VD-bedrägeri: mejlet är äkta, kontonumret är det inte

1. Det är inte ett hackerangrepp. Det är en bluff.

VD-bedrägeri, eller BEC som det förkortas på engelska efter business email compromise, fungerar inte genom att något system knäcks. Det fungerar genom att någon i er organisation gör exakt det de blivit ombedda att göra, av någon de tror att de känner.

Därför är det också ett av få angrepp där tekniken bara är halva försvaret. Den andra halvan är en rutin som gör att en enskild person aldrig kan genomföra en betalning ensam på ett mejls uppmaning.

Storleksordningen: enligt FBI:s IC3-rapport för 2023 kom 21 489 anmälningar om BEC in under året, med skador på cirka 2,9 miljarder dollar. Det är USA-siffror, men mönstret ser likadant ut här.

2. De tre varianterna, i stigande farlighet

Den enkla: en påhittad avsändare. Ett mejl som utger sig för att komma från vd, ofta från en gratisadress, med en brådskande begäran. Den här varianten stoppas i stor utsträckning av tekniken, om ni har den på plats.

Den svårare: en förfalskad domän. Mejlet ser ut att komma från er egen domän. Det är precis det DMARC finns till för att stoppa. Det är också precis där de flesta svenska bolag inte har skyddet påslaget. I vår studie av 853 svenska bolag hade bara 3 av 10 en DMARC-post som faktiskt blockerar. Så hänger de tre posterna ihop.

Den farliga: ett riktigt konto. Angriparen har läst med i mejlkonversationen i veckor, ofta via en dold vidarebefordringsregel. De vet vilka fakturor som är på gång, hur ni skriver och när ekonomichefen är på semester. Sedan går de in i en pågående tråd och byter kontonummer. Inget skyddar mot den varianten utom rutinen, för mejlet är äkta.

3. Varför den tredje varianten lyckas

Den byter inte ämne. Den fortsätter en konversation ni själva startat, om en faktura ni faktiskt väntar på, med ett belopp som stämmer. Det enda som ändrats är bankkontot. Det är den rad ingen läser noga.

Ofta kommer förklaringen med: "vi har bytt bank", "revisionen pågår, använd det här kontot den här gången". Det är rimligt nog att inte väcka en fråga.

4. Rutinen som faktiskt stoppar det

En enda regel gör mer skillnad än all teknik tillsammans. Den kostar dessutom ingenting:

Ett ändrat bankkonto verifieras alltid i en annan kanal än den det kom i, mot ett nummer ni redan har sedan tidigare.

Alltså: inte genom att svara på mejlet. Inte genom att ringa numret som står i mejlet. Genom att ringa det nummer ni haft till leverantören sedan innan, till en person ni talat med förut.

Lägg till två saker:

• Fyrögonprincip över ett beloppstak. Två personer godkänner. Vilket belopp taket ska ligga på är en affärsfråga, men principen att en person aldrig är ensam är det inte.
• Rätt att säga nej till brådska. Den som sitter med betalningarna måste veta att ingen i ledningen blir arg över en extra kontrollfråga. Brådskan är själva verktyget i bedrägeriet. Den fungerar bara om det känns obekvämt att bromsa.

5. Vad tekniken ska göra

• DMARC i blockerande läge. Stoppar den som förfalskar er domän. Posten läggs hos er domänleverantör, inte i Microsoft 365. Så gör ni utan att era egna utskick börjar studsa.
• Markering av externa mejl. En tydlig markering på allt som kommer utifrån gör den påhittade avsändaren betydligt svårare att tro på.
• Jakt på dolda vidarebefordringsregler. Det är så förarbetet till den farliga varianten görs. Så hittar ni dem.
• Nätfiskeresistent MFA på ekonomi och ledning. Gör det svårare att komma åt kontot som förarbetet kräver. Så inför ni det.

6. Om det redan hänt

• Ring banken omedelbart. Timmar spelar roll. Ibland går betalningen att stoppa eller återkalla om den inte hunnit vidare.
• Polisanmäl. Även när utsikterna känns små. Anmälan behövs för försäkringen och för att mönstret ska synas.
• Utgå från att kontot är läst. Kom bedrägeriet via en kapad brevlåda ligger angriparen kvar tills ni gått igenom regler, sessioner och appbehörigheter. Checklistan för det finns här.
• Varna motparterna. Har angriparen läst er post känner de till era andra kunder och leverantörer.

7. Vanliga frågor

Vad är VD-bedrägeri?

VD-bedrägeri, på engelska business email compromise, är när någon utger sig för att vara en chef, en kollega eller en leverantör och förmår en medarbetare att göra en betalning eller ändra ett bankkonto. Det är ett bedrägeri snarare än ett tekniskt intrång, vilket är anledningen till att tekniska skydd inte räcker ensamma.

Hur stoppar vi det?

Den enskilt viktigaste åtgärden är en rutin: ett ändrat bankkonto verifieras alltid i en annan kanal än den det kom i, mot ett telefonnummer ni redan hade sedan tidigare. Lägg till fyrögonprincip över ett beloppstak och gör tydligt att den som betalar alltid får ställa en kontrollfråga utan att någon blir irriterad.

Räcker det med DMARC?

Nej. DMARC stoppar den som förfalskar er domän, vilket är en av tre varianter. Den farligaste varianten kommer från ett riktigt konto som angriparen kapat, ofta efter veckor av att ha läst med i konversationen. Det mejlet är äkta och passerar alla tekniska kontroller.

Hur vet vi om någon läst vår mejl i förväg?

Vanligaste tecknet är en inkorgsregel ingen känns vid, ofta med ett namn på en enda bokstav, som vidarebefordrar utåt eller flyttar mejl till en mapp ingen öppnar. Titta också på inloggningsloggen och på vilka appar som har behörighet till mejl och filer.

Vad gör vi om pengarna redan gått iväg?

Ring banken omedelbart, eftersom en betalning ibland går att stoppa om den inte hunnit vidare. Polisanmäl även när utsikterna känns små, både för försäkringens skull och för att mönstret ska synas. Utgå sedan från att brevlådan är läst och gå igenom inkorgsregler, aktiva sessioner och appbehörigheter innan ni betraktar det som avslutat.

8. Hur PIANOLA hjälper

Rutinen är er, den kan ingen leverantör sätta åt er. Men förarbetet till bedrägeriet syns i miljön. Det är där PIANOLA tittar: dolda vidarebefordringsregler, konton utan stark inloggning i ekonomifunktionen, appar med behörighet att läsa mejl och hur ert mejlskydd utåt faktiskt står.

Det kontrolleras varje dygn och rapporteras i klartext, så ni ser om någon förbereder sig innan fakturan kommer.