Fakturasvindel: Fem kontroller før bedriften betaler

En faktura kan være språklig korrekt, inneholde riktig logo og se ut til å komme fra en kjent leverandør. Ved fakturasvindel er målet å få bedriften til å betale et reelt eller oppdiktet krav til svindlerens konto. Ved direktørsvindel utgir noen seg gjerne for å være en leder og ber om en rask eller fortrolig betaling.

Nasjonal sikkerhetsmyndighet har observert phishingkampanjer der kompromitterte e-postkontoer blir brukt til blant annet fakturasvindel. Det gjør avsendernavn alene til en svak kontroll: En melding kan komme fra en ekte konto som er overtatt.

Fem kontroller før betaling

1. Sammenlign med tidligere fakturaer. Kontroller leverandørnavn, organisasjonsnummer, bankkonto, KID, beløp og hva som faktisk er bestilt. Et nytt kontonummer eller en uvanlig betalingsmåte bør stoppe den automatiske flyten.
2. Bekreft endringer i en annen kanal. Ring en kontaktperson på et nummer bedriften allerede har lagret, eller som står på leverandørens offisielle nettside. Ikke bruk telefonnummeret som følger med den mistenkelige e-posten.
3. Bruk to personer ved avvik. Nye mottakere, hastebetalinger, store beløp og endrede kontonumre bør godkjennes av en annen person enn den som registrerer betalingen. Rutinen må også gjelde når daglig leder tilsynelatende ber om unntak.
4. Kontroller hele avsenderadressen. Se etter små staveendringer i domenet og om svaradressen er annerledes enn avsenderadressen. NSM anbefaler virksomheter å gå over til passnøkler eller andre phishingresistente FIDO2-løsninger, fordi angripere kan komme forbi tradisjonell flerfaktorautentisering.
5. Stopp kunstig hastverk. Formuleringer som «betal i dag», «hold dette mellom oss» eller «jeg sitter i møte» skal ikke overstyre bedriftens kontrollrutiner. En reell leverandør tåler at kontonummer og bestilling blir kontrollert.

Hvis betalingen allerede er sendt

Politiet anbefaler at banken kontaktes umiddelbart dersom overføringen nettopp har skjedd, slik at banken kan forsøke å stanse den. Forholdet bør anmeldes så raskt som mulig. Ta vare på fakturaen, e-postene, avsenderadressene, kontonummeret, telefonnumre og annen dokumentasjon.

Dersom en e-postkonto kan være overtatt, bør virksomheten samtidig sikre kontoen og involvere IT-leverandøren. Kontroller også om andre kunder eller leverandører kan ha mottatt falske meldinger fra bedriftens adresse.

Dette bør du gjøre nå

• Bestem hvem som kan opprette eller endre leverandører i økonomisystemet.
• Krev telefonbekreftelse ved nytt kontonummer.
• Innfør totrinnsgodkjenning for avvik og større betalinger.
• Test at de ansatte vet hvem de skal varsle ved mistanke.
• Vurder passnøkler for e-post og andre kritiske kontoer.

Dette betyr for bedriften

Den viktigste beskyttelsen er en rutine som ikke kan fravikes av én e-post. Kontroller mottakeren før pengene går ut, gjør det enkelt å stoppe en betaling uten å bli kritisert, og reager raskt hvis noe likevel skjer.

Kort fortalt

Falske fakturaer og direktørsvindel kan bruke både troverdige opplysninger og kompromitterte e-postkontoer. Bekreft kontonummer i en annen kanal, bruk to personer ved avvik, og kontakt banken og politiet raskt hvis betalingen er sendt.

Kilder

• Politiet: Beskytt deg mot svindel og ID-tyveri
• Politiet: Anmelde bedrageri og ID-tyveri
• NSM: Kompromitterte e-postkontoer og fakturasvindel
• NSM: Phishingresistent autentisering

Dette er generell informasjon. Virksomheten må tilpasse kontrollene til egen risiko, bankløsning og arbeidsdeling.