En kunde ringer og spørger, hvorfor jeres kontonummer er ændret. Eller værre: kunden har betalt, og pengene er ikke kommet frem. Det første spørgsmål er, om mailen faktisk kom fra jeres system, eller om nogen har efterlignet jer udefra. Svaret afgør, hvad I skal sikre, hvad I skal fortælle kunderne, og hvordan I står, hvis kunden mener, at I skal bære tabet.
Artiklen handler om jeres side af sagen, når andre er blevet snydt i jeres navn. Har I selv betalt en falsk faktura, er det en anden situation. → Vi har betalt en falsk faktura: de første timer
To forskellige sager
Der er groft sagt to måder, det sker på:
- Mailen er sendt fra jeres rigtige konto · En postkasse hos jer er overtaget
- Mailen er sendt fra en adresse, der ligner jeres · Nogen efterligner jer udefra
I begge tilfælde ser mailen rigtig ud for kunden. Forskellen ses i de tekniske oplysninger: mailens header hos kunden og loggen i jeres mailsystem. Derfor skal I have fat i begge dele, før nogen begynder at rydde op.
Hvad gør I nu, i rækkefølge
- Bed kunden om ikke at betale og om at ringe til sin bank med det samme, hvis betalingen er sendt.
- Bed kunden sende mailen videre som vedhæftet fil, ikke som almindelig videresendelse. Så følger headeren med. Forklar, at et skærmbillede ikke er nok.
- Bed IT tjekke jeres egne postkasser for den, der står som afsender: ukendte login, nye regler for videresendelse eller sletning, og mails i sendt post, som ingen kender.
- Gem loggen, før adgangskoder skiftes. Er en konto overtaget, skal adgangen lukkes, men loggen skal eksporteres først. → Mailkontoen er overtaget: sikr sporene, før I nulstiller
- Find ud af, hvem der ellers har fået mails. Bed IT søge i mailsystemets sendelog efter mails fra den berørte konto i perioden.
- Skriv ned, hvad I ved, og hvornår I fik det at vide. Tidspunktet betyder noget for de næste skridt.
Hvis jeres egen konto er brugt
Er mailen sendt fra jeres system, har nogen haft adgang til en postkasse. Så skal I regne med, at mails kan være læst, at kundelister kan være set, og at der kan være sendt mere, end I ved. Det kan være et brud på persondatasikkerheden, som skal vurderes og dokumenteres inden for en kort frist. → Persondatabrud: dokumentationen inden for 72 timer
Sikr især:
- loginloggen for kontoen, med tidspunkter og IP-adresser,
- regler, der er oprettet eller ændret,
- sendelog og sendt post i perioden,
- ændringer i fakturaskabeloner eller bankoplysninger i økonomisystemet.
Hvis I er blevet efterlignet
Kommer mailen fra et domæne, der ligner jeres, eller er afsenderadressen forfalsket, er jeres systemer måske ikke kompromitteret. Men I skal stadig kunne vise det. Gem domænenavnet, og bed IT slå det op og notere, hvornår det er registreret, og om det er sat op til at sende mail. Bed også IT trække rapporter om, hvem der har forsøgt at sende mail i jeres navn, hvis I har den slags afsendertjek slået til.
Det er vigtigt for jer, fordi kunden ofte vil spørge, om I har gjort nok for at beskytte jeres domæne. Dokumentation for jeres opsætning og for, at kontoen ikke var overtaget, er jeres bedste svar.
Hvad skriver I til kunderne?
Kunderne har brug for en hurtig og saglig besked. Den skal advare uden at skabe panik og uden at indrømme mere, end I ved.
- Skriv, at der er sendt falske fakturaer i jeres navn, og at jeres kontonummer ikke er ændret.
- Bed kunderne ringe til et kendt nummer, før de betaler til en ny konto.
- Bed dem gemme mistænkelige mails og sende dem til jer som vedhæftet fil.
- Skriv ikke, hvordan det skete, før I ved det.
- Skriv ikke, hvem der bærer et eventuelt tab.
Før en liste over, hvilke kunder der har fået beskeden, og hvornår. Lad advokaten se teksten, hvis der allerede er en kunde, der har betalt. Hvordan tabet fordeles mellem parterne, er en juridisk vurdering, som advokatsitet beskriver. → Fakturasvindel via hacket mail: hvem bærer tabet?
Hvem gør hvad?
- Økonomi · Taler med kunderne og fører liste
- IT · Sikrer logs, regler og sendelog
- Ledelse · Godkender kundebeskeden, kontakter advokat og forsikring
- DPO eller ansvarlig for persondata · Vurderer, om der er et brud
- IT-sagkyndig · Analyserer headere og logs, hvis der er tvist
Det må I ikke gøre
- Skifte adgangskoder og slette regler, før loggen er eksporteret.
- Bede kunden slette den falske mail. Den er et vigtigt bevis, også for jer.
- Love kunden at dække tabet i den første samtale.
- Pege på en medarbejder som skyldig, før I ved, hvad der er sket.
- Ignorere en enkelt henvendelse. Én kunde, der ringer, kan betyde, at mange har fået mailen.
Kunden, der allerede har betalt
Har en kunde betalt til den falske konto, mener kunden måske, at fakturaen er betalt, og at I ikke har krav på pengene igen. Det er en tvist, og den bliver afgjort på dokumentationen. Saml kundens mail med header, jeres logs, jeres oprindelige faktura og al korrespondance om sagen ét sted. Gem også jeres tidligere fakturaer til kunden, så det kan ses, hvilken konto I normalt bruger. Lad advokaten føre dialogen, hvis kunden afviser at betale. Indtil da: hold tonen venlig og saglig, og skriv ikke noget til kunden, som I ikke ville vise en dommer.
Forsikringen
Tjek, om jeres cyber- eller erhvervsforsikring dækker sager, hvor kunder er snydt i jeres navn, og underret selskabet tidligt. Mange forsikringer vil se, hvornår I opdagede det, hvad I gjorde, og hvilke sikkerhedstiltag der var på plads. Gem derfor jeres notater, listen over kunder og IT’s eksport af logs, så I kan sende dem samlet. Spørg selskabet, om de har krav til, hvem der må undersøge sagen, før I selv sætter nogen i gang.
Forebyg næste gang
- Totrinsgodkendelse på alle mailkonti, også fællespostkasser.
- Afsendertjek (SPF, DKIM og DMARC) sat korrekt op og fulgt op.
- Blokering af automatisk videresendelse til eksterne adresser.
- En fast linje på fakturaen om, at I aldrig ændrer kontonummer på mail.
- Logning, der gemmes længe nok til at kunne svare på spørgsmålene.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis I ikke kan afgøre, om jeres egen konto er brugt, hvis en kunde har betalt og holder jer ansvarlig, eller hvis loggen er ved at udløbe. En uvildig IT-sagkyndig kan analysere headere og logs og skrive en redegørelse, der kan bruges over for kunden, forsikringen eller retten. Hastesager koster ekstra. → Pris og tilbud
Læs også: Opkald eller videomøde med “direktøren” var en deepfake: de første timer · Firmaets Facebook- eller Instagram-side er overtaget
→ Hjælp efter CEO-svindel eller en betalt falsk faktura · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
