagere, hvis det bliver kompromitteret. Dermed reduceres risikoen for, at én sårbar komponent får omfattende konsekvenser for virksomhedens drift, data, kommunikation og leverancer.