Modul 1 · 1.2
Phishing, VD-bedrägeri och fakturabedrägeri
Modul 1: Varför du är ett mål · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du känna igen hur phishing, VD-bedrägeri och fakturabedrägeri (BEC) går till, och sätta upp en betalningsrutin med återuppringningskontroll.
Nyckelbegrepp: phishing, riktad phishing (spear phishing), VD-bedrägeri, fakturabedrägeri, Business Email Compromise, fyraögonprincipen, återuppringning på känt nummer
Tre varianter av samma knep
Alla tre attackerna i den här lektionen bygger på vilseledning. Det handlar inte om att bryta sig in i en dator, utan om att övertala någon att göra något själv: klicka på en länk, fylla i ett lösenord, föra över pengar. Det kallas social manipulation (social engineering). Det fungerar eftersom det spelar på vanliga mänskliga reaktioner: du vill hjälpa din chef, betala en leverantör i tid, lösa ett problem snabbt.
| Typ | Vad angriparen vill ha | Typiskt meddelande |
|---|---|---|
| Phishing | Inloggningsuppgifter, betalningsuppgifter eller ett klick på skadlig programvara | "Din inkorg är full, logga in för att behålla dina meddelanden" |
| VD-bedrägeri | En akut betalning | "Jag sitter i ett möte, kan du föra över det här idag? Diskutera inte det med andra" |
| Fakturabedrägeri | Betalning av en äkta faktura till fel konto | "Observera: vårt kontonummer har ändrats" |
VD-bedrägeri och fakturabedrägeri faller båda under det engelska samlingsbegreppet Business Email Compromise (BEC): bedrägeri där affärsmejl missbrukas och en bedragare utger sig för att vara någon annan.
Phishing och riktad phishing (spear phishing)
Phishing är ett meddelande som utger sig för att komma från en pålitlig avsändare, så att du gör något du annars inte skulle göra. Oftast handlar det om en länk till en förfalskad inloggningssida, till exempel rnijnbank.example (med "rn" i stället för "m"), eller en bilaga med skadlig programvara. Vanlig phishing skickas till stora mängder människor samtidigt, med en allmän berättelse.
Vid riktad phishing (spear phishing) är meddelandet anpassat efter dig. Angriparen använder ditt namn, din befattning, namnet på en riktig kollega eller leverantör, ett projekt du arbetar med. Den informationen hittar han på din webbplats, LinkedIn, bolagsregistret eller i en tidigare läckt inkorg. Eftersom meddelandet stämmer med vad du förväntar dig sticker det mycket mindre ut.
Stavfel är inte längre ett pålitligt kännetecken. Med översättningsprogram och AI-textgeneratorer skriver en bedragare felfri svenska. I modul 3 lär du dig att känna igen phishing utifrån sådant en bedragare inte kan efterlikna: den riktiga domänen i en länk och den tekniska avsändaren av ett mejl.
VD-bedrägeri
Vid VD-bedrägeri får en person som sköter betalningar ett meddelande som verkar komma från vd:n eller ägaren. Polisen beskriver de typiska kännetecknen:
- Auktoritet: det är en order, inte en fråga.
- Hemlighetsmakeri: "diskutera inte det här med andra än, det handlar om ett förvärv."
- Tidspress: det måste ske idag, innan banken stänger.
- En avsändare som nästan stämmer: till exempel
directie@example-com.example, som vid första anblicken liknar den egna domänen, eller en privat adress "eftersom jag är på resande fot".
Ibland kopplas en "advokat" eller "revisor" in som bekräftar ordern; den personen hör till bedragarna. Även föreningar och små företag utsätts på samma sätt: kassören får ett mejl från "ordföranden".
Varför fungerar det? För att alla i ett litet företag känner och litar på varandra. Medarbetaren vill hjälpa till, och hemlighetsmakeriet gör att hon inte kollar med en kollega. Hemligheten är precis bedragarens syfte.
Fakturabedrägeri: bara IBAN-numret är annorlunda
Fakturabedrägeri är svårare att upptäcka, eftersom fakturan ofta är äkta. Belopp, ordernummer, logotyp, layout: allt stämmer. Bara kontonumret har ändrats. Enligt Polisen sker det på olika sätt: fakturan fångas upp och ändras, ett separat brev kommer med "vårt kontonummer har ändrats", eller så har företaget självt blivit hackat och bedragaren skickar mejlet från den riktiga inkorgen.
Det sistnämnda är viktigt att förstå. Om leverantörens inkorg leverancier.example har kapats kommer mejlet verkligen från rätt adress. Alla tekniska kontroller (SPF, DKIM, DMARC från modul 4) godkänns. Bedragaren har ibland läst inkorgen i flera veckor, vet vilka fakturor som är obetalda och skickar sitt meddelande vid precis rätt tillfälle, i samma mejltråd. Att kontrollera avsändaradressen hjälper alltså inte här.
En smärtsam detalj: har du betalat bedragaren är du i princip fortfarande skyldig den riktiga leverantören beloppet.
Ett exempel
Bageri Example beställer en ny ugn från leverancier.example. Offerten, orderbekräftelsen och fakturan kommer alla prydligt in. Två dagar senare, i samma mejltråd, kommer följande:
Bästa Petra, på grund av ett byte till en annan bank har vårt kontonummer ändrats med omedelbar verkan. Kan ni föra över fakturan för ugnen till det nya numret? Det gamla numret stängs nästa vecka. Med vänlig hälsning, Joost
Adressen stämmer, Joosts namn stämmer, ordernumret stämmer. Det enda som avslöjar bedrägeriet är själva frågan: en ändring av kontonummer. Det är alltid ett tillfälle att kontrollera, aldrig ett tillfälle att bara lita på mejlet.
