Har en medarbejder talt i telefon eller i et videomøde med en, der lød og så ud som direktøren, og bagefter overført penge, så ring til banken først. Sikr derefter opkaldsloggen, mødedata, invitationen og alle beskeder omkring opkaldet, før nogen sletter noget eller lukker konti. Et opkald efterlader færre spor end en mail, og de spor, der findes, forsvinder hurtigt.
Artiklen handler om stemme og video. Kom henvendelsen kun som en mail, er fremgangsmåden en anden. → Mail fra direktøren om en hasteoverførsel
Hvorfor opkald er sværere at dokumentere
En mail har en header, der kan analyseres. Et opkald har det ikke på samme måde. Stemmen og ansigtet er væk, når samtalen slutter, medmindre nogen har optaget. Det, der er tilbage, er sporene rundt om samtalen: hvem ringede fra hvilket nummer, hvem inviterede til mødet, hvilken konto mødet blev holdt fra, og hvilke beskeder der kom før og efter.
Det er de spor, banken, forsikringen og en eventuel modpart vil spørge til. De viser, hvordan medarbejderen blev kontaktet, og om virksomhedens egne procedurer blev fulgt. Om stemmen eller videoen var kunstigt skabt, kan sjældent bevises bagefter. Det er heller ikke nødvendigt for at kunne dokumentere forløbet. Hvordan deepfakes vurderes som bevis, er beskrevet i opslagsværket. → Deepfakes og AI-genererede billeder som bevis
Hvad gør I nu, i rækkefølge
- Ring til banken. Er pengene sendt, så bed banken forsøge at stoppe eller kalde betalingen tilbage. Gør det, før I gør noget andet. → Vi har betalt en falsk faktura: de første timer
- Bekræft hos den rigtige direktør på et nummer, I kender i forvejen. Skriv ned, hvornår det skete.
- Bed medarbejderen skrive forløbet ned, mens det er frisk: tidspunkt, hvem der ringede, hvad der blev sagt, hvordan stemmen eller billedet virkede, og hvad der fik vedkommende til at handle.
- Sikr telefonens opkaldsliste. Tag ikke bare et skærmbillede. Bed IT eller teleleverandøren om en udskrift af opkaldet med nummer, tidspunkt og varighed.
- Sikr mødedata. Var det et videomøde, skal invitationen, mødelinket og deltagerlisten gemmes. Bed IT om at eksportere mødeoplysninger og revisionslog fra Teams, Zoom eller det system, der blev brugt.
- Sikr beskederne omkring opkaldet. Ofte kommer der en mail, sms eller WhatsApp-besked før eller efter, med kontonummer eller “bekræftelse”. Gem dem alle, også jeres egne svar.
- Underret forsikringen og jeres advokat samme dag, hvis det kan nås.
Det skal sikres
- Opkaldsliste, nummer og varighed · Telefonen, teleleverandør, IP-telefoni
- Invitation, mødelink og organisator · Mailen og kalenderen
- Deltagerliste og mødelog · Teams, Zoom eller Google Meet
- Chat i mødet og delte filer · Mødesystemet
- Betalingen, oprettelse og godkendelse · Netbanken
Var mødet arrangeret fra en ekstern konto, kan revisionsloggen vise, at deltageren var gæst udefra, og fra hvilket navn og domæne. Mange systemer gemmer kun disse oplysninger i en begrænset periode, og nogle kræver en bestemt licens. Bed derfor IT om at eksportere dem med det samme. → Erhvervsnetbanken: hvem oprettede og godkendte betalingen?
Hvis mødet blev optaget eller transskriberet
Nogle virksomheder har automatisk optagelse eller transskription slået til i Teams eller Zoom. Er det tilfældet, kan der ligge en optagelse, en udskrift eller et AI-referat af mødet. Bed IT finde det og sætte det i bevarelse, så det ikke slettes efter den normale frist. Del det ikke bredt internt, og redigér ikke i udskriften. Optagelsen kan indeholde persondata om flere personer, så adgangen skal begrænses til dem, der arbejder med sagen.
