Executive Summary
Consent phishing er et angreb, hvor en medarbejder ikke bliver bedt om at udlevere sit password, men om at trykke ja til en app-tilladelse i Microsoft 365. Det ser ofte legitimt ud, fordi skærmbilledet kommer fra Microsofts egen login- og samtykkeflade. Når tilladelsen først er givet, kan angriberen få adgang til mail, kalender, filer eller brugerdata via OAuth, selv om MFA er slået til. Microsoft anbefaler derfor at begrænse brugerens mulighed for selv at give samtykke og at styre det via administratorer og godkendte udgivere. Microsoft beskriver selv denne kontrol her.
For en dansk SMV er problemet ikke kun teknisk. Det er et ledelsesproblem, fordi adgang til kundedialog, kontrakter og delte dokumenter kan fortsætte i dage eller uger, indtil tilladelsen bliver opdaget og fjernet. NCSC beskriver phishing som noget, der i praksis udnytter tillid, hastværk og helt almindelig adfærd på en travl arbejdsdag. Det passer præcist på consent phishing, hvor brugeren oplever en helt legitim Microsoft-boks, men tager en forkert beslutning under tidspres. NCSC’s vejledning om phishing er en god baggrund for at forstå det mønster.
Løsningen er heldigvis til at omsætte. Din virksomhed kan reducere risikoen markant med tre ledelsesbeslutninger: stop fri bruger-consent til apps, indfør en enkel godkendelsesproces for nye apps, og gennemfør en fast månedlig 15-minutters kontrol af app-tilladelser og usædvanlige samtykker sammen med jeres IT-partner eller MSP. Kombinér det med målrettet awareness-træning og et regelmæssigt sikkerhedstjek af Microsoft 365, så bliver det en styrbar driftsrutine i stedet for en skjult risiko.
Hvad consent phishing egentlig er
Den korte forklaring er, at angriberen prøver at få din medarbejder til at godkende en app, som beder om adgang til data i Microsoft 365. Det kan være mail, filer i OneDrive eller SharePoint, kontaktoplysninger eller mulighed for at læse brugerprofil og vedligeholde adgang over tid. Angrebet bruger OAuth, som i sig selv er en legitim måde at give apps adgang på. Problemet opstår, når en falsk eller tvivlsom app får for brede rettigheder.
Det er derfor mere præcist at kalde det en falsk app-tilladelse end et kompliceret OAuth-angreb. For medarbejderen ligner det typisk en almindelig Microsoft-dialog med en liste over tilladelser og en knap, der siger accepter eller godkend. Hvis brugeren kun er trænet i at undgå falske login-sider, men ikke i at vurdere app-tilladelser, er det let at falde i.
Microsoft understreger, at forskellige tilladelser giver forskellig adgang, og at nogle tilladelser kan gives af brugeren selv, mens andre kræver administrator. Microsoft anbefaler som udgangspunkt at begrænse bruger-consent, så brugere kun kan give samtykke til apps fra verificerede udgivere og kun til udvalgte tilladelser. Se Microsofts anbefaling her.
Hvorfor MFA ikke redder dig her
Mange ledere tror, at MFA lukker emnet. Det gør det ikke i denne type angreb. Ved consent phishing logger brugeren ofte ind helt normalt og gennemfører MFA korrekt. Problemet er, at brugeren bagefter giver en legitim adgangsbillet til en app, som angriberen kontrollerer eller misbruger.
CISA peger på, at ikke alle former for MFA beskytter mod alle angrebstyper, og at phishing-resistent MFA er den stærkeste model mod klassisk credential phishing. Men consent phishing går uden om selve password-tyveriet, fordi angriberen får adgang via tilladelser frem for stjålne credentials. Derfor hjælper selv en moden MFA-opsætning ikke alene, hvis medarbejderen kan godkende en risikabel app. CISA’s faktaark om phishing-resistent MFA forklarer, hvorfor MFA-styrke og angrebstype skal tænkes sammen.
For en SMV betyder det noget meget konkret. Du kan have investeret i MFA, adgangspolitikker og gode passwords, men stadig stå med vedvarende adgang til mail og filer hos en angriber, hvis app-samtykke ikke er under kontrol. Det er netop derfor, app permissions skal være et ledelsespunkt og ikke kun en teknisk detalje.
Det medarbejderen ser på skærmen
I praksis starter angrebet ofte med en mail eller chatbesked, der ligner en legitim invitation. Det kan være et dokument, en ny HR-løsning, et lønværktøj eller et samarbejdsværktøj, som medarbejderen bliver bedt om at åbne. Linket sender brugeren til Microsofts login eller samtykkeside, og derfor føles oplevelsen tryg.
Den kritiske detalje er listen over tilladelser. Hvis brugeren ser formuleringer som adgang til at læse mail, læse filer, bevare adgang til data du har givet den adgang til eller logge dig ind og læse din profil, skal alarmklokken ringe. Microsoft beskriver selv, at administratorer skal forstå forskellen på delegerede tilladelser og applikationstilladelser og vurdere, om de rettigheder, en app beder om, faktisk matcher formålet. Microsofts vejledning om evaluering af samtykke er nyttig her.
