När vd:n blir sökbar – så kan personuppgifter bli en affärsrisk

Relationerna är värdefulla för bedragaren

Men det är inte alltid känsliga personuppgifter som har störst värde för bedragaren. Kunskap om relationerna och arbetssätten i företaget kan vara minst lika användbar.

– Det handlar kanske snarare om social information och relationer på företaget. Vem vd:n arbetar närmast, hur vd:n kommunicerar och när vd:n är bortrest eller svår att nå. Ju mer bedragaren vet, desto mer trovärdigt kan personen utge sig för att vara vd:n eller någon annan i ledningen.

En korrekt adress, ett styrelseuppdrag eller namnet på en bankkontakt kan användas för att skapa ett första förtroende. Därefter kan bedragaren hänvisa till en verklig affär, en resa eller en relation inom företaget. Även tidpunkten är central. Semestrar, tjänsteresor och pågående förhandlingar kan ge bedragaren en möjlighet att skapa både trovärdighet och tidspress.

– Ofta handlar det om en brådskande betalningsinstruktion som ser ut att komma från vd:n. Har bedragaren då valt rätt person vid rätt tillfälle då vd:n inte är nåbar för att dubbelkolla transaktionen är det naturligtvis större risk att bedrägeriet lyckas.

AI tar bort gamla varningssignaler

Tidigare kunde stavfel och märkliga formuleringar avslöja ett bluffmejl. Men med generativ AI kan meddelanden anpassas till företagets språk, bransch och situation.

– De öppna söktjänsterna i kombination med AI gör att bedrägerierna kan genomföras billigare, snabbare och mot många personer samtidigt. De blir också mer trovärdiga. Man kan skapa professionella mejl, klona röster och i vissa fall imitera personer med deepfake-video och samtal, säger Jacob Ämtvall.

Förmågan att genomskåda själva meddelandet får därmed mindre betydelse. I stället behöver företaget kunna kontrollera instruktionen genom en separat och i förväg bestämd kanal.

– Man kan i allt mindre grad lita på att det man ser och hör är äkta. En röst, bild eller formulering är inte längre ett tillräckligt bevis på vem avsändaren är. Då blir det ännu viktigare att kunna lita på sina kontrollrutiner.

Kontroller måste gå före hierarki

Tekniska skydd mot intrång och kapade konton är viktiga, men de stoppar inte bedrägerier som bygger på offentligt tillgänglig information och social manipulation.

– Det vanligaste misstaget är att fokusera för mycket på tekniken och glömma de mänskliga delarna: rutinerna i organisationen och kulturen i företaget, säger Jacob Ämtvall och lyfter tre återkommande verktyg i bedrägeriförsöken:

– Brådska, auktoritet och sekretess.

En medarbetare kan uppmanas att genomföra en betalning omedelbart, kringgå ordinarie processer eller hålla ärendet hemligt mellan sig och vd:n.

– Bedragaren utnyttjar stressen och den auktoritet som ofta finns i organisationen. Om medarbetaren inte vågar ifrågasätta en instruktion som uppges komma från ledningen kan tidspressen bli avgörande.

För vd:n handlar skyddet därför också om vilket beteende som uppmuntras i organisationen. Ekonomifunktionen och andra medarbetare som hanterar betalningar behöver ha ett tydligt mandat att stoppa en transaktion.

– Vd:n behöver bygga en kultur där kontroller går före hierarki. Medarbetarna måste våga ifrågasätta instruktioner från ledningen när de avviker från det normala eller innehåller en tidspress, säger Jacob Ämtvall.

Gör avvikelsen synlig

Rutinerna bör vara skriftliga. Det minskar beroendet av enskilda personers erfarenhet och gör att även nyanställda, vikarier och praktikanter vet när en instruktion ska kontrolleras eller stoppas.

Det förutsätter att vd:n själv följer rutinen i vardagen. Om ledningen återkommande begär undantag vid brådskande betalningar blir det svårare att skilja ett verkligt undantag från ett bedrägeriförsök. Tydliga arbetssätt gör det lättare att upptäcka när något inte stämmer.

