Modul 1 · 1.2
Phishing, CEO-svindel og fakturasvindel
Modul 1: Hvorfor du er et mål · Læsetid: 10 minutter
Læringsmål: Efter denne lektion kan du genkende fremgangsmåden bag phishing, CEO-svindel og fakturasvindel (BEC) og sætte en betalingsprocedure op med tilbagekald som kontrol.
Nøglebegreber: phishing, spear phishing, CEO-svindel, fakturasvindel, Business Email Compromise, firøjneprincippet, tilbagekald på kendt nummer
Tre former af samme trick
Alle tre angreb i denne lektion arbejder med vildledning. Der brydes ikke ind i en computer; nogen bliver overtalt til selv at gøre noget: klikke på et link, indtaste en adgangskode, overføre penge. Det kaldes social engineering. Det virker, fordi det spiller på almindelige menneskelige reaktioner: du vil hjælpe din chef, betale en leverandør til tiden, løse et problem hurtigt.
| Form | Hvad angriberen vil | Typisk besked |
|---|---|---|
| Phishing | Loginoplysninger, betalingsoplysninger eller et klik på skadelig software | "Din postkasse er fuld, log ind for at beholde dine beskeder" |
| CEO-svindel | En hasteoverførsel | "Jeg sidder i et møde, kan du overføre dette i dag? Drøft det ikke med andre" |
| Fakturasvindel | Betaling af en ægte faktura til en forkert konto | "Bemærk: vores kontonummer er ændret" |
CEO-svindel og fakturasvindel hører begge under den engelske samlebetegnelse Business Email Compromise (BEC): svindel hvor forretningsmail misbruges, og en svindler udgiver sig for at være en anden.
Phishing og spear phishing
Phishing er en besked, der udgiver sig for at komme fra en pålidelig afsender, så du gør noget, du ellers ikke ville gøre. Som regel drejer det sig om et link til en efterlignet loginside, for eksempel rnijnbank.example (med "rn" i stedet for "m"), eller en vedhæftet fil med skadelig software. Almindelig phishing sendes til mange mennesker på samme tid, med en generel historie.
Ved spear phishing er beskeden skræddersyet til dig. Angriberen bruger dit navn, din stilling, navnet på en rigtig kollega eller leverandør, et projekt du arbejder på. Den information finder han på din hjemmeside, LinkedIn, CVR-registret eller i en tidligere lækket postkasse. Fordi beskeden stemmer overens med det, du forventer, falder den meget mindre i øjnene.
Stavefejl er ikke længere et pålideligt kendetegn. Med oversættelsesprogrammer og AI-tekstgeneratorer skriver en svindler fejlfrit dansk. I modul 3 lærer du at genkende phishing på ting, en svindler ikke kan efterligne: det rigtige domæne i et link og den tekniske afsender af en mail.
CEO-svindel
Ved CEO-svindel får en person, der foretager betalinger, en besked, der ser ud til at komme fra direktøren eller ejeren. Svindlen har nogle faste kendetegn:
- Autoritet: det er en ordre, ikke et spørgsmål.
- Hemmeligholdelse: "drøft det endnu ikke med andre, det drejer sig om en overtagelse."
- Tidspres: det skal ske i dag, inden banken lukker.
- En afsender, der næsten stemmer: for eksempel
directie@example-com.example, som ved første øjekast ligner dit eget domæne, eller en privat adresse "fordi jeg er på farten".
Nogle gange bliver en "advokat" eller "revisor" inddraget, som bekræfter ordren; de hører til svindlerne. Også foreninger og små virksomheder bliver kontaktet på denne måde: kassereren får en mail fra "formanden".
Hvorfor virker det? Fordi alle i en lille virksomhed kender og stoler på hinanden. Medarbejderen vil hjælpe, og hemmeligholdelsen gør, at han ikke lige tjekker med en kollega. Hemmeligheden er netop svindlerens mål.
Fakturasvindel: kun IBAN er anderledes
Fakturasvindel er sværere at genkende, fordi fakturaen ofte er ægte. Beløb, ordrenummer, logo, opsætning: alt stemmer. Kun kontonummeret er ændret. Ifølge svindlens kendetegn sker det på forskellige måder: fakturaen bliver opsnappet og ændret, der kommer et separat brev om, at "vores kontonummer er ændret", eller virksomheden selv er blevet hacket, og svindleren sender mailen fra den ægte postkasse.
Det sidste er vigtigt at forstå. Hvis postkassen hos din leverandør leverancier.example er overtaget, kommer mailen reelt fra den rigtige adresse. Alle tekniske kontroller (SPF, DKIM, DMARC fra modul 4) godkender den. Svindleren har nogle gange læst med i postkassen i ugevis, ved hvilke fakturaer der er udestående, og sender sin besked på præcis det rigtige tidspunkt, i den samme samtale. Det hjælper altså ikke at kontrollere afsenderadressen her.
En smertelig detalje: hvis du har betalt svindleren, skylder du i princippet stadig den rigtige leverandør beløbet.
Et eksempel
Bageri Example bestiller en ny ovn hos leverancier.example. Tilbuddet, ordrebekræftelsen og fakturaen kommer alle pænt ind. To dage senere følger i den samme mailtråd:
Kære Petra, på grund af et bankskifte er vores kontonummer ændret med øjeblikkelig virkning. Vil De overføre betalingen for ovnen til det nye nummer? Det gamle nummer lukkes i næste uge. Med venlig hilsen, Joost
Adressen er korrekt, Joosts navn er korrekt, ordrenummeret stemmer. Det eneste, der afslører svindlen, er selve spørgsmålet: en ændring af kontonummer. Det er altid et tidspunkt til at kontrollere, aldrig et tidspunkt til blot at stole på mailen.
