Varför det inte är säkert att skicka e-post med lösenordsskyddade ZIP-filer (och vad man ska göra istället)

"Komprimera filen till ett lösenordsskyddad ZIP, maila den och skicka sedan lösenordet i ett uppföljande e-postmeddelande." Denna praxis är standard i många organisationer - och den är i grunden trasig.

I Japan är denna metod så vanlig att den har ett namn: PPAP. Den japanska regeringen övergav det officiellt 2020. Här är anledningen till att alla organisationer borde göra detsamma.

Varför den här metoden inte fungerar

1. Lösenordet går samma väg som filen

Du skickar ZIP-filen och lösenordet från samma e-postkonto till samma mottagare. Om e-postmeddelandet fångas upp får angriparen båda. Det är som att låsa dörren och tejpa nyckeln bredvid den.

2. Säkerhetsprogramvara kan inte skanna inuti

De flesta e-postsäkerhetsgateways kan inte inspektera innehållet av lösenordsskyddad ZIP-filer. Istället för att förbättra säkerheten skapar denna praxis faktiskt en väg för skadlig programvara att kringgå ditt försvar.

Kampanjen Emotet skadlig programvara utnyttjade detta specifikt genom att distribuera sig själv genom lösenordsskyddade ZIP-poster.

3. ZIP-kryptering är svag

Standard ZIP-kryptering (ZipCrypto) har kända sårbarheter. Med rätt verktyg kan dessa filer knäckas på några minuter.

4. Förhindrar inte missriktade e-postmeddelanden

Om du skickar det första e-postmeddelandet till fel person kommer du nästan säkert att skicka det andra till samma fel person. Denna metod ger noll skydd mot mänskliga fel.

5. Hemsk användarupplevelse

• Mottagare måste gräva igenom e-postmeddelanden för att hitta lösenordet
• ZIP-filer är svåra att öppna på mobila enheter
• Upprepad lösenordsinmatning är frustrerande

Bättre alternativ

Alternativ 1: Molnlagring Delningslänkar

Använd Google Drive, OneDrive, Dropbox eller liknande molnlagring för att dela filer via länkar.

Proffs:

• Granulära åtkomstbehörigheter
• Ladda ner spårning
• Möjlighet att återkalla åtkomst
• Skadlig programvara skanning fungerar
• Versionskontroll

Nackdelar:

• Alla tjänster tillåter inte lösenordsskyddande enskilda länkar
• IT-policyer kan begränsa extern delning

Alternativ 2: Lösenordsskyddade länkar

Slå in din molnlagringsdelningslänk med lösenordsskydd. LOCK.PUB låter dig lägga till ett lösenord till alla URL — inklusive Google Drive-länkar, Dropbox-länkar eller andra ladda ner URL.

Jämförelse	ZIP + e-post	LOCK.PUB + Moln
Lösenordssökväg	Samma (e-post)	Kan separeras
Skadlig programvara skanning	Blockerad	Fungerar normalt
Åtkomstloggar	Inga	Tillgänglig
Återkalla åtkomst	Omöjligt	Radering av länk
Felriktad e-postfix	Inga	Ta bort länk omedelbart

Alternativ 3: Business Chat Fildelning

Dela filer direkt via Slack, Microsoft Teams eller andra företagsmeddelandeplattformar. Dessa ger bättre säkerhet än e-postbilagor, även om lagringspolicyer och säkerhetsinställningar kräver uppmärksamhet.

Alternativ 4: Filöverföringslösningar för företag

För organisationer med strikta efterlevnadskrav:

• Låda — Finkornig åtkomstkontroll och revisionsloggar
• SharePoint — Microsoft 365-integration
• Citrix ShareFile — Säker överföring i företagsklass

Hur man övergår från ZIP + e-post

Steg 1: Bedöm nuvarande användning

• Undersök hur brett denna praxis används i din organisation
• Identifiera vilka externa partners som förväntar sig denna metod

Steg 2: Välj alternativ

• Välj verktyg som passar din IT-miljö
• Jämför kostnader och driftskostnader

Steg 3: Gradvis migrering

– Börja internt först

• Meddela externa partners om förändringen
• Tillåt en övergångsperiod

Steg 4: Formalisera och träna

• Dokumentera nya fildelningspolicyer
• Utbilda alla anställda i de nya rutinerna

Grundprincipen: Separera lösenordet från filen

Grundregeln är: skicka aldrig lösenordet via samma kanal som filen.

Maila filen (eller länken), skicka lösenordet via WhatsApp eller ett telefonsamtal. Ännu bättre, använd LOCK.PUB där lösenordet är inbyggt i själva länken — mottagaren anger det vid åtkomst, så det finns inget behov av att överföra lösenordet alls.

The Bottom Line

Att skicka lösenordsskyddad ZIP-filer med e-post ger illusionen av säkerhet samtidigt som det faktiskt gör saker värre genom att blockera skadlig programvara.

Checklista för säker fildelning:

• Byt till molnlagringsdelningslänkar
• Lägg till lösenordsskydd till delade länkar
• Implementera åtkomstloggning
• Upprätta nya fildelningspolicyer
• Träna ditt team på säkra övningar

→ Skapa en lösenordsskyddad länk med LOCK.PUB