BEC-attacker och leverantörsbedrägerier: Skydda organisationen mot kapade konton

Detta är ett mardrömsscenario för alla ekonomichefer, CFO:er och CISO:er i Sverige. Ekonomiavdelningen tar emot ett välformulerat e-postmeddelande från en etablerad underleverantör. Avsändaradressen stämmer exakt, företagets grafiska profil är intakt och meddelandet glider sömlöst in i en pågående dialog. Ärendet verkar helt odramatiskt: leverantören meddelar ett byte av bankgiro eller IBAN inför kommande fakturautbetalning. I själva verket har motpartens Microsoft 365- eller Google Workspace-konto blivit kapat. Det här är kärnan i en sofistikerad BEC-attack (Business Email Compromise), ofta kallad leverantörsbedrägeri eller VD-bedrägeri i vidare bemärkelse.

Vid denna typ av riktad social manipulation (social engineering) larmar inte tekniska e-postskydd som SPF, DKIM eller DMARC. Den tekniska avsändaren är ju autentisk och legitim. Varken skadliga länkar eller infekterade bilagor förekommer i meddelandet. Den enda försvarslinjen som återstår är medarbetarnas vaksamhet och en strikt efterlevnad av interna kontrollrutiner. I ljuset av regelverk som NIS 2 (den svenska Cybersäkerhetslagen) och DORA för den finansiella sektorn ställs nu allt hårdare krav på att säkra hela leverantörskedjan.

Hur avvärjer man ett leverantörsbedrägeri när e-posten är äkta?#

Sammanfattning: För att stoppa en BEC-attack via ett kapat konto måste organisationen alltid tillämpa oberoende motringning (Out-of-Band) till ett verifierat telefonnummer, identifiera avvikande språkmönster och kräva dubbelattest vid varje ändring av bankuppgifter.

När en angripare tar kontroll över en leverantörs e-postkonto kartläggs ofta organisationens rutiner under flera dagar eller veckor. Cyberkriminella granskar öppna fakturor, attestregler, betalningscykler och den vanliga samtalstonen. Här räcker inte tekniska filter till. För att stoppa bedrägeriet innan betalningen genomförs måste organisationen luta sig mot robusta rutiner och mänskliga barriärer:

• Obligatorisk motringning (Out-of-Band): Detta är den gyllene regeln för alla ekonomiavdelningar. Varje avisering om ändrade bankuppgifter, IBAN eller bankgironummer som inkommer digitalt måste följas upp via telefon till en känd kontaktperson. Telefonnumret måste hämtas från det interna affärssystemet (ERP-systemet eller det ursprungliga avtalet), aldrig från det inkomna mejlet eller fakturabilagan.
• Dubbelattest och tvåmanshandskakning: Ändringar av leverantörers betalningsmottagare i affärs- och ekonomisystemet ska kräva godkännande av minst två separata personer efter att officiell dokumentation verifierats.
• Alternativa verifieringsvägar: Om den ordinarie kontaktpersonen inte går att nå via telefon ska samtalet gå via leverantörens officiella växelnummer för kontakt med deras ekonomiansvariga.

Vilka beteendemönster avslöjar att en samarbetspartners konto har kapats?#

Sammanfattning: Tydliga varningssignaler inkluderar omotiverad brådska, kontouppgifter i ett avvikande land, motvilja mot röstsamtal samt dolda vidarebefordringsregler i e-postklienten.

Även om angriparen opererar inifrån en legitim inkorg uppstår nästan alltid subtila avvikelser i beteendet. Tidsbrist och stress är bedragarens viktigaste verktyg: pengarna måste skickas iväg innan den verkliga kontoägaren eller IT-avdelningen upptäcker intrånget.

Svaga signaler som kräver omedelbar vaksamhet

Här är avvikelser som omedelbart ska få varningsklockorna att ringa hos ekonomi- och redovisningspersonal:

• Plötslig brådska: Meddelandet betonar snäva deadlines, förestående månadsskiften, likviditetsbehov eller hotar med stoppade leveranser för att kringgå sedvanliga kontrollsteg.
• Geografisk inkonsekvens i bankdata: En svensk leverantör uppger plötsligt ett utländskt bankkonto eller hänvisar till en utländsk nischbank utan naturlig koppling till deras etablerade verksamhet.
• Undvikande av telefonsamtal: Om handläggaren försöker ringa upp svarar avsändaren snabbt per mejl att hen sitter i ett viktigt möte, är på resande fot eller saknar röst, och kräver att dialogen fortsätter skriftligt.
• Subtilt förändrad tonalitet: Ovanliga hälsningsfraser, märklig meningsbyggnad eller en oväntat formell alternativt ovanligt familjär ton kan avslöja att någon annan sitter vid tangentbordet.

