Svindel mot ansatte med tilgang til bedriftskonto tar seg kraftig opp

I august gikk Finans Norge ut og advarte mot målrettede svindelangrep mot personer med tilgang til bedriftskonto. Siden den gang har svindelformen tatt seg kraftig opp, ifølge bankenes antisvindeleksperter.

– Vi ser dessverre at denne svindelen fortsatt treffer mange bedrifter. Når svindlerne får tak i BankID-informasjonen til en ansatt som også har tilgang til virksomhetens konto, kan skadepotensialet bli stort, sier Gry Nergård, fagdirektør antisvindel i Finans Norge.

Svindelmetoden kan ifølge Finans Norge ramme alle virksomheter som håndterer fakturaer og betalinger.

Starter med en tilsynelatende vanlig melding

Svindelen starter gjerne med en SMS eller e-post til den ansatte. Deretter følger svindlerne opp med en telefonsamtale der de gir seg ut for å være banken eller en annen aktør den ansatte har grunn til å stole på.

Det kan for eksempel starte med et betalingsvarsel om en angivelig ubetalt faktura og en lenke til en falsk nettside der mottakeren blir bedt om å logge inn med BankID. Deretter kan svindleren ringe og utgi seg for å være fra «bankens sikkerhetsavdeling». Målet er å få tak i BankID-informasjon som kan brukes til å få tilgang til bedriftskontoen.

– Kombinasjonen av melding og telefonsamtale kan gjøre henvendelsen mer troverdig. Det viktigste er å stoppe opp. Banken vil ikke be deg om BankID-passord eller engangskoder, sier Nergård.

Virksomhetene må ta ansvar

Finans Norge mener virksomhetene må ta høyde for at ansatte kan bli lurt, og sørge for gode sikkerhetsrutiner.

– Det er viktig at ansatte som håndterer fakturaer og betalinger eller har tilgang til bedriftskonto, får god opplæring i hvordan de skal håndtere mistenkelige henvendelser. Ledelsen må samtidig sørge for gode rutiner og kontrollmekanismer som reduserer risikoen, sier Nergård.

Finans Norge anbefaler blant annet ekstra kontroll ved større eller uvanlige utbetalinger, for eksempel gjennom prinsippet om fire øyne.

Seks råd til bedriftene

Finans Norge presenterer seks forebyggende råd til bedriftene: 

1. Beskytt BankID-en din. Ikke del BankID-passord eller engangskoder, og ikke godkjenn forespørsler du ikke selv har initiert eller forventer.

2. Ikke trykk på lenker i uventede meldinger om fakturaer, betalinger eller kontoopplysninger.

3. Etabler gode kontrollrutiner, for eksempel totrinnsgodkjenning og prinsippet om fire øyne ved større eller uvanlige utbetalinger.

4. Ikke stol på avsender alene. Telefonnummer, e-postadresser og SMS-avsendere kan forfalskes.

5. Vær oppmerksom på tidspress. Stopp opp og kontroller opplysningene før du handler.

6. Handle raskt ved mistanke om svindel. Kontakt banken umiddelbart, sperr BankID dersom opplysninger kan ha kommet på avveie, ta vare på dokumentasjon og anmeld til politiet.

Vanskeligere for bankene å oppdage

Svindel mot bedriftskontoer kan være vanskeligere for bankene å avdekke enn svindel mot privatkontoer. For en privatkunde er det gjerne tydeligere hva som avviker fra kundens vanlige betalingsmønster. For en virksomhet kan betalingene variere mer, og det kan derfor være vanskeligere å skille en svindelbetaling fra en legitim betaling.

– Det gjør det ekstra viktig at virksomhetene selv har gode rutiner. Små og mellomstore bedrifter bør også ta kontakt med banken sin for å diskutere hva de kan gjøre for å redusere risikoen for denne typen svindel, sier Nergård.