Årets sommarplåga: VD-bedrägerier

Bedragare brukar vara bra på att hitta nya sätt att lura av människor pengar. Senast i raden av populära bedrägerier är det som i media har kommit att kallas för vd-bedrägerier.

Bedragarna försöker övertyga personal på ekonomiavdelningar att verkställa utbetalningar till konton som bedragarna kontrollerar genom att utge sig för att vara vd:n på företaget.

Bedrägerierna sker av naturliga skäl främst via mejl, där det enkelt går att nå offren utan att röja sin verkliga identitet.

Svenska företag har varit väldigt utsatta i sommar

Just nu drabbas många svenska företag av den här typen av attacker, både stora och mindre företag. Ett av företagen som drabbats är Isoleringsteknik AB i Luleå, där någon utgav sig för att vara Stefan Johansson, vd på företaget.

- Det var en falsk vd som skickade två mejl i sommar från min mejladress till kollegor som har en utbetalande funktion på arbetsplatsen. Bedragaren begärde att 23 500 Euro skulle överföras till ett konto för affärer som gjorts i Polen berättar Stefan Johansson för Svenska Dagbladet.

I det fallet kunde bedrägeriet avslöjas eftersom mejlen innehöll en hel del grammatiska fel. Andra företag har dock inte varit lika lyckosamma med att avslöja bedrägerierna, något som Magnus Lindegren, chef på polisens bedrägerisektion i region Väst berättade innan sommaren.

– I vissa fall har det tyvärr inte stannat vid försök, utan företaget har fört över miljonbelopp till utländska konton.

Mycket tyder även på bedrägerierna växer i omfattning eftersom de är tämligen enkla att genomföra. Innan sommaren inkom 11 anmälningar under en vecka för Magnus Lindegrens region.

Enkelt att utge sig för att vara någon annan

Sentor har under sommaren kontaktats av flera företag som drabbats av försök till vd-bedrägerier. Ofta undrar dessa personer hur det är möjligt att bedragaren har kunnat skicka mail i vd:ns namn. Något som faktiskt är enklare än vad man skulle kunna tro.

Det kallas för att ”spoofa” när man skickar ett mail som ser ut att komma från en företagsledares riktiga mejladress. Bedragaren som har skickat mejlet har i själva verket inte tillgång till företagsledarens mailkonto, utan det spoofas, vanligtvis via tjänster på nätet.

Eftersom bedragaren inte har tillgång till mejlkontot handlar det om envägskommunikation. Bedragaren kan således inte svara på följdfrågor från ekonomiavdelningen. Därför skickas ofta två eller fler mejl i snabb följd, med information om transaktionen som måste utföras, en bifogad faktura samt en uppmaning om att transaktionen måste genomföras omedelbart eftersom det är bråttom.

I vissa fall väljer bedragarna att skapa en mejladress som ser ut att vara identisk med företagsledaren, men där domänens namn skiljer sig på en bokstav. Ett vanligt tillvägagångssätt är att man byter ut ett i till ett l. För den som inte studerar domänadressen i detalj kan det vara svårt att upptäcka.

Genom att göra på ett sådant sätt kan bedragaren interagera med ekonomiavdelningen vilket kan göra det lättare att övertyga vederbörande om att transaktionen verkligen behöver utföras.

Så vad gör man för att undvika att drabbas?

1. Kontrollera att källan för fakturor och betalningsbegäranden är autentiska. I synnerhet när det gäller större belopp och brådskande betalningar.

2. En persons mejladress kan lätt förfalskas, därför bör man inte lita blint på att det är rätt person. Att verifiera genom att mejla tillbaka och slå en signal till vederbörande kan göra man undviker mycket besvär.

3. Eftersom mer sofistikerade bedragare även kan ringa och utge sig för att vara en företagsledare, kan det om man inte känner till rösten vara värt att ringa tillbaka via företagets växel eller via ett verifierat direktnummer för att komma i kontakt med personen och bekräfta att det är rätt person. Eftersom information om vilka som arbetar på företaget ofta går att få fram via exempelvis LinkedIn kan en bedragare försöka förvirra offret genom att nämna kollegors namn m.m.

4. Inför, eller under, ett pågående bedrägeri kan en bedragare via telefon eller över mail fiska efter vilka teknologier som företaget använder, vem som har befogenhet att göra utbetalningar m.m. Lämna därför aldrig ut känslig information utan att verifiera vem som frågar.

5. Lämna aldrig ut ditt användarnamn eller lösenord till någon. Bedragare utger sig gärna för att vara din vän/ kollega för att övertyga dig om att lämna ut uppgifterna.

6. Ta fram rutiner och processer för hur betalningar ska ske, hur faktureringsuppgifter ska kontrolleras m.m.

7. Utbilda personalen i hur man kan känna igen olika former av bedrägerier och bluffmejl.

8. Testa er organisations förmåga att hantera den här typen av attacker. Sentor kan utföra den här typen av bedrägeriförsök under kontrollerade former. På så vis kan ni testa er motståndskraft, och hitta brister innan de utnyttjas av någon med onda avsikter.