Direktørsvindel – også kalt CEO-svindel – er en av de mest lønnsomme formene for svindel mot virksomheter. Angriperen utgir seg for å være daglig leder, styreleder eller en kjent leverandør, og ber noen i økonomiavdelingen om å betale en faktura raskt og diskret. Det krever ingen avansert teknikk. Det krever bare at én person handler under tidspress.
Slik foregår et typisk angrep
Svindlerne gjør ofte grundig forarbeid. De finner navn, roller og e-postformater på virksomhetens nettside og på LinkedIn. De følger med på når lederen er på reise eller i møter, for da er det vanskeligere å dobbeltsjekke.
Så kommer e-posten. Den er kort, høflig og presserende: «Jeg sitter i møte og kan ikke snakke, men denne betalingen må gå i dag. Hold det mellom oss inntil videre.» Avsenderadressen ligner den ekte, men ett tegn er byttet ut. Eller den kommer fra en ekte, men kapret konto hos en leverandør.
En vanlig variant er fakturasvindel: En kjent leverandør «bytter bank» og ber om at neste faktura betales til et nytt kontonummer. Fakturaen ser helt normal ut.
Tegnene dere skal se etter
- Hastverk: «Dette må ordnes før lunsj.»
- Hemmelighold: «Ikke snakk med noen om dette ennå.»
- Unntak fra rutinen: forespørselen hopper over vanlig godkjenning.
- Nytt kontonummer hos en leverandør dere har brukt lenge.
- Avsenderadresse som nesten stemmer, for eksempel edeam.no i stedet for edean.no.
- Uvanlig tone eller språk, selv om KI har gjort dette tegnet svakere.
Nå med KI-stemme og deepfake
Tidligere var en telefonsamtale en trygg måte å bekrefte en betaling på. Det er det ikke lenger. Med KI kan en svindler lage en overbevisende kopi av en leders stemme fra et kort klipp på nettet, for eksempel et foredrag eller et intervju. Det finnes også eksempler på videomøter der «ledelsen» var falsk.
Det betyr at kontrollen må ligge i rutinen, ikke i hvor ekte forespørselen virker.
Rutiner som faktisk stopper svindelen
1. Fast bekreftelse på kjent nummer. Alle endringer av kontonummer og alle uvanlige betalinger bekreftes ved å ringe et telefonnummer dere allerede har – aldri nummeret som står i e-posten eller fakturaen.
2. To personer godkjenner. Betalinger over en fastsatt grense krever godkjenning fra to personer. Ingen, heller ikke daglig leder, kan be om unntak på e-post.
3. Et kodeord for hastesaker. Noen virksomheter avtaler et internt kodeord som må brukes ved hastebetalinger. Svindlere kjenner det ikke.
4. Tofaktorautentisering på e-post. Mange angrep starter med en kapret e-postkonto. Tofaktor gjør det mye vanskeligere.
5. Kort, årlig opplæring. Alle som håndterer betalinger, bør kjenne tegnene og rutinene. Opplæringen bør inneholde ekte eksempler og en øvelse.
Det er ikke uhøflig å sjekke. En ekte leder blir glad for at rutinen følges.
Hva gjør dere hvis det har skjedd?
Kontakt banken umiddelbart – jo raskere, desto større sjanse for å stoppe overføringen. Anmeld forholdet til politiet, og varsle leverandøren hvis deres konto er brukt. Gå gjennom hva som skjedde og juster rutinene, uten å legge skylden på den som ble lurt.
Oppsummering
Direktørsvindel utnytter tillit, hastverk og hemmelighold. Teknologi alene stopper den ikke, men faste rutiner gjør det: bekreftelse på kjent nummer, to som godkjenner, og ansatte som vet hva de skal se etter.