Meddelandet från falsk chef kan bli dyrt – Identifiera ett vd-bedrägeri i tid!

Under hösten har Cybersäkerhetscentret fått en hel del rapporter om vd-bedrägerier. Under de senaste veckorna har vi till exempel fått se begäranden om att betala falska fakturor och begäranden om att delta i “arrangemangen för ett företagsförvärv som är absolut sekretessbelagt”. Meddelanden och samtal som hänför sig till vd-bedrägerier kan komma speciellt till de medarbetare som sköter fakturering, löner eller personalfrågor, vilka är särskilt intressanta föremål för brottslingar. Brottslingar vill påverka de personer som har möjlighet att göra penningtransaktioner. 

Vd-bedrägerier sker inte bara via e-post utan också via WhatsApp. Snabbmeddelanden har blivit vanligare i bedrägerier eftersom de verkar vara personliga och erbjuder ett sätt för snabb interaktion. Brottslingar har försökt förstärka intrycket av meddelandets äkthet i WhatsApp genom att använda vd:s fotografi. I meddelanden påstås ofta också att man inte kan tala i telefon just nu, men att en penningöverföring måste göras så snart som möjligt. I vissa fall har den utsatta, för att skapa en känsla av äkthet, lurats att underteckna en falsk tystnadsförbindelse, varefter bedrägeriet har fortsatt.

Cybersäkerhetscentret har också fått anmälningar om incidenter där en anställd via ett WhatsApp-meddelande har ombetts att köpa flera presentkort och skicka koderna till presentkorten till en kriminell aktör. Koderna till presentkorten är snabbt tillgängliga och svåra att spåra. I vissa fall har brottslingar även ringt telefonsamtal efter meddelandena för att förstärka intrycket av brådska och pressa mottagaren.

Brottslingar använder också djupförfalskningar, det vill säga deepfake-teknik, i bedrägerisamtal. Även i Finland har bedrägerier som bygger på röstförfalskningar upptäckts. Till exempel har en organisations verkställande direktörs röst klonats och använts för att begära stora penningöverföringar. År 2024 blev en organisation i Hongkong lurad på 24 miljoner euro med hjälp av en deepfake. Bedrägeriet började med ett e-postmeddelande, men den anställde blev övertygad om dess äkthet först efter att ha deltagit i en videokonferens. På mötet var bolagets ekonomidirektör och andra representanter alla AI-skapade förfalskningar (deepfake-versioner) som såg ut och lät som de vore äkta.

Gemensamt för dessa bedrägerier är att man i verkställande direktörens, ordförandens eller någon annan högt uppsatt persons namn begär att brådskande åtgärder vidtas, såsom kontoöverföringar. I bedrägerimeddelanden används relativt god finska och avsändarens adress kan se äkta ut.

Mänskliga faktorer utnyttjas i vd-bedrägerier

I vd-bedrägerier utnyttjas maktpositionen som ett medel för social manipulation. Genom att utnyttja detta försöker man lura personer som normalt också står i ett motsvarande förhållande till ledande personer.

Den här typen av bedrägeri kräver inte stort tekniskt kunnande, utan bygger på mänskliga faktorer som utnyttjande av auktoritetsställning, känslan av brådska och viljan att hjälpa. Oftast reagerar människor snabbt och lydigt när meddelandet ser ut att komma från en direktör. Genom att åberopa och utnyttja mänskliga faktorer försöker bedragarna få den utsatta att kringgå de normala processerna.

Typiskt inträffar sådana bedrägerier under semestertider, när personalstyrkan är liten och ordinarie anställda ersätts av sommarvikarier. För sommarvikarier och ibland även för medarbetare som varit längre i organisationen är det viktigt att repetera de korrekta processerna, till exempel för fakturahantering.

Vd-bedrägeriets förlopp

Tekniskt sett finns det åtminstone fyra olika typer av vd-bedrägerier. I mer avancerade versioner utnyttjar gärningspersonen ett kapat e-postkonto för att skicka meddelanden och begära olika åtgärder. I mindre tekniska versioner förfalskar bedragarna e-postadresser så att de ser ut att komma från till exempel företagets vd. Det är också möjligt att bedragaren tar kontakt med en anställd enbart via telefon och utger sig till exempel för att vara företagets vd. I den fjärde versionen skickas en pappersfaktura med felaktiga kontouppgifter till företagen.

Tack vare informationsdelning kan också andra känna igen bedrägerier

Vd-bedrägerier kan vara skickligt genomförda, och vilket företag som helst kan drabbas oavsett storlek eller bransch. Att bli utsatt för ett bedrägeri kan upplevas som skamligt, vilket gör att lyckade bedrägerier ofta inte berättas offentligt. Det är ändå viktigt att dela information om vd-bedrägerier, så att också andra kan känna igen motsvarande bedrägeriförsök.

Om du råkar ut för ett vd-bedrägeri, kontakta alltid polisen i bedrägeriärenden, även om du lyckas undvika bedrägeriet. Du kan också anmäla ärendet till Cybersäkerhetscentret. Om bedrägerimeddelanden nämner kontonummer dit överföringar ska göras, bör du också anmäla dem, eftersom andra kan luras att skicka pengar till samma konton. Om pengar redan har hunnit överföras, ta omedelbart kontakt med den bank som betalningen gjordes från. Ibland behöver banken en kopia av en brottsanmälan för att stoppa penningöverföringen.

En tydlig definition av processer hjälper organisationer att skydda sig mot vd-bedrägerier. Nedan har vi samlat tips ur både en enskild anställds och en organisations perspektiv.