Modul 1 · 1.2
Phishing, direktørsvindel og fakturasvindel
Modul 1: Hvorfor du er et mål · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kjenner du igjen fremgangsmåten bak phishing, direktørsvindel og fakturasvindel (BEC), og du kan sette opp en betalingsrutine med tilbakeringingskontroll.
Nøkkelbegreper: phishing, spyd-phishing, direktørsvindel, fakturasvindel, Business Email Compromise, firøyneprinsippet, tilbakeringing til kjent nummer
Tre varianter av samme triks
Alle tre angrepene i denne leksjonen bygger på villedning. Det brytes ikke inn i en datamaskin; noen blir overtalt til å gjøre noe selv: klikke på en lenke, fylle inn et passord, overføre penger. Dette kalles social engineering. Det fungerer fordi det spiller på vanlige menneskelige reaksjoner: du vil hjelpe sjefen din, betale en leverandør i tide, løse et problem raskt.
| Type | Hva angriperen vil ha | Typisk melding |
|---|---|---|
| Phishing | Innloggingsopplysninger, betalingsopplysninger eller et klikk på skadelig programvare | «E-postkassen din er full, logg inn for å beholde meldingene dine» |
| Direktørsvindel | En hasteutbetaling | «Jeg sitter i et møte, kan du overføre dette i dag? Ikke diskuter med andre» |
| Fakturasvindel | Betaling av en ekte faktura til feil konto | «Merk: kontonummeret vårt er endret» |
Direktørsvindel og fakturasvindel faller sammen under det engelske samlebegrepet Business Email Compromise (BEC): svindel der forretnings-e-post misbrukes, og en svindler utgir seg for å være noen andre.
Phishing og spyd-phishing
Phishing er en melding som utgir seg for å komme fra en pålitelig avsender, slik at du gjør noe du ellers ikke ville gjort. Som regel dreier det seg om en lenke til en forfalsket innloggingsside, for eksempel rnijnbank.example (med «rn» i stedet for «m»), eller et vedlegg med skadelig programvare. Vanlig phishing går ut til store mengder mennesker samtidig, med en generell historie.
Ved spyd-phishing er meldingen tilpasset deg. Angriperen bruker navnet ditt, stillingen din, navnet på en ekte kollega eller leverandør, et prosjekt du jobber med. Denne informasjonen finner han på nettsiden din, LinkedIn, Brønnøysundregistrene eller i en tidligere lekket e-postkasse. Fordi meldingen stemmer med det du forventer, legger du mye mindre merke til den.
Skrivefeil er ikke lenger et pålitelig kjennetegn. Med oversettelsesprogrammer og KI-tekstgeneratorer skriver en svindler feilfritt norsk. I modul 3 lærer du å kjenne igjen phishing på ting en svindler ikke kan etterligne: det ekte domenet til en lenke og den tekniske avsenderen av en e-post.
Direktørsvindel
Ved direktørsvindel får noen som utfører betalinger en melding som ser ut til å komme fra direktøren eller eieren. Politiet beskriver de faste kjennetegnene:
- Autoritet: det er en ordre, ikke et spørsmål.
- Hemmelighold: «ikke diskuter dette med andre ennå, det gjelder en overtakelse.»
- Tidspress: det må skje i dag, før banken stenger.
- En avsender som nesten stemmer: for eksempel
directie@example-com.example, som ved første øyekast ligner på det egne domenet, eller en privat adresse «fordi jeg er på reise».
Noen ganger kobles det inn en «advokat» eller «revisor» som bekrefter oppdraget; vedkommende hører til svindlerne. Også foreninger og små bedrifter blir kontaktet på denne måten: kasserer får en e-post fra «lederen».
Hvorfor fungerer det? Fordi alle i en liten bedrift kjenner og stoler på hverandre. Den ansatte vil hjelpe, og hemmeligholdet gjør at vedkommende ikke sjekker med en kollega. Hemmeligheten er nettopp svindlerens mål.
Fakturasvindel: bare IBAN-nummeret er annerledes
Fakturasvindel er vanskeligere å gjenkjenne, fordi fakturaen ofte er ekte. Beløp, ordrenummer, logo, utforming: alt stemmer. Bare kontonummeret er endret. Ifølge politiet skjer dette på ulike måter: fakturaen blir fanget opp underveis og endret, det kommer et separat brev «kontonummeret vårt er endret», eller bedriften selv er hacket, og svindleren sender e-posten fra den ekte e-postkassen.
Det siste er viktig å forstå. Hvis e-postkassen til leverandøren din leverancier.example er overtatt, kommer e-posten virkelig fra den riktige adressen. Alle tekniske kontroller (SPF, DKIM, DMARC fra modul 4) gir godkjent resultat. Svindleren har noen ganger lest med i e-postkassen i flere uker, vet hvilke fakturaer som er utestående, og sender meldingen sin akkurat på riktig tidspunkt, i den samme samtalen. Å kontrollere avsenderadressen hjelper derfor ikke her.
Et smertelig detalj: har du betalt svindleren, skylder du i prinsippet fortsatt den ekte leverandøren beløpet.
Et eksempel
Bakeriet Example bestiller en ny ovn fra leverancier.example. Tilbudet, ordrebekreftelsen og fakturaen kommer alle pent inn. To dager senere følger det, i samme e-posttråd:
Kjære Petra, på grunn av et bankbytte er kontonummeret vårt endret med umiddelbar virkning. Kan De overføre fakturaen for ovnen til det nye nummeret? Det gamle nummeret avvikles neste uke. Med vennlig hilsen, Joost
Adressen stemmer, navnet til Joost stemmer, ordrenummeret stemmer. Det eneste som avslører svindelen, er selve spørsmålet: en endring av kontonummer. Det er alltid et øyeblikk for kontroll, aldri et øyeblikk for å stole alene på e-posten.