Betalingsproceduren der stopper det
Du kan ikke genkende enhver falsk mail. Men du kan sørge for, at en falsk mail ikke er nok til at overføre penge. Det gør du med nogle faste aftaler.
- Ring tilbage på et kendt nummer. Ved enhver ændring af kontonummer, og ved enhver usædvanlig betalingsanmodning, ringer du til afsenderen. Ikke på nummeret i mailen eller fakturaen, for det kan også være falsk, men på et nummer du allerede havde: fra din egen bogføring, kontrakten eller den officielle hjemmeside, du selv indtaster.
- Svar ikke på mailen. Vil du kontrollere via mail, så indtast selv adressen. Med "besvar" kan du ende hos svindleren, for eksempel via et Reply-To-felt, der peger på en anden adresse (lektion 3.3).
- Firøjneprincippet. Betalinger over et fast beløb, nye modtagere og ændrede kontonumre kontrolleres af to personer. I en enkeltmandsvirksomhed betyder det: en fast ventetid og tilbagekald, før du betaler.
- Ingen undtagelser via mail eller chat. Direktøren beder aldrig pr. mail eller WhatsApp om at springe proceduren over. Aftal det, netop også med direktøren selv. Så ved alle: en besked med "lige uden om den normale vej" er per definition mistænkelig.
- Registrer oplysninger. Kontonummeret på en leverandør står i din bogføring. Sammenlign nummeret på hver faktura med det, du allerede havde. Siden oktober 2025 kontrollerer banker i eurozonen ved en overførsel, om navnet, du indtaster, passer til kontonummeret (på engelsk Verification of Payee). Tag en advarsel derfra alvorligt. Men et grønt resultat siger kun, at navn og konto hører sammen, ikke at modtageren er ærlig.
| Situation | Handling |
|---|---|
| Nyt kontonummer fra eksisterende leverandør | Ring tilbage på kendt nummer, anden person godkender |
| Hasteoverførsel på direktionens anmodning | Ring eller spørg personligt, følg bare proceduren |
| Ny leverandør, første faktura | Kontrollér oplysninger mod officiel kilde, anden person godkender |
| Faktura der ser anderledes ud end normalt | Spørg, før du betaler |
Hvis det alligevel går galt
Har du betalt og stoler du ikke længere på det? Så tæller hver time.
- Ring med det samme til din bank, og spørg om betalingen kan standses eller hentes tilbage.
- Anmeld det til politiet (https://politi.dk/) og se rådene på sikkerdigital.dk (https://sikkerdigital.dk/).
- Advar leverandøren: hvis deres postkasse er overtaget, får flere kunder falske beskeder.
- Kom beskeden fra din egen postkasse eller en kollegas, er den muligvis overtaget. Skift adgangskoden, afslut sessioner og tjek videresendelsesregler (lektion 2.5 og 3.5).
Opsummering
- Phishing, CEO-svindel og fakturasvindel er social engineering: du bliver overtalt til selv at gøre noget.
- Spear phishing er skræddersyet til dig og derfor langt mere overbevisende; stavefejl er ikke længere et godt kendetegn.
- CEO-svindel spiller på autoritet, hemmeligholdelse og tidspres.
- Ved fakturasvindel er ofte kun IBAN'en anderledes, nogle gange sendt fra leverandørens egen hackede postkasse.
- En betalingsprocedure med tilbagekald på et kendt nummer og firøjneprincippet stopper det meste svindel, selv hvis du ikke genkender den falske mail.
Quiz
Opgave
Opgave A1.2: Genkend svindlen. Du får seks korte beskeder. Angiv for hver besked om den sandsynligvis er phishing, CEO-svindel, fakturasvindel eller en normal besked, og hvilken handling du foretager. Programmet retter og giver for hver besked de kendetegn, du kunne have set.
Opgave D1.2: Din egen betalingsprocedure. Skriv din virksomheds betalingsprocedure ned på én A4-side: hvornår man ringer tilbage, på hvilket nummer, hvem der foretager en anden kontrol, og fra hvilket beløb. Gennemgå den med alle, der foretager betalinger.
Opgave D1.2: Din egen betalingsprocedure
Sådan gør du: (1) Skriv på ét A4-ark, hvornår en betaling skal have ekstra kontrol: ændret kontonummer, ny modtager, beløb over en grænse du selv vælger, hasteanmodning uden om den normale vej. (2) Skriv ned, hvordan du ringer tilbage: kun til et nummer fra din egen administration, kontrakten eller den officielle hjemmeside, som du selv indtaster. (3) Udpeg en anden person, der tjekker med (i en enkeltmandsvirksomhed: en fast ventetid, for eksempel en nat). (4) Aftal med ledelsen, at proceduren aldrig springes over via mail eller chat. (5) Gennemgå A4-arket med alle, der foretager betalinger, og hæng det op.
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på en lignende måde.
- Er denne mail virkelig fra WebOké? Genkend phishing, og brug aktionskoden
- Mails fra ICANN eller registry om dit domæne: ægte eller falske, og hvad skal du gøre?
- Politiet om svindel: https://politi.dk/
- sikkerdigital.dk, råd til virksomheder: https://sikkerdigital.dk/
- ENISA om cybersikkerhed: https://www.enisa.europa.eu/