BEC-angreb og ændring af bankoplysninger: Stop svindel med falske leverandører

Scenariet er et mareridt for enhver CFO, CISO og it-sikkerhedsansvarlig i danske virksomheder. Økonomiafdelingen modtager en velskrevet e-mail fra en velkendt fast leverandør. Afsenderadressen er ægte, logoet og typografien stemmer overens med den visuelle identitet, og beskeden glider naturligt ind i en igangværende mailtråd. Begrundelsen virker harmløs: Leverandøren har skiftet bankforbindelse, og fremtidige fakturaer skal indbetales på et nyt IBAN- eller kontonummer. I virkeligheden er leverandørens mailkonto blevet kompromitteret. Dette er kernen i et BEC-angreb (Business Email Compromise) og målrettet fakturasvindel.

Ved denne form for avanceret social engineering slår mailgateways og tekniske filtre (SPF, DKIM, DMARC) sjældent alarm, fordi den tekniske afsender rent faktisk er legitim. Der er ingen ondsindede links eller inficerede filer, som afslører bedraget. Den afgørende forsvarslinje beror derfor udelukkende på medarbejdernes årvågenhed og ufravigelige interne kontrolprocedurer.

Hvordan afsløres leverandørsvindel, når mailen er ægte?#

Kort sagt: For at afværge BEC-angreb via en kompromitteret mailkonto skal I altid foretage et udgående kontrolopkald (Out-of-Band) til et forhåndsgodkendt telefonnummer, identificere usædvanlige sproglige ændringer og håndhæve fire-øjne-princippet ved alle ændringer af bankdata.

Når kriminelle overtager en legitim erhvervskonto, overvåger de ofte korrespondancen i dage eller uger. De analyserer udestående betalinger, godkendelseshierarkier og den sædvanlige tone i kommunikationen. Her kommer rent tekniske kontroller til kort over for NIS 2-kravene og D-mærkets fokus på menneskelige barrierer. For at stoppe transaktionen i tide må virksomheden etablere robuste organisatoriske procedurer:

• Det systematiske kontrolopkald (Out-of-Band): Dette er den absolutte guldstandard. Enhver henvendelse om ændring af bankoplysninger modtaget per mail skal udløse et direkte telefonopkald til den faste kontaktperson. Telefonnummeret skal hentes direkte i jeres interne ERP-system eller stamdataarkiv, aldrig fra mailens signatur eller vedhæftede dokumenter.
• Fire-øjne-princippet og dobbeltgodkendelse: Ændring af leverandørkontonumre i økonomisystemet skal kræve godkendelse fra mindst to uafhængige medarbejdere efter kontrol af officiel dokumentation.
• Verificeret nødkanal: Kan den faste kontaktperson ikke træffes på telefonen, bør virksomhedens officielle hovednummer kontaktes for at verificere henvendelsen gennem partnerens administrative ledelse.

Hvilke adfærdsmønstre afslører en overtaget leverandørkonto?#

Kort sagt: Advarselssignaler omfatter et kunstigt tidspres, kontonumre i atypiske lande, brug af online-neobanker samt uvilje mod direkte telefonsamtaler med henvisning til møder eller fravær.

Selvom angriberen benytter partnerens officielle e-mailkonto, opstår der næsten altid adfærdsmæssige uoverensstemmelser. Kunstigt tidspres er svindlernes foretrukne våben: De skal have pengene overført, før den retmæssige kontoejer eller dennes it-afdeling opdager sikkerhedshullet.