Betalingsrutinen som stopper det
Du kan ikke gjenkjenne hver falske e-post. Du kan derimot sørge for at en falsk e-post ikke er nok til å overføre penger. Det gjør du med noen faste avtaler.
- Ring tilbake til et kjent nummer. Ved enhver endring av kontonummer, og ved enhver uvanlig betalingsforespørsel, ringer du avsenderen. Ikke på nummeret i e-posten eller fakturaen, for det kan også være falskt, men på et nummer du allerede hadde: fra din egen regnskapsføring, kontrakten eller den offisielle nettsiden du selv skriver inn.
- Ikke svar på e-posten. Vil du kontrollere per e-post, skriv adressen selv. Med «svar» kan du ende opp hos svindleren, for eksempel via en Reply-To som peker til en annen adresse (leksjon 3.3).
- Firøyneprinsippet. Betalinger over et fast beløp, nye mottakere og endrede kontonumre kontrolleres av to personer. I et enkeltmannsforetak betyr det: en fast ventetid og tilbakeringing før du betaler.
- Ingen unntak via e-post eller chat. Direktøren ber aldri per e-post eller WhatsApp om å hoppe over rutinen. Avtal dette, også med direktøren selv. Da vet alle: en melding med «bare denne gangen utenom den vanlige veien» er per definisjon mistenkelig.
- Dokumenter opplysningene. Kontonummeret til en leverandør står i regnskapet ditt. Sammenlign nummeret på hver faktura med det du allerede hadde. Siden oktober 2025 kontrollerer banker i eurosonen ved en overføring om navnet du fyller inn, stemmer med kontonummeret (på engelsk Verification of Payee). Ta en advarsel fra dette på alvor. Men et grønt resultat sier bare at navn og konto hører sammen, ikke at mottakeren er ærlig.
| Situasjon | Handling |
|---|---|
| Nytt kontonummer fra eksisterende leverandør | Ring tilbake til kjent nummer, godkjenning fra en andre person |
| Hasteutbetaling på forespørsel fra ledelsen | Ring eller spør personlig, følg rutinen som vanlig |
| Ny leverandør, første faktura | Kontroller opplysninger mot offisiell kilde, godkjenning fra en andre person |
| Faktura som ser annerledes ut enn normalt | Spør før du betaler |
Hvis det likevel går galt
Har du betalt og føler deg usikker? Da teller hver time.
- Ring banken din umiddelbart og spør om betalingen kan stoppes eller hentes tilbake.
- Meld fra til politiet (https://www.politiet.no/) og anmeld forholdet.
- Advar leverandøren: hvis e-postkassen deres er overtatt, får flere kunder falske meldinger.
- Kom meldingen fra din egen e-postkasse eller en kollegas, kan den være overtatt. Bytt passord, trekk tilbake økter og kontroller videresendingsregler (leksjon 2.5 og 3.5).
Oppsummering
- Phishing, direktørsvindel og fakturasvindel er social engineering: du blir overtalt til å gjøre noe selv.
- Spyd-phishing er tilpasset deg og derfor mye mer overbevisende; skrivefeil er ikke lenger et godt kjennetegn.
- Direktørsvindel spiller på autoritet, hemmelighold og tidspress.
- Ved fakturasvindel er det ofte bare IBAN-nummeret som er annerledes, noen ganger fra leverandørens ekte, hackede e-postkasse.
- En betalingsrutine med tilbakeringing til et kjent nummer og firøyneprinsippet stopper det meste av svindel, selv om du ikke gjenkjenner den falske e-posten.
Quiz
Oppgave
Oppgave A1.2: Gjenkjenn svindelen. Du får seks korte meldinger. Angi for hver melding om det sannsynligvis er phishing, direktørsvindel, fakturasvindel eller en normal melding, og hvilken handling du bør gjøre. Programmet retter oppgaven og viser for hver melding kjennetegnene du kunne ha sett.
Oppgave D1.2: Din egen betalingsprosedyre. Skriv ned betalingsrutinen til bedriften din på ett A4-ark: når skal man ringe tilbake, på hvilket nummer, hvem gjør en andre kontroll, og fra hvilket beløp. Diskuter den med alle som utfører betalinger.
Oppgave D1.2: Din egen betalingsprosedyre
Slik gjør du det: (1) Skriv ned på ett A4-ark når en betaling skal få ekstra kontroll: endret kontonummer, ny mottaker, beløp over en grense du selv velger, hasteforespørsel utenom den vanlige gangen. (2) Skriv ned hvordan du ringer tilbake: kun til et nummer fra din egen dokumentasjon, kontrakten eller den offisielle nettsiden du selv skriver inn. (3) Pek ut en andre person som skal se over (i et enkeltpersonforetak: en fast ventetid, for eksempel en natt). (4) Avtal med ledelsen at prosedyren aldri hoppes over via e-post eller chat. (5) Gjennomgå A4-arket med alle som utfører betalinger, og heng det opp.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- Er denne e-posten virkelig fra WebOké? Gjenkjenne phishing og bruke aksjonskoden
- E-poster fra ICANN eller registeret om domenet ditt: ekte eller falske, og hva bør du gjøre?
- Politiet, om direktørsvindel: https://www.politiet.no/
- Politiet, om fakturasvindel og endrede kontonumre: https://www.politiet.no/
- Politiet, om kapring av e-post og onderschepte fakturaer: https://www.politiet.no/