Phishing i red teaming eller phishingkampagne: to forskellige formål

Phishing optræder både som et enkelt skridt i en red team-øvelse og som en kampagne, der sendes bredt ud til medarbejderne, og de to kan blive blandet sammen i bestillingen. Forskellen hviler på formålet: i red teaming er beskeden en adgangsvej, der skal bringe holdet videre mod et forretningsmål, mens en kampagne måler, hvordan en større gruppe medarbejdere og processer reagerer på mistænkelige beskeder. Vælg formen ud fra det spørgsmål, sikkerhedsfunktionen vil have besvaret, ikke ud fra hvilken metode der lyder mest realistisk.

Adgangsvej eller adfærdsmåling

MITRE ATT&CK placerer phishing under den taktik, der handler om at skaffe sig første adgang, og beskriver alle former for phishing som social engineering leveret elektronisk. I en red team-øvelse er det præcis den rolle, beskeden har. Den er døren ind, og det interessante er det, der sker bagefter: bliver adgangen opdaget, når holdet bevæger sig videre, og hvor langt når forløbet, før forsvaret griber ind? → MITRE ATT&CK i red teaming

En kampagne stiller et andet spørgsmål. Her er det selve reaktionen på beskeden, der er genstanden: hvor mange melder den, hvor hurtigt når meldingen frem, og hvad gør dem, der modtager meldingerne? Kampagnen siger meget om meldekulturen og lidt om, hvad en modstander kunne have opnået.

Den almindelige phishingtest, som nogle organisationer køber som en selvstændig ydelse, er forklaret for købere generelt på penetrationtest.dk. For en sikkerhedsfunktion i en større organisation er spørgsmålet snarere, hvilken af de to former der hører hjemme i et bestemt program.

Det, en phishingmail i scenariet kan vise

Når phishing indgår i et red team-scenarie, sendes der som regel få, målrettede beskeder til en aftalt gruppe. Formålet er ikke at tælle klik. Det er at undersøge, om en realistisk vej ind bliver fanget af filtre, meldt af modtageren eller set af overvågningen, og hvad der sker, hvis ingen af delene sker.

Filtre og opsætning · nåede beskeden frem, og hvorfor?
Melding · meldte modtageren beskeden, og blev meldingen fulgt op?
Synlighed · så overvågningen de spor, et klik efterlod?
Videre forløb · hvor langt nåede holdet fra den første adgang, før nogen reagerede?

Et enkelt klik i scenariet er derfor ikke et fund om den medarbejder, der klikkede. Det er et udgangspunkt for at måle resten af forsvaret. En øvelse kan med fordel have en aftalt reserve, hvis ingen klikker, så resten af scenariet stadig kan afprøves. → Leg-up: når white team hjælper holdet videre

Det, en kampagne kan vise

En kampagne giver bredde frem for dybde. Den kan vise forskelle mellem afdelinger, lokationer eller kanaler, og den kan gentages, så udviklingen kan følges. Det britiske NCSC anbefaler i sin vejledning om phishing at måle, hvor mange der melder en mistænkelig besked, og ikke kun hvor mange der klikker, og peger på, at medarbejdere, der melder, kan fungere som et tidligt varslingssystem.

Kampagnen siger derimod intet om, hvad en modstander kunne have gjort med adgangen. Den måler ikke nødvendigvis overvågningen, fordi beskederne kan være hvidlistet, eller fordi SOC-leverandøren er orienteret. Brug den, når spørgsmålet handler om mennesker og processer i bredden.

Hensynet til tillid

Begge former rammer medarbejdere, der ikke har sagt ja til at være med. NCSC advarer om, at phishingsimuleringer kan skabe juridiske risici og svække tilliden mellem medarbejderne og sikkerhedsfunktionen, og anbefaler at afklare med HR, før de gennemføres. Advarslen gælder i særlig grad kampagner, der sendes til mange, og som gentages hyppigt.

I en red team-øvelse er antallet af modtagere lille, men den enkelte besked er mere målrettet. Det stiller krav til, hvilke temaer der er udelukket, og til, at den medarbejder, der blev ramt, behandles med respekt bagefter. → Medarbejderhensyn

Når de to blandes

Det sker, at en kampagne bliver bestilt som en del af en red team-øvelse for at få begge svar på én gang. Resultatet kan blive, at ingen af delene lykkes. En bred udsendelse til mange medarbejdere vækker opmærksomhed, meldes til servicedesken og kan afsløre øvelsen, før holdet har nået sine mål. Samtidig bliver kampagnens tal svære at bruge, fordi de er påvirket af et scenarie, der havde et andet formål.

Hold de to adskilt i tid og i rapportering. Hvis organisationen gerne vil have begge dele, kan kampagnen ligge før eller efter øvelsen og have sin egen målgruppe, sin egen godkendelse og sin egen rapport. White team bør i alle tilfælde vide, om der kører en kampagne i samme periode, så de to ikke forveksles. → Øvelse eller rigtigt angreb?

Rækkefølgen i et sikkerhedsprogram

For en organisation kan det give mening at se de to former som trin i samme program. Kampagnen kan med fordel komme først, fordi den kan vise, om meldevejen overhovedet virker, og om medarbejderne ved, hvor de skal henvende sig. Hvis meldingerne ikke når frem, eller ingen følger op på dem, er det et kendt svagt punkt, som ikke behøver at blive bekræftet af et red team.

Når meldevejen fungerer, bliver spørgsmålet et andet: hvad sker der, når en enkelt besked slipper igennem, og ingen melder den? Det er her, et red team-scenarie med phishing som adgangsvej giver ny viden. Rækkefølgen er ingen regel, men den hjælper med at undgå, at en dyr øvelse bruges til at bekræfte noget, en kampagne kunne have vist.

Det skal I lade være med

At kalde en kampagne for red teaming · den måler reaktion i bredden, ikke et forløb mod et mål.
At bruge klikrater fra et scenarie som awareness-tal · få, målrettede beskeder giver ikke et billede af hele organisationen.
At lade scenariet stå og falde med et klik · aftal en reserve, så resten af forsvaret stadig afprøves.
At køre begge dele samtidig uden at white team ved det · det skaber forvirring om, hvad der er hvad.
At springe HR over, fordi målgruppen er lille · en målrettet besked kan opleves mere personligt end en bred kampagne.

Hvad kan og ikke kan konkluderes

En phishingmail i et scenarie kan vise, om en realistisk vej ind bliver opdaget, og hvor langt den rækker. Den kan ikke sige noget om, hvor modtagelig organisationen er som helhed. En kampagne kan vise mønstre i meldinger og reaktioner på tværs af grupper, men ikke, hvad en modstander ville have opnået. Ingen af de to former kan forudsige, hvordan den enkelte medarbejder reagerer næste gang.

Tjekliste før valget

☐ Er spørgsmålet formuleret: adgangsvej i et scenarie eller måling i bredden?
☐ Er målgruppen og temaerne godkendt, og er HR inddraget?
☐ Er der en reserve, hvis den første adgang ikke lykkes?
☐ Ved white team, om der kører andre kampagner i perioden?
☐ Er det aftalt, hvordan resultatet rapporteres uden navne?
☐ Er det tydeligt, hvilken rapport der besvarer hvilket spørgsmål?

Kilder

MITRE ATT&CK: Phishing (T1566): phishing som teknik under taktikken Initial Access og som elektronisk leveret social engineering.
NCSC (UK): Phishing attacks, defending your organisation: om simuleringers risiko for tillid og jura, inddragelse af HR og måling af meldinger.

Senest gennemgået: oktober 2026.