För att ge medarbetarna rätt förutsättningar att upptäcka dessa taktiker krävs kontinuerlig och verklighetsnära träning. Genom att implementera Super Phisher tillsammans med vårt team kan ekonomi- och inköpsavdelningar övas mot avancerade scenarier som speglar dagsaktuella metoder för leverantörskapning och fakturabedrägerier.

Hur utformas en nödprocess vid misstänkt felaktig utbetalning?#

Om en felaktig överföring väl genomförts räknas varje enskild minut. Kriminella nätverk slussar snabbt kapitalet vidare genom målvaktskonton inom loppet av några timmar. En fastställd och förankrad incidentrutin mellan ekonomifunktionen och IT-säkerhetsavdelningen är helt avgörande för att begränsa skadan.

Åtgärdsplan vid bekräftat eller misstänkt bedrägeri

När en avvikelse upptäcks ska följande steg initieras omedelbart:

1. Larma banken för akut återkallande (Recall): Kontakta omedelbart bankens bedrägerienhet (Fraud Desk) och begär en akut återkallning av transaktionen.

2. Notifiera CISO och IT-avdelningen: Isolera berörda mejlkonversationer, spara kompletta mejlhuvuden (headers) och analysera om fler medarbetare inom organisationen kontaktats av samma aktör.

3. Kontakta den drabbade samarbetspartnern: Ring leverantörens ledning via säkra kanaler så att deras IT-ansvariga kan återta kontrollen över systemen, terminera aktiva sessioner och rensa bort dolda inkorgsregler.

4. Gör en polisanmälan och rapportera: Upprätta en polisanmälan hos Polismyndigheten (Nationellt Cyber Crime Center, NCCC). Delge tekniska bevis som IP-adresser, bankdetaljer och ursprungliga eml-filer. Vid behov ska incidenten även anmälas till behörig tillsynsmyndighet som Finansinspektionen eller CERT-SE.

Att bygga ett genuint motståndskraftigt skydd mot finansiella cyberbedrägerier kräver mer än statiska policydokument. Boka ett möte med oss för att diskutera hur ni kan stärka säkerhetskulturen hos era mest utsatta funktioner och skydda organisationens betalningsflöden långsiktigt.

BRAIN SECURITY I PRAKTIKEN · Super Phisher

Läs vidare: relaterade artiklar och lösningar från Brain Security#

Relaterade artiklar inom detta ämne

• Typosquatting och homoglyfattacker: Lär era team att granska en URL (Phishing & Social Engineering) : Lär era medarbetare att avslöja typosquatting och homoglyfdomäner. Bygg ett mänskligt cyberförsvar mot nätfiske och säkra er organisation.
• Falsk fildelning och e-signaturer: Det dolda B2B-hotet (Phishing & Social Engineering) : Lär er skydda organisationen mot nätfiske via falsk fildelning och e-signaturer, avancerade AiTM-attacker och stöld av aktiva sessioner.
• Social engineering på professionella nätverk: När ett falskt jobberbjudande döljer ett intrång (Phishing & Social Engineering) : Lär dig hur angripare utnyttjar professionella nätverk för att lura nyckelpersoner med falska rekryteringar och stjäla er organisations behörigheter.
• Cybersäkerhet för HR och rekrytering: Avslöja riggade CV:n och falska AI-kandidater (Industries & Roles) : Lär er skydda HR-avdelningen mot skadliga bilagor, riggade portfolios och falska deepfake-kandidater under digitala anställningsintervjuer.

Utforska Brain Securitys lösningar på vår webbplats

• Relaterad lösning : Super Phisher : Realistiska nätfiskesimuleringar (Super Phisher): träna medarbetare att känna igen och rapportera misstänkta mejl.
• Se användningsfall efter mål och bransch
• Jämför våra format för cybersäkerhet och AI-medvetenhet
• Utforska hela Brain Securitys interaktiva produktkatalog
• Prata om era behov med vårt team (demo och upplägg)