– Det första man bör se över är en kontrollrutin, exempelvis tvåstegsverifiering. Den bör omfatta alla större betalningar, nya betalningsmottagare och ändringar av kontonummer, säger Jacob Ämtvall.

Kontrollen ska ske genom ett känt och i förväg bestämt telefonnummer eller en annan separat kanal, inte genom kontaktuppgifter i det meddelande som ska kontrolleras.

– Ingen betalning ska gå igenom innan kontrollen är genomförd, oavsett hur bråttom det påstås vara. Det är en viktig grundregel att hålla fast vid.

Minska informationen som når ut

Företag kan minska sin exponering, men det går inte att ta bort alla uppgifter. Vissa bolagsuppgifter är offentliga och verksamheten behöver samtidigt vara synlig för kunder, leverantörer och potentiella medarbetare.

– Som vd och organisation behöver man utgå från att informationen kommer att finnas tillgänglig. Sedan måste man bygga rutiner som fungerar även när bedragaren är väl påläst om organisationen, säger Jacob Ämtvall.

Företaget kan ändå försvåra kartläggningen genom att regelbundet granska vad som publiceras offentligt. Personliga mejladresser, direktnummer och uppgifter om vem som ansvarar för leverantörsfakturor eller utbetalningar kan underlätta för bedragaren.

– Man får inte glömma LinkedIn, Instagram och andra sociala medier. Där sker också kartläggningen och man bör inte realtidsuppdatera var man befinner sig, vad man gör eller vilka affärer som pågår.

Ägare och vd:ar i mindre företag kan också behöva bedöma om den privata bostadsadressen ska användas som företagets publika adress eller om en separat kontorsadress eller postbox är möjlig.

– Det handlar om att fråga vilken information som måste finnas och vilken information som kan skapa en sårbarhet.

De första timmarna kan avgöra skadan

Om olyckan är framme och en betalning redan har genomförts behöver företaget agera omedelbart. Pengarna kan snabbt flyttas vidare, ofta till konton utomlands, vilket försvårar möjligheten att stoppa eller spåra transaktionen.

– Man får inte stoppa huvudet i sanden. Kontakta banken direkt för att försöka stoppa eller spåra betalningen. Säkra sedan mejl, sms och annan dokumentation som har föregått transaktionen, säger Jacob Ämtvall.

Företaget bör också göra en polisanmälan och informera berörda personer internt. Även här lyfter Jacob Ämtvall vikten av att ha en skriftlig rutin att luta sig mot.

– De första timmarna är ofta avgörande för att begränsa skadan. Därför bör företaget redan i förväg ha en skriftlig rutin för vem som ska kontakta banken, polisen, hur dokumentation ska säkras, vem som ansvarar för den interna kommunikationen och i vilken ordning det ska ske.

Efter den akuta hanteringen behöver företaget undersöka vilka uppgifter, beteenden eller avsteg från rutinerna som gjorde bedrägeriet möjligt och uppdatera skyddet så snart som möjligt.

Back to basic

När AI gör meddelanden, röster och filmer mer trovärdiga kan företag behöva återgå till en mer grundläggande verifiering., menar Jacob Ämtvall. Det kan exempelvis innebära att nya affärsrelationer inleds med ett fysiskt möte eller att parterna i förväg kommer överens om hur betalningsinstruktioner och ändrade kontouppgifter ska kontrolleras.

– Jag tror att man kommer att behöva gå tillbaka lite till grunderna – back to basic. Företaget behöver veta hur en kund eller leverantör kommunicerar och komma överens om vilka rutiner som ska gälla, så att relationen inte kan utnyttjas av en bedräglig tredje part, säger Jacob Ämtvall och fortsätter:

– Vd-bedrägerier handlar i grunden om att lura människor. Därför behövs rutiner som premierar säkerhet och en kultur där det är tillåtet att stanna upp och kontrollera – inte bara tekniska säkerhetssystem.