Det er sidst på året, og snart skal du til at vælge julegaven fra arbejdspladsen. Så kommer der en mail, hvor du bliver lovet, at hvis du skynder dig og er hurtig, så får du sågar to flasker vin oveni. Men det skal være inden 24 timer, at du vælger din julegave, så skynd dig.

Du skynder dig at klikke på linket.

Du er faldet i fælden. Blevet snydt, narret, faldet i med begge ben.

Phishing-mails og scam er et massivt stigende problem i samfundet og også rettet mod offentlige myndigheders ansatte, hvor hackere og scammere kan snyde ansatte og få dem til at kompromittere for eksempel en kommunes IT-systemer.

I Favrskov Kommune modtog over 3.145 ansatte ovenstående mail i slutningen af oktober. Dog kom mailen ikke fra faktiske scammere, men den kom fra kommunen selv som en del af at træne de ansattes øjne for, hvornår der er tale om falske mails.

Her faldt over 100 ansatte i fælden, da fristelsen om to flasker vin fik dem til hurtigt at reagere på mailen, klikke på linket og indtaste login-oplysninger på siden.

"Det handler ikke om at udstille den enkelte medarbejder, som er kommet til at hoppe i. Det handler om at blive bedre til at spotte, så vi undgår den slags fejl og brud i fremtiden."

Sådan lyder det fra kommunens IT-chef, Henrik Brix. Han fortæller, at han ser disse test som helt afgørende for at skærpe de ansattes sans for, hvornår der er tale om mails og links, som man ikke bør klikke på.

Samtidig peger han på, at der bliver skabt en god dialog på baggrund af mailen, hvor ansatte får talt om, hvilke ting, som man skal være opmærksomme på.

"Der har ikke været fokus på, hvem der er hoppet i. Vi har ikke offentligt gjort navne på dem, der har, fordi vi har stillet ikke de oplysninger. Det er ikke det, det handler om," siger han og tilføjer:

"Det handler om, at jo mere vi træner, jo bedre bliver vi til at spotte sådan noget. Og jo mere opmærksomme bliver vi på at undgå den slags databrud. Og det er jo ikke kun i de her situationer. Altså, det kan jo også lige så godt være som privatperson, at man får sådan nogle mails. Det gør de fleste jo. Og der handler det jo også om at være god til at spotte det."

Kan man tillade sig at narre sine egne medarbejdere?

Kommunen har fået kritik fra ansatte, som mener, at det er dybt forkert bevidst at snyde sine ansatte på denne måde.

"Der er enkelte, der har sagt til mig og IT-afdelingen, at de synes, den var for tæt på, og at det principielt er lidt betænkeligt, at vi med vilje forsøger at narre medarbejderne," siger IT-chefen og anerkender synspunktet.

Han fortæller, at kommunen har haft metoden op i kommunens hoved MED-udvalg, som har støttet metoden og sagt, at de synes, det var en god idé, at de også kører kampagnen igen.

"Det er selvfølgelig en overvejelse, som vi gør os, og som vi også havde gjort os inden. Jeg kan sagtens forstå synsvinklen, men jeg må også sige, at det er da bedre at blive narret af sådan en her, og så få noget læring ud af det, og det ikke har nogen negative konsekvenser, end at en rigtig phishing-mail får held med det antal medarbejdere."

"Så er det her jo langt, langt bedre, så jeg synes, at det er okay at gøre. Men jeg har også forståelse for den anden synsvinkel."

IT-sikkerhed i fokus

Kommunen bruger e-learning kurser til de ansatte, hvor der er en række obligatoriske lektioner, som de skal gennemføre omkring IT-sikkerhed og blandt andet gode råd til, hvordan man spotter en phishing-mail.

De hovedelementer, som ifølge IT-chefen, bør få alarmklokkerne til at ringe i kommunens mail, er:

• Stavefejl i mailadresse.
• At gavebudgettet her er helt urealistisk. De ansatte bør blive mistænksomme omkring, at man pludselig kan få vin for 250 kr. oveni gaven.
• At mails bredt ud til kommunens ansatte på forhånd bliver varslet, hvilket denne ikke gjorde.
• Man bliver bedt om at logge ind på en simpel og mistænkelig login-side, der bl.a. ikke har kontaktoplysninger.

Ovenstående blev sendt ud til de ansatte efterfølgende, hvor man forklarede fokuspunkterne og metoden.

"Vi har fulgt op og har skrevet rundt at, er du en af dem, der er kommet til at afgive de oplysninger, så kan du være helt rolig, der er ikke sket noget i den her omgang, men vi vil da lige anbefale, at du går ind og tager den her e-learning lektion igen," siger Henrik Brix.

Og kommunen har i sinde at lave en test igen inden sommerferien og håber, at de ansatte har lært noget af kommunens IT-kurser.

"Jo mere man træner, jo bedre bliver man. Og det, det handler om her, det er at blive i stand til at spotte, at her er et eller andet, som er enten for godt til at være sandt, eller helt urealistisk, og så lade være med at hoppe på krogen," siger han og tilføjer, at man vil lave en test igen inden sommerferien.

Bør træne en gang om året

Henrik Brix understreger, at denne type test og et skærpet fokus på IT-sikkerhed er afgørende for, at kommunen og dens ansatte kan stå stærkt mod den store cybertrussel, som landet står overfor.

Ligesom at man har brandøvelser og træner beredskab, mener han, at denne type test også bør være fast praksis.

"Så laver vi sådan et skuespil, hvor vi ligesom forestiller os et eller andet scenarie, som nogen udefra har lavet til os. Hvordan ville vi så reagere?" siger han og afslutter:

"Og jeg kan bare sige, at hver gang vi gør det, så bliver vi klogere. Så er der et eller andet, som vi skal tilbagejustere. Noget vi opdager, at vi ikke har været helt skarpe nok på, eller noget, som ikke er opdateret. Så det hjælper os simpelthen."