Kritiske advarselstegn i bogholderiet

Her er de typiske uregelmæssigheder, som straks bør vække mistanke hos økonomifunktionen:

• Pludseligt tidspres: Beskeden understreger en akut betalingsfrist, et forestående regnskabsafslutningstidspunkt eller trusler om standsning af kritiske leverancer for at fremtvinge en hurtig disposition.
• Geografisk eller finansiel uoverensstemmelse: En veletableret dansk leverandør anmoder pludselig om betaling til en udenlandsk konto i et uventet land eller til en uigennemskuelig neobank uden klar relation til virksomhedens drift.
• Undvigelse af mundtlig kontakt: Forsøger I at ringe op, afvises opkaldet med en forklaring på mail om, at vedkommende sidder i heldagsmøde, er på forretningsrejse eller har mistet stemmen.
• Små sproglige afvigelser: Usædvanlige vendinger, atypiske høflighedsfraser eller pludselige formuleringsfejl kan indikere, at en anden person sidder ved tastaturet.

For at styrke medarbejdernes evne til at gennemskue disse scenarier i hverdagen er praktisk træning afgørende. Ved at implementere et simuleringsværktøj som Super Phisher sammen med vores team udsættes økonomi- og administrationsafdelingerne for realistiske angrebsscenarier, der afspejler nutidens avancerede metoder til leverandørusurpation.

Hvordan håndteres en mistanke om overførsel til en svindelkonto?#

Hvis en betaling er gennemført til en svindlers konto, tæller hvert minut. Bagmændene overfører ofte midlerne gennem mellemliggende konti inden for få timer. En klar beredskabsprocedure, afstemt mellem direktionen, økonomi og it-sikkerhedsansvarlige, sikrer hurtig indgriben.

Akutprotokol ved mistanke om overførselssvindel

Når en mistanke opstår eller bekræftes:

1. Kontakt afsendende bank omgående: Ring straks til jeres virksomhedsbank og anmod om en akut standsning eller tilbagekaldelse af betalingen (fraud recall-procedure).

2. Underret CISO og it-sikkerhed: Gem alle mails, headers og transaktionsdata uændret. Undersøg samtidig, om andre medarbejdere i organisationen har modtaget lignende anmodninger.

3. Advar den kompromitterede partner telefonisk: Kontakt ledelsen hos den pågældende leverandør via verificerede kanaler, så deres tekniske team kan afbryde aktive sessioner, nulstille adgangskoder og fjerne skjulte videresendelsesregler i mailopsætningen.

4. Anmeld forholdet: Indgiv en anmeldelse til politiets Nationalt Center for It-kriminalitet (NCIK) og del relevante tekniske logfiler, mailadresser og kontonumre til brug for efterforskningen. Informér eventuelt CFCS (Center for Cybersikkerhed) i overensstemmelse med jeres hændelseshåndteringspolitik.

At beskytte virksomheden mod sofistikeret finansiel svindel kræver mere end blot teoretiske retningslinjer. Book en dialog med vores team for at tilrettelægge et målrettet træningsforløb for jeres mest udsatte medarbejdere og sikre jeres betalingsprocesser effektivt.

BRAIN SECURITY I PRAKSIS · Super Phisher

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Typosquatting og homoglyf-angreb: Lær organisationen at afkode en URL (Phishing & Social Engineering) : Lær at gennemskue typosquatting og homoglyf-domæner. Træn medarbejderne i at aflæse URL-adresser og styrk forsvaret mod avancerede phishing-angreb.
• Falske fildelinger og digitale signaturer: Den snedige B2B-phishingfælde (Phishing & Social Engineering) : Lær hvordan jeres virksomhed modstår phishing med falske fildelinger, AiTM-angreb og sessionskapring trods MFA. Beskyt jeres cloudmiljø effektivt.
• Social engineering pa professionelle netvaerk: Nar et falsk jobtilbud skjuler et cyberangreb (Phishing & Social Engineering) : Opdag hvordan trusselsaktorer udnytter professionelle netvaerk og falske jobtilbud til at ramme medarbejdere og omga perimeterforsvaret.
• Cybersikkerhed i HR og rekruttering: Spot inficerede CV'er og falske AI-kandidater (Industries & Roles) : Lær hvordan I beskytter jeres HR-team mod ondsindede CV-vedhæftninger, falske profiler og deepfake-kandidater i videointerviews.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)