En mail, der ser ud til at komme fra direktøren og beder om en hurtig, fortrolig overførsel, er et kendt mønster, ofte kaldet CEO fraud. Er pengene ikke sendt, så stop, bekræft på et kendt telefonnummer, og gem mailen. Er pengene sendt, så ring til banken med det samme. I begge tilfælde skal mailen bevares med alle tekniske oplysninger, fordi den viser, hvor den egentlig kom fra. Det er det, banken, forsikringen og en eventuel tvist vil spørge til.
Afsenderadressen er ofte forfalsket på en af tre måder: et navn, der ligner, men en anden adresse, et domæne, der ligner jeres, eller en rigtig konto, der er overtaget. Hvilken af de tre det er, har betydning for, hvad der skal sikres, og for spørgsmålet om ansvar.
Typiske tegn
- Afsenderen er direktøren eller en anden leder, men mailen kommer fra en ukendt adresse eller et lignende domæne.
- Der er travlt, og det er fortroligt: “Sig det ikke til nogen, det er et opkøb.”
- Afsenderen vil ikke tale i telefon, eller svarer kun på mail.
- Betalingen skal til en ny modtager, ofte i udlandet.
- Mailen kommer, når direktøren er på ferie eller rejse.
- Svaret på mailen går til en anden adresse end afsenderens.
Hvis pengene ikke er sendt
- Svar ikke på mailen.
- Ring til direktøren på et nummer, I kender i forvejen, ikke et nummer fra mailen.
- Gem mailen, som den er. Slet den ikke, og videresend den ikke som almindelig mail.
- Fortæl IT om mailen, så de kan tjekke, om andre har fået lignende mails.
- Skriv kort ned, hvornår mailen kom, og hvad I gjorde.
Hvis pengene er sendt
Ring til banken med det samme. Bed dem forsøge at stoppe eller kalde betalingen tilbage. Fremgangsmåden for de første timer er den samme som ved en falsk faktura. → Vi har betalt en falsk faktura: de første timer
Det skal sikres
Mailen med alle tekniske oplysninger
Mailens header viser blandt andet, hvilken server den kom fra, hvilken adresse svar sendes til, og om den har bestået afsendertjek som SPF, DKIM og DMARC. Det er det, der kan vise, om mailen kom udefra, eller fra en rigtig konto. Gem mailen som original fil, eller bed IT eksportere den. Et skærmbillede eller en udskrift er ikke nok. → Mail-headere: hvem sendte mailen, og hvornår?
Hele tråden
Gem alle mails i tråden, også jeres egne svar og eventuelle vedhæftede filer. Gem også beskeder, hvis afsenderen har skrevet på sms eller i en app.
Logs fra mailsystemet
Bed IT eksportere logs for direktørens og modtagerens postkasser, før de udløber: login, regler for videresendelse og ændringer i postkassen. Det kan vise, om direktørens konto faktisk er overtaget. Er den det, er der flere ting at gøre, og adgangskoden skal først skiftes, når logs er gemt.
Betalingen
Gem oplysninger fra netbanken om betalingen: hvem der oprettede og godkendte den, og hvornår. → Erhvervsnetbanken: hvem oprettede og godkendte betalingen?
Medarbejderens forløb
Bed den medarbejder, der fik mailen, om at skrive kort ned, hvad der skete: hvornår mailen kom, hvad der stod, hvad vedkommende gjorde, og om der var anden kontakt, fx telefonopkald.
Hvis mailen kom fra et domæne, der ligner jeres
Kom mailen fra et domæne, der ligner jeres, fx med et byttet bogstav eller en anden endelse, så gem domænenavnet og bed IT slå domænets opsætning og registreringsdata op med det samme. Det viser, om domænet er sat op til at sende mail, og hvornår det blev registreret. Oplysningerne kan ændre sig hurtigt, og domænet kan blive brugt igen mod jer, mod jeres kunder eller mod jeres leverandører. Overvej at advare de nærmeste samarbejdspartnere på et kendt telefonnummer, og gem en kopi af advarslen. Notér også, om mailen indeholdt oplysninger, som kun nogen med kendskab til virksomheden kunne have, fx navne på medarbejdere, interne projekter eller direktørens rejseplaner. Det kan sige noget om, hvor afsenderen har sine oplysninger fra, og om der er andre konti eller kilder, der skal tjekkes.
Hvem gør hvad?
- Økonomi · Stopper eller melder betalingen til banken
- IT · Gemmer mailen, logs og tjekker andre postkasser
- Direktør · Bekræfter, at mailen ikke er sendt af vedkommende
- Ledelse · Underretter forsikring og advokat
- IT-sagkyndig · Analyserer mail og logs, hvis der er tvist
Det må I ikke gøre
- Slette mailen, heller ikke for at “beskytte” kolleger.
- Videresende mailen som almindelig mail til banken eller forsikringen. Den tekniske information kan gå tabt. Spørg, hvordan de vil have den.
- Nulstille direktørens adgangskode, før logs er gemt.
- Svare afsenderen for at “lege med” eller finde ud af mere.
- Bebrejde medarbejderen. Mailene er lavet til at virke troværdige.
Er direktørens konto overtaget?
Det er afgørende at finde ud af, om mailen kom fra en forfalsket adresse eller fra direktørens rigtige konto. Er kontoen overtaget, kan der være læst mails, oprettet regler og sendt andre mails i direktørens navn, også til kunder og samarbejdspartnere. Så skal postkassen og loginlogs sikres grundigt, og I skal overveje, hvem der skal advares. Det er typisk her, det bliver nødvendigt med hjælp udefra.
Andre har måske fået samme mail
Den samme mail sendes ofte til flere medarbejdere i økonomi og ledelse. Bed IT søge efter mails fra samme afsender eller med samme emne i alle postkasser, og gem resultatet. Advar medarbejderne kort og sagligt, og bed dem melde mistænkelige mails til IT uden at slette dem.
Forsikring
Mange erhvervs- og cyberforsikringer har særlige betingelser for denne type tab, fx krav om procedurer for godkendelse af betalinger. Underret forsikringen hurtigt, og gem dokumentation for jeres rutiner.
Forebyg næste gang
- Fast regel: ingen hasteoverførsler på mail alene. Altid telefonisk bekræftelse på et kendt nummer.
- To personers godkendelse af betalinger over en vis grænse.
- Advarsler i mailsystemet ved mails fra eksterne afsendere, der bruger interne navne.
- Korrekt opsætning af SPF, DKIM og DMARC på jeres eget domæne.
- Kort, jævnlig orientering af økonomi og ledelse om mønsteret.
Har medarbejderen også klikket på et link eller indtastet oplysninger, er der flere ting at sikre. → Medarbejderen klikkede på phishing
Hvornår skal I have hjælp udefra?
Få hjælp, hvis I ikke kan se, om mailen kom fra en forfalsket adresse eller fra en overtaget konto, hvis pengene er sendt, og forsikringen eller banken beder om dokumentation, eller hvis der kan opstå tvist om ansvaret. En uvildig IT-sagkyndig kan analysere mailen og logs. Hastesager koster ekstra. → Pris og tilbud
Denne artikel handler om virksomhedens egen dokumentation og civile krav. Følg også bankens og forsikringens anvisninger.
Læs også: Vi har betalt en falsk faktura: de første timer · Hacket mailkonto: sikr sporene, før I nulstiller adgangskoden
→ Hjælp efter CEO-svindel eller en betalt falsk faktura · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
