Har I betalt en falsk faktura, eller en rigtig faktura til et forkert kontonummer, er rækkefølgen: ring til banken med det samme, sikr mailen og mailkontoen, før nogen nulstiller eller sletter noget, og underret forsikringen. Tid er afgørende. Jo hurtigere banken får besked, jo større er chancen for, at betalingen kan stoppes eller kaldes tilbage.
Denne side er hovedsiden for falske fakturaer og CEO-svindel på bevissikring-digitalt.dk. Den starter med et typisk forløb, så I kan genkende situationen. Derefter kommer de første timer som tjekliste, en sammenligning af de tre måder, den falske mail typisk opstår på, og svar på de spørgsmål, der går igen.
Et typisk forløb
Eksemplet herunder er opdigtet og generisk. Det er ikke en rigtig sag, men det viser, hvordan mange af disse sager udvikler sig.
En bogholder i en mindre handelsvirksomhed får en mail fra en fast leverandør. Mailen ligner de tidligere: samme logo, samme kontaktperson, samme tone. Den siger, at leverandøren har skiftet bank, og at næste faktura skal betales til et nyt kontonummer. Fakturaen kommer få dage senere, beløbet passer med en ordre, og bogholderen opretter betalingen. En kollega godkender den i netbanken.
Tre uger senere ringer leverandøren og rykker for betaling. Ingen hos leverandøren har skiftet bank. Nu opstår spørgsmålene: Hvor kom mailen fra? Var det leverandørens mailkonto, der var overtaget, eller jeres egen? Eller var det en efterligning fra et domæne, der næsten ligner leverandørens? Og hvem skal bære tabet?
Svaret på alle tre spørgsmål ligger i sporene: mailens tekniske oplysninger, loggen i jeres mailsystem, leverandørens log og jeres egne rutiner for betaling. Har bogholderen slettet mailen, og har IT nulstillet adgangskoder og fjernet regler uden at gemme dem, er en stor del af svaret væk. Derfor er rækkefølgen herunder vigtig.
Forestil jer det samme forløb, hvor sporene bliver sikret. Økonomichefen ringer til banken, mens bogholderen gemmer mailen som fil. IT eksporterer loggen og finder en regel i bogholderens postkasse, der flytter alle mails fra leverandøren til en mappe, ingen bruger. Reglen bliver dokumenteret, før den slettes, og loggen viser et login fra en ukendt enhed nogle uger før. Ledelsen ringer til leverandøren på det nummer, der står i kontrakten, og beder skriftligt om, at leverandøren også bevarer sin log. Forsikringen får besked samme dag med en kort tidslinje.
Om pengene kommer tilbage, er stadig usikkert. Men virksomheden kan nu vise, hvad der skete, og hvornår. Det er det, banken, forsikringen og en eventuel modpart vil spørge om.
De første timer
Time 0: ring til banken
- ☐ Ring til jeres erhvervsbank med det samme, også uden for åbningstid, hvis banken har en vagtordning.
- ☐ Oplys beløb, dato, modtagerkonto og jeres egen konto.
- ☐ Bed banken forsøge at stoppe eller kalde betalingen tilbage.
- ☐ Notér, hvem I talte med, hvornår, og hvad der blev aftalt.
- ☐ Følg bankens anvisninger om, hvad I ellers skal gøre.
Time 0-2: sikr mailen
Mailen med den falske faktura er det vigtigste bevis. Den skal bevares, som den er.
- ☐ Slet ikke mailen. Flyt den heller ikke rundt i mapper.
- ☐ Videresend ikke mailen som almindelig mail. Gem den som original fil, eller bed IT eksportere den med alle tekniske oplysninger. → Sådan gemmer du en mail korrekt som bevis
- ☐ Gem hele korrespondancen med leverandøren i perioden, også tidligere rigtige fakturaer.
- ☐ Gem fakturaen, som den blev modtaget, og den version, der blev bogført.
Time 0-4: tjek jeres egen mailkonto
Bed IT:
- ☐ tjekke for ukendte videresendelses- og indbakkeregler og gemme dem, uden at slette dem, → Videresendelsesregler i mailen
- ☐ eksportere loginlogs og revisionslogs for de berørte postkasser, før de udløber,
- ☐ tjekke for login fra ukendte steder eller enheder,
- ☐ først derefter skifte adgangskoder og logge brugeren ud af alle enheder.
Er jeres mailkonto overtaget, er der flere ting at sikre. → Mailkontoen er overtaget: sikr sporene, før I nulstiller
Time 2-24: underret og dokumentér
- ☐ Underret forsikringen. Mange policer har krav om hurtig anmeldelse og om, hvad der skal dokumenteres. → Underret forsikringsselskabet: hvornår og med hvad?
