Lurt på Linkedin – ber andre være forsiktige: – Det er ingen tvil om at svindlere bruker sosiale medier for å lure deg

Lars Magne Hovtun, seniorrådgiver i Næringslivets sikkerhetsråd, har skapt engasjement rundt Linkedin-henvendelser med lumske hensikter – og han gjorde det med nettopp et Linkedin-innlegg.

I innlegget sitt forteller han hvordan han tidligere godtok alle forespørsler på det sosiale nettverket, men at han etter en dramatisk hendelse har blitt mye mer forsiktig. Nå oppfordrer han andre med store kontaktnettverk på den sosiale plattformen til å tenke seg om to ganger før de godtar en forespørsel. 

Brukte nettverk som inngangsbillett

I bank- og finansverdenen opptrer Linkedin som det store sosiale mediet.
Samtlige av sjefene i de store bankene i Norge har over 500 kontakter («500+») på det sosiale nettverket, som er det høyeste offentlige antallet kontakter som vises på Linkedin. Har man flere kontakter, offentliggjøres ikke dette på profilen. Det vil være rimelig å anta at banksjefene har godt over 500 stykker på kontaktlisten sin. Kjenner de alle sammen personlig, eller utsetter de seg selv potensielt for et angrep?

På Linkedin forteller Hovtun at han for en stund siden var sikkerhetssjef på et stort arrangement. 

«Et navn på gjestelisten skilte seg ut som mistenkelig. Etter et raskt søk på Linkedin ble jeg heldigvis beroliget. Vi hadde over 25 felles kontakter, og flere av dem skulle på det samme arrangementet. Jeg antok derfor at alt var i orden. Det var en tabbe!»

Slik begynner Hovtuns innlegg. Han forteller videre at personen under arrangementet begynte å oppføre seg både merkelig og plagsomt, og det viste seg etterhvert at vedkommende var en kjenning av politiet. Denne personen hadde knyttet til seg så mange Linkedin-kontakter i Hovtuns nettverk at han kom seg inn på arrangementet.

Les hele historien i Linkedin-innlegget lenger ned i saken.

Vil skape bevissthet

– Målet mitt med dette var å vise et eksempel på hvorfor det er verdt å tenke seg om, forteller Hovtun.

– Jeg har en tydelig grense for å legge til kontakter jeg faktisk har møtt, men jeg forstår verdien av digital nettverksbygging. Målet er ikke å komme med et svar på hvordan vi skal løse dette, men å skape bevissthet. Både hos de som legger til, men også de som ser at vi har 20-30 felles venner og tar det som en slags kvalitetsstempel. 

Han forteller at han opplever at folk ubevisst stoler på personer med felles venner, fordi det bygger tillit, og at det da er naturlig at man ikke er like kritisk som hvis man ikke har noen felles venner.

Spearphishing

– I mitt eksempel ble jeg lurt av dette på et arrangement, men det er ingen tvil om at denne typen sosial manipulering er aktuell for svindel og bedrageri. Eksempelvis har ganske avanserte digitale angrep mot norske bedrifter startet på Linkedin som en rekrutteringsdialog, der man blir lurt til å åpne skadevare.

Dette er en svindelmetodikk som kalles spearphishing, hvor svindlerne går etter utvalgte ansatte i en bedrift og kontakter disse via for eksempel LinkedIn. Her blir de bedt om å oppgi informasjon forkledd som en markedsundersøkelse eller lignende, som egentlig brukes i kartleggingsøyemed mot en forestående svindel, ifølge svindel- og sikkerhetsekspertene Olsen og Myklevoll i Sparebanken Sør. De hadde fått med seg Hovtuns innlegg og var kjent med metodikken som ble brukt.

– Det er en trend at slike digitale angrep og svindelforsøk blir så avanserte at det er vanskelig å oppdage hva som er ekte og ikke, forteller Hovtun. 

– Det gjør at vi må jobbe enda mer med både sikkerhetskultur og tekniske sikkerhetstiltak. Jeg jobber mye med svindel og digital sikkerhet, men det er veldig komplekst. I tilfeller med sosiale medier er vi i stor grad overlatt til brukernes egen årvåkenhet.

Ekte mennesker

Hovtun forteller at han etter denne opplevelsen kun aksepterer personer på Linkedin som han faktisk har møtt. 

– Tidligere hadde jeg en ide om at Linkedin var et sted å bygge nettverk, og var mye mer liberal. Etter denne aha-opplevelsen har jeg endret adferd. Jeg gjør noen unntak for folk jeg har hatt mye digital kontakt med, men hovedregelen er at jeg må ha møtt dem, forteller han. 

– Jeg vil ikke legitimere en aktør som senere kan manipulere andre. Derfor er jeg veldig restriktiv. De du får opp som felleskontakter hos meg, er ekte mennesker.

Hovtun forteller videre at han etter hendelsen gjennomgikk kontaktene sine på Linkedin og sjekket at alle faktisk var de de utga seg for å være. Det er verdt å merke seg at han likevel fortsatt har «500+» kontakter på nettverket.

– Den sosiale manipuleringen vi ser blir stadig mer avansert. En god regel er å ta antall felles kjente med en klype salt og være noe mer restriktiv med hvem man legger til selv. Svindlere og hackere blir stadig mer utspekulerte, og det er ingen tvil om at de bruker sosiale medier for å lure deg.

Hovtuns arbeidsplass Næringslivets sikkerhetsråd eies av NHO, Virke, Spekter, DNK og Rederiforbundet. Næringslivets sikkerhetsråd jobber for næringslivets kollektive sikkerhet, spesielt mot tilsiktede trusler, og samarbeider med ulike bransjer om sikkerhet og beredskap, med særlig fokus på sosial manipulasjon og digitale angrep.