Betalningsrutinen som stoppar det
Du kan inte känna igen varje falskt mejl. Men du kan se till att ett falskt mejl aldrig räcker för att pengar ska föras över. Det gör du med ett par fasta rutiner.
- Ring upp på ett känt nummer. Vid varje ändring av kontonummer, och vid varje ovanlig betalningsbegäran, ringer du upp avsändaren. Inte på numret i mejlet eller fakturan, det kan också vara falskt, utan på ett nummer du redan hade: från din egen bokföring, avtalet eller den officiella webbplatsen som du skriver in själv.
- Svara inte på mejlet. Vill du kontrollera via mejl, skriv in adressen själv. Med "svara" kan du hamna hos bedragaren, till exempel via ett Reply-To som pekar till en annan adress (lektion 3.3).
- Fyraögonprincipen. Betalningar över ett fast belopp, nya mottagare och ändrade kontonummer kontrolleras av två personer. I en enmansverksamhet betyder det: en fast väntetid och återuppringning innan du betalar.
- Inga undantag via mejl eller chatt. Vd:n ber aldrig via mejl eller WhatsApp om att hoppa över rutinen. Kom överens om det, även med vd:n själv. Då vet alla: ett meddelande med "bara den här gången, utanför den vanliga vägen" är per definition misstänkt.
- Dokumentera uppgifter. Leverantörens kontonummer finns i din bokföring. Jämför numret på varje faktura med det du redan hade. Sedan oktober 2025 kontrollerar banker inom euroområdet vid en överföring om namnet du fyller i stämmer med kontonumret (på engelska Verification of Payee). Ta en varning från det på allvar. Men ett grönt resultat säger bara att namn och konto hör ihop, inte att mottagaren är ärlig.
| Situation | Åtgärd |
|---|---|
| Nytt kontonummer från befintlig leverantör | Ring upp på känt nummer, en andra person godkänner |
| Akut betalning på begäran av ledningen | Ring eller fråga personligen, följ rutinen som vanligt |
| Ny leverantör, första fakturan | Kontrollera uppgifter mot officiell källa, en andra person godkänner |
| Faktura som ser annorlunda ut än vanligt | Fråga innan du betalar |
Om det ändå går fel
Har du betalat och litar inte längre på det? Då räknas varje timme.
- Ring direkt din bank och fråga om betalningen kan stoppas eller återkallas.
- Anmäl bedrägeriet till Polisen (https://polisen.se/) och gör en polisanmälan.
- Varna leverantören: om dennes inkorg har kapats får fler kunder falska meddelanden.
- Kom meddelandet från din egen inkorg eller en kollegas, kan den vara kapad. Byt lösenord, dra tillbaka sessioner och kontrollera vidarebefordringsregler (lektion 2.5 och 3.5).
Sammanfattning
- Phishing, VD-bedrägeri och fakturabedrägeri är social manipulation: du övertalas att göra något själv.
- Riktad phishing är anpassad efter dig och därför mycket mer övertygande; stavfel är inte längre ett bra kännetecken.
- VD-bedrägeri spelar på auktoritet, hemlighetsmakeri och tidspress.
- Vid fakturabedrägeri är det ofta bara IBAN-numret som skiljer sig, ibland från leverantörens riktiga, kapade inkorg.
- En betalningsrutin med återuppringning på ett känt nummer och fyraögonprincipen stoppar de flesta bedrägerier, även om du inte känner igen det falska mejlet.
Quiz
Uppgift
Uppgift A1.2: Känn igen bedrägeriet. Du får sex korta meddelanden. Ange för varje meddelande om det troligen är phishing, VD-bedrägeri, fakturabedrägeri eller ett normalt meddelande, och vilken åtgärd du vidtar. Programmet rättar och ger för varje meddelande de kännetecken du kunde ha sett.
Uppgift D1.2: Din egen betalningsrutin. Skriv ner ditt företags betalningsrutin på ett A4: när du ska ringa upp, på vilket nummer, vem som gör en andra kontroll och från vilket belopp. Gå igenom den med alla som hanterar betalningar.
Uppgift D1.2: Din egen betalningsrutin
Så här gör du: (1) Skriv ner på ett A4 när en betalning kräver extra kontroll: ändrat kontonummer, ny mottagare, belopp över en gräns du själv väljer, brådskande begäran utanför den vanliga vägen. (2) Skriv ner hur du ringer tillbaka: bara till ett nummer från din egen bokföring, avtalet eller den officiella webbplatsen som du själv skriver in. (3) Utse en andra person som kontrollerar (i en enmansverksamhet: en fast väntetid, till exempel en natt). (4) Kom överens med ledningen om att rutinen aldrig hoppas över via mejl eller chatt. (5) Gå igenom A4:an med alla som gör betalningar och sätt upp den.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOké-artiklarna gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.
- Är det här mejlet verkligen från WebOké? Känna igen nätfiske och använda rabattkoden
- E-post från ICANN eller registryn om din domän: äkta eller falsk, och vad ska du göra?
- Polisen, om bedrägeri: https://polisen.se/
- CERT-SE: https://www.cert.se/
- Polisen, om fakturabedrägeri: https://polisen.se/