- ☐ Kontakt leverandøren på et kendt telefonnummer, ikke på et nummer fra mailen. Fortæl, hvad der er sket, og spørg, om deres mail kan være overtaget.
- ☐ Gem netbankens oplysninger om betalingen: hvem der oprettede og godkendte den, og hvornår. → Erhvervsnetbanken: hvem oprettede og godkendte betalingen?
- ☐ Skriv en tidslinje over forløbet: hvornår mailen kom, hvem der behandlede den, hvem der godkendte betalingen, og hvornår I opdagede det.
- ☐ Skriv ledelsens beslutninger ned med tidspunkt og navn. → Skabelon: ledelsens beslutningslog
Hvor kom den falske mail fra?
Den samme falske faktura kan have tre forskellige forklaringer. De kræver forskellige spor, og de kan give forskellige svar på, hvem der bærer tabet.
- Leverandørens mailkonto er overtaget · Hvor ligger sporene: Leverandørens log og regler, mailens header · Hvem skal sikre dem: Leverandøren, men bed om det skriftligt
- Jeres egen mailkonto er overtaget · Hvor ligger sporene: Jeres log, regler og postkasse · Hvem skal sikre dem: Jeres IT, før der nulstilles
- Efterligning fra et domæne, der ligner · Hvor ligger sporene: Mailens header, domænets registrering · Hvem skal sikre dem: Jeres IT og evt. en IT-sagkyndig
I den første time ved I sjældent, hvilken forklaring der er den rigtige. Derfor skal sporene sikres på begge sider. Bed leverandøren skriftligt om at bevare deres log og deres regler, og gør det samme hos jer selv. Er det leverandøren, der er ramt, er der mere at hente på siden om leverandøren, der blev hacket. Er det et domæne, der ligner, så se domænet, der ligner jeres.
Kom mailen fra “direktøren” med besked om en hasteoverførsel, er det en variant med sit eget forløb. → CEO-svindel: mail fra “direktøren” om en hasteoverførsel
Tjek for flere falske fakturaer
Én falsk faktura kommer sjældent alene. Er en mailkonto overtaget, kan der være sendt flere, til jer eller fra jer til jeres egne kunder. Bed økonomi gennemgå betalinger og ændrede kontonumre for de seneste måneder, især hos de leverandører, der er berørt. Bed IT tjekke, om der er sendt mails fra jeres domæne, som ingen kan genkende. Har jeres egne kunder fået falske fakturaer i jeres navn, så advar dem på et kendt telefonnummer eller en kendt mailadresse, og gem en kopi af advarslen. → Jeres kunder har fået falske fakturaer fra “jer”
Hvem gør hvad?
- Økonomi · Ringer til banken, gemmer faktura og betalingsdata
- IT · Sikrer mail og logs, tjekker regler og logins
- Ledelse · Ejer sagen, underretter forsikring og advokat
- Medarbejderen, der betalte · Fortæller, hvad der skete, og sletter intet
- IT-sagkyndig · Analyserer mailen og logs, hvis der er tvist om ansvaret
Økonomifunktionen har en central rolle, fordi det er her, betalingssporene ligger. → Økonomifunktionens rolle: bank, ERP og betalingsspor
Det må I ikke gøre
- Vente med at ringe til banken, fordi I vil være sikre først.
- Slette den falske mail eller lade medarbejderen “rydde op”.
- Nulstille adgangskoder og slette regler, før logs er gemt. Så kan det være umuligt at se, hvad der skete.
- Svare på den falske mail eller kontakte afsenderen.
- Bebrejde medarbejderen offentligt. Det skaber utryghed og gør det sværere at få en ærlig forklaring.
- Skrive til leverandøren på den mailadresse, der kan være overtaget.
Medarbejderen, der betalte
Det er en hård situation for den, der godkendte betalingen. Tag en rolig samtale og bed om en forklaring på forløbet, så længe det er frisk i erindringen. Skriv et referat. Falske fakturaer er ofte meget overbevisende. Fokus skal være på at forstå, hvad der skete, og på at sikre sporene, ikke på at finde en skyldig.
Bed medarbejderen om ikke at slette noget, heller ikke beskeder på telefonen, hvis der har været kontakt med den falske afsender på sms eller telefon. Spørg også, om der har været opkald eller beskeder, der bekræftede betalingen, og notér numre og tidspunkter. Er medarbejderen usikker på detaljer, så skriv det, og gæt ikke.
Spørgsmål, vi ofte får
Kan pengene komme tilbage?
Det kan ingen love. Chancen er størst, når banken får besked hurtigt. Kan banken ikke stoppe betalingen, er det ikke nødvendigvis slut. Der kan være et civilt krav mod modtageren af pengene, mod en leverandør eller mod andre, og forsikringen kan dække noget af tabet. Begge dele kræver dokumentation. → Svindel: civile krav mod bank og pengemodtagere
Hvem bærer tabet, os eller leverandøren?
Kom den falske mail fra en leverandørs overtagne mailkonto, kan der opstå en tvist om, hvem der skal bære tabet. Kom den fra jeres egen overtagne konto, kan spørgsmålet være et andet. I begge tilfælde er mailens tekniske oplysninger, logs og jeres egne rutiner for betaling centrale. → Fakturasvindel via hacket mail: hvem bærer tabet?
Skal vi dokumentere vores egne rutiner?
Ja. Gem dokumentation for, hvordan betalinger normalt godkendes, for eksempel at to personer godkender, og at kontoændringer bekræftes telefonisk. Hvis rutinen ikke blev fulgt denne gang, så skriv det ned, som det var. Det er bedre at kende svagheden selv end at få den fremlagt af en modpart.
Hvad skal forsikringen have?
Typisk en tidslinje, den falske mail, betalingsoplysningerne fra netbanken og en beskrivelse af jeres rutiner. Policen bestemmer de præcise krav, så læs den, eller spørg selskabet. → Dækker forsikringen bevissikring og en IT-undersøgelse?
Skal vi fortælle andre leverandører og kunder om det?
Hvis jeres egen mailkonto kan være overtaget, så ja, i det omfang de kan være ramt. Brug en kendt kanal, ikke den konto, der kan være misbrugt, og aftal ordlyden med ledelsen. Hold beskeden kort og faktuel, og gem en kopi af, hvad der er sendt til hvem. Det, I skriver, kan senere indgå i en tvist.
Hvad hvis rutinen blev fulgt, og det alligevel gik galt?
Så er det vigtigt at kunne vise det. Gem netbankens oplysninger om, hvem der oprettede og godkendte betalingen, og eventuelle notater om, at kontoændringen blev forsøgt bekræftet. Det kan få betydning for spørgsmålet om ansvar.
Hvor længe skal vi gemme materialet?
Til sagen er helt afsluttet, også over for banken, forsikringen og leverandøren. Gem alle mails og breve om sagen, og skriv et kort notat efter hvert telefonopkald. Saml det hele i én mappe med begrænset adgang sammen med tidslinjen.
Kan vi selv finde ud af, hvor mailen kom fra?
Delvist. Mailens header viser, hvilke servere den er gået igennem, men den kan være svær at læse og kan være forfalsket i dele. Er der et tab, som nogen skal bære, er det en god idé at lade en uvildig IT-sagkyndig analysere mailen og logs. → Mail-headere: hvem sendte mailen, og hvornår?
Forebyg næste gang
- Bekræft altid ændringer af kontonumre telefonisk på et kendt nummer.
- To personers godkendelse af betalinger.
- Slå advarsler til for mails fra eksterne afsendere.
- Tjek jævnligt for videresendelsesregler i postkasserne.
- Sørg for, at loggen i mailsystemet er slået til og gemmes længe nok til, at I kan se tilbage, når en falsk faktura bliver opdaget uger senere.
Skriv rutinerne ned, og gennemgå dem med de medarbejdere, der betaler regninger. En rutine, der kun findes i hovedet på én person, er svær at dokumentere bagefter. → Bevisberedskab: vær klar, før sagen opstår
Ordforklaringer
- Mail-header: de tekniske oplysninger, der følger med en mail og viser, hvilke servere den er sendt igennem. De ses ikke i den almindelige visning.
- Revisionslog: mailsystemets log over logins, regler og handlinger i postkassen. Den gemmes kun en begrænset periode.
- Indbakkeregel: en automatisk regel, der flytter, videresender eller sletter mails. Angribere bruger dem til at skjule svar.
- Tilbagekald: når banken forsøger at få en betaling tilbage fra modtagerens bank. Det lykkes ikke altid.
- Efterligning (spoofing): en mail, der ser ud til at komme fra en kendt afsender, men er sendt fra et andet sted.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis der er tvivl om, hvor den falske mail kom fra, hvis I eller leverandøren kan have en overtaget mailkonto, hvis forsikringen beder om dokumentation, eller hvis der kan opstå tvist om, hvem der bærer tabet. En uvildig IT-sagkyndig kan analysere mailen og logs. Hvad Nielco IT kan gøre i den situation, står på siden hjælp efter CEO-svindel eller en betalt falsk faktura. Hastesager koster ekstra. → Pris og tilbud
Er der mere end én mail eller betaling involveret, eller er flere systemer ramt, så se også bevissikring efter et cyberangreb.
Denne artikel handler om virksomhedens egen dokumentation og civile krav. Følg også bankens og forsikringens anvisninger.
Læs også: Leverandøren blev hacket: hvad skal I dokumentere? · CEO-svindel: mail fra “direktøren” om en hasteoverførsel
→ Hjælp efter CEO-svindel eller en betalt falsk faktura · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