Hvis pengene ikke er sendt
Er medarbejderen nået at stoppe, er sagen mindre, men sporene er lige så vigtige. Samme mønster rammer ofte flere i virksomheden eller i jeres branche. Gem alt på samme måde som ovenfor, og bed IT tjekke, om andre medarbejdere har fået invitationer eller opkald fra samme nummer eller konto. Advar kort og sagligt de medarbejdere, der kan godkende betalinger.
Er en rigtig konto brugt?
Nogle gange kommer invitationen fra direktørens rigtige mail eller kalender. Så kan kontoen være overtaget, og så er sagen større end et enkelt opkald. Der kan være læst mails, oprettet regler og sendt andre henvendelser i direktørens navn. Bed IT tjekke direktørens og medarbejderens konti for ukendte login og nye regler, og gem loggen, før nogen skifter adgangskoden.
Er det i stedet et lignende navn, et privat nummer eller en gæstekonto, er jeres egne systemer sandsynligvis ikke kompromitteret. Det har betydning for spørgsmålet om ansvar og for, hvad I skal fortælle kunder og samarbejdspartnere.
Hvem gør hvad?
- Økonomi · Kontakter banken og gemmer betalingsdata
- Medarbejderen · Skriver forløbet ned
- IT · Sikrer opkaldslog, mødedata og konti
- Ledelse · Underretter forsikring og advokat
- IT-sagkyndig · Analyserer spor, hvis der er tvist
Det må I ikke gøre
- Slette opkaldet, mødet eller beskederne, heller ikke for at undgå, at andre bliver snydt af det samme.
- Ringe tilbage til nummeret for at finde ud af mere. Det kan advare afsenderen og blande nye spor ind.
- Nulstille telefonen eller logge medarbejderen ud af alt, før opkaldslisten og beskederne er sikret.
- Bebrejde medarbejderen. Teknikken er lavet til at være overbevisende, og et roligt forløb giver en bedre forklaring.
- Lægge optagelser eller billeder ud internt for at advare. Del en kort beskrivelse af mønsteret i stedet.
Forsikringen vil se jeres procedure
Mange forsikringer spørger, om der var en fast procedure for godkendelse af betalinger, og om den blev fulgt. Gem derfor jeres skriftlige procedure, og skriv ned, hvilke trin der blev sprunget over og hvorfor. Det er ikke for at finde en skyldig, men fordi forsikringen ofte kræver det. → Underret forsikringsselskabet: hvornår og med hvad?
Forebyg næste gang
- Et fast kodeord eller kontrolspørgsmål, som kun ledelsen og økonomi kender, til brug ved telefoniske ordrer om betaling.
- Tilbageringning altid: ingen betaling på baggrund af et indgående opkald eller møde. Ring selv tilbage på et kendt nummer.
- To personers godkendelse af nye modtagere og beløb over en vis grænse.
- Kort orientering af økonomi, ledelse og assistenter om, at stemme og video kan efterlignes.
- Begræns, hvad der ligger offentligt af ledelsens stemme og video, hvor det er muligt.
Kodeordet virker kun, hvis det ikke står i mails eller kalendere, og hvis det skiftes, når en medarbejder med kendskab til det stopper.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis I ikke kan se, om en af jeres egne konti er brugt, hvis banken eller forsikringen beder om dokumentation, I ikke selv kan skaffe, eller hvis der kan blive tvist om, hvem der bærer tabet. En uvildig IT-sagkyndig kan sikre mødedata, logs og telefonens spor, så forløbet kan efterprøves. Hastesager koster ekstra. → Pris og tilbud
Artiklen handler om virksomhedens egen dokumentation og civile krav. Følg også bankens og forsikringens anvisninger.
Læs også: DLP-alarmen gik: hvad gør I nu? · Jeres kunder har fået falske fakturaer fra “jer”
→ Hjælp efter CEO-svindel eller en betalt falsk faktura · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
