Så upptäcker och förhindrar du VD-bedrägeri

Ett mejl från vd:n, en brådskande överföring, strikt sekretess. Några dagar senare är pengarna borta. VD-bedrägeri, internationellt känt som CEO fraud eller business email compromise, är en av de dyraste formerna av social engineering. Det lömska är att angriparna inte forcerar någon brandvägg. De utnyttjar i stället medarbetarnas hjälpsamhet och respekt för ledningen. Med tydliga rutiner och tränad uppmärksamhet går bluffen att stoppa.

Så går en typisk attack till

VD-bedrägeri är ingen slumpträff utan resultatet av noggranna förberedelser. En typisk attack följer gång på gång samma mönster:

1. Research: Angriparna samlar in offentligt tillgänglig information: ledningens namn på webbplatsen, ansvarsområden på LinkedIn, pressmeddelanden om förvärv eller expansion. Ofta vet de exakt vem på ekonomiavdelningen som får godkänna betalningar.
2. Förklädnad: Därefter förbereds en avsändaradress som är förvillande lik den äkta, till exempel med omkastade bokstäver i domänen. I vissa fall kapas till och med ett äkta e-postkonto.
3. Första kontakten: Ett kort, oskyldigt meddelande, till synes från vd:n: ”Är du på plats? Jag behöver din hjälp med en konfidentiell sak.” Den som svarar signalerar tillgänglighet och blir måltavlan.
4. Trycket ökar: Nu kommer det egentliga kravet: en brådskande överföring, påstått för ett hemligt förvärv, en handpenning eller en advokatbyrå. Frågor går inte att ställa, för chefen sitter på planet eller i möte.
5. Avslut: När pengarna väl är överförda flyttas de ofta snabbt vidare via utländska konton och är mycket svåra att få tillbaka.

Bedragarna begränsar sig inte längre till e-post: även telefonsamtal, sms och meddelanden i chattappar ingår i verktygslådan, ibland med AI-genererade röster.

De psykologiska hävstängerna: auktoritet, brådska, sekretess

Tekniskt sett är VD-bedrägeri ofta banalt. Kraften kommer från tre psykologiska hävstänger:

• Auktoritet: Få ifrågasätter en order ”från högsta ort”. Det är precis vad bedragarna räknar med: respekten för hierarkin ersätter den kritiska granskningen.
• Brådska: Snäva deadlines och formuleringar som ”måste gå iväg i dag” kopplar bort eftertanken. Den som har tidspress kontrollerar mindre noga.
• Sekretess: Kravet på absolut tystnad isolerar offret. Den som inte får prata med någon kan heller inte be någon om en andra åsikt.

Kombinationen är så effektiv eftersom den utnyttjar beteenden som normalt är önskvärda: lojalitet, hjälpsamhet och diskretion.

Varningssignaler du ska reagera på

Ett enskilt tecken bevisar inget bedrägeri, men i kombination är de en tydlig varning:

• En betalningsbegäran avviker från den vanliga processen eller kommer via en ovanlig kanal.
• Avsändaradressen skiljer sig minimalt från den äkta: en bokstav, en annan ändelse.
• Brådska och sekretess uppträder tillsammans: ”omedelbart” och ”prata inte med någon om det här”.
• Mottagarkontot är nytt, okänt eller finns utomlands.
• Återuppringning blockeras aktivt och all kommunikation ska ske skriftligt.
• Ton, tilltal eller språk stämmer inte med personen som påstås skriva.

Många av tecknen känner du igen från phishingmejl. Det är ingen slump: VD-bedrägeri bygger på exakt samma knep, bara mer riktat.

Fyra ögon-principen och tydliga rutiner

Det starkaste skyddet mot VD-bedrägeri är rutiner som gör ensamma beslut under press omöjliga:

• Fyra ögon-principen: Överföringar över en definierad gräns godkänns aldrig av en person ensam. Det gäller utan undantag, också när ordern kommer från ledningen.
• Återuppringning på känt nummer: Ovanliga betalningsuppdrag verifieras alltid via en andra kanal: med det internt sparade numret, aldrig med kontaktuppgifter från det misstänkta meddelandet.
• Verifierade stamdata: Ändringar av leverantörers bankuppgifter stäms alltid av med den kända kontaktpersonen.
• Tydliga rapportvägar: Den som misstänker något vet exakt vem hen ska vända sig till och kritiseras aldrig för det, även om det visar sig vara falskt alarm.

Rutinerna håller bara om ledningen själv lever efter dem. En vd som driver igenom äkta brådskande ärenden vid sidan av rutinerna tränar sitt team i precis det beteende som bedragarna utnyttjar.

Utbildning gör medarbetarna till ett extra skyddslager

Rutiner fungerar bara om människor tillämpar dem i det avgörande ögonblicket, under tidspress och inför en påstådd auktoritet. Det är precis vad som går att träna: awareness-utbildning synliggör de psykologiska knepen, och regelbundna simuleringar ger träning i att hantera situationen lugnt innan det händer på riktigt. Även lagstiftningen ställer krav: NIS2-direktivet, som är i kraft, kräver bland annat att berörda företag utbildar inom cybersäkerhet. Läs mer på vår NIS2-sida.

I Protectlys kurskatalog hittar du särskilda utbildningar om VD-bedrägeri som går igenom attackmönstret, de psykologiska hävstängerna och varningssignalerna i ett praktiskt format som ryms i arbetsdagen. Ta en titt i kurskatalogen eller boka en demo för att se hur du rustar ditt team mot VD-bedrägerier.