For de fleste medarbejdere er det ikke realistisk at vurdere tekniske scopes. Derfor skal du oversætte det til hverdagsadfærd. Hvis en app beder om mere, end opgaven kræver, skal den ikke godkendes. Hvis afsenderen presser på for hurtig handling, skal brugeren stoppe. Og hvis virksomheden ikke allerede har godkendt værktøjet, skal medarbejderen sende det videre til den ansvarlige i stedet for selv at træffe beslutningen.
Tre ledelsesbeslutninger der sænker risikoen markant
Det vigtigste er ikke at lære hver medarbejder OAuth udenad. Det vigtigste er at tage tre beslutninger, som gør den rigtige adfærd nemmere end den forkerte.
Første beslutning er at begrænse eller fjerne fri bruger-consent til apps i Microsoft 365 og Entra ID. Microsoft anbefaler, at samtykke kun tillades for apps fra verificerede udgivere og kun for udvalgte, lavrisiko-tilladelser. Det flytter risikoen væk fra den enkelte medarbejders klik og over i en styret proces. Det beskrives her.
Anden beslutning er at indføre en lille, praktisk godkendelsesproces for nye apps. Den behøver ikke være tung. En mail eller formular til IT-partneren er nok, hvis den indeholder app-navn, formål, ejer i forretningen og ønskede tilladelser. Microsoft anbefaler at bruge admin consent workflow, så brugere kan anmode om godkendelse direkte fra samtykkeskærmen, mens beslutningen centraliseres hos administratorer. Se Microsofts beskrivelse af admin consent workflow.
Tredje beslutning er at gøre app-tilladelser til en fast kontrolopgave. Mange SMV’er har styr på brugere og MFA, men ikke på hvilke tredjepartsapps der allerede har adgang. Microsoft anbefaler audit og monitorering af apps og tildelte tilladelser for at opdage mistænkelige eller uønskede samtykker. Et kvartalsvist eller månedligt tjek er derfor en enkel måde at få kontrol på. Hvis du vil starte lavpraktisk, er et sikkerhedstjek et godt sted at samle overblikket.
En 15-minutters månedlig kontrolrutine
Hvis du vil gøre det konkret, kan din virksomhed indføre en fast 15-minutters rutine den første uge i måneden sammen med jeres IT-partner eller MSP. Det er kort nok til at blive gjort, men stærkt nok til at fange mange problemer tidligt.
- Gennemgå nye eller ændrede enterprise apps og app registrations siden sidste måned.
- Tjek hvilke tilladelser der er givet, især adgang til mail, filer, offline access og bred læseadgang.
- Bekræft at appens udgiver er kendt og forretningsbehovet stadig er gyldigt.
- Fjern eller tilbagekald tilladelser til apps, som ingen ejer, ingen bruger eller som virker for brede.
- Gem et kort notat om hvad der er gennemgået, hvem der godkendte det, og hvilke handlinger der blev taget.
Microsoft beskriver både behovet for at auditere apps og muligheden for at tilbagekalde tidligere givet samtykke og begrænse brugeradgang til applikationer. Se oversigten over gennemgang og tilbagekaldelse her.
Den rutine giver også værdi i forhold til governance. Når ledelsen kan dokumentere, at adgang til forretningsdata bliver gennemgået løbende, står virksomheden stærkere i dialog med kunder, revisor, forsikring og compliance-arbejde. Hvis din virksomhed arbejder med NIS2 eller ISO 27001, giver det mening at koble denne type identitetskontrol sammen med en modenhedsanalyse og ledelsesforankring i en workshop for ledelse og bestyrelse.
De advarselstegn du skal reagere på med det samme
Der er sjældent ét dramatisk tegn. Til gengæld er der flere små signaler, som tilsammen peger på, at noget er galt. En medarbejder fortæller måske, at Microsoft bad om at godkende en app for at se et dokument. En leder opdager, at en ukendt app ligger under virksomhedens enterprise applications. Eller IT-partneren ser samtykke til en app med bred adgang, som ingen i forretningen kan forklare.
NCSC’s generelle råd om phishing passer godt her: stop op, vær skeptisk over for hastebudskaber, og verificér via en anden kanal, hvis noget virker usædvanligt. NCSC anbefaler netop den adfærd. I en SMV kan du oversætte det til en enkel regel: Ingen godkender nye apps med adgang til mail eller filer uden intern afklaring først.
Hvis du vil mindske sandsynligheden for, at medarbejdere klikker ja af vane, så gør det til en del af jeres awareness-træning. Ikke som skræmmekampagne, men som træning i at genkende en falsk app-tilladelse på samme måde, som man lærer at genkende en falsk login-side.
Dit næste skridt i denne uge
Book 30 minutter internt med den person, der har ansvar for Microsoft 365, og få svar på fire spørgsmål: Kan medarbejdere selv give samtykke til apps? Har I en godkendelsesproces for nye apps? Gennemgår I eksisterende app-tilladelser fast? Og ved medarbejderne, at en Microsoft-godkendelsesskærm også kan være en risiko?
Hvis svaret er nej til bare ét af punkterne, så start med et simpelt mål for de næste 14 dage: begræns bruger-consent, indfør én godkendelsesvej for apps og aftal den månedlige 15-minutters kontrol. Det giver ro i maven, bedre styring og mindre afhængighed af enkeltpersoners klik. Vil du samle det i en mere fast model, kan du lade det indgå i jeres løbende sikkerhedsarbejde via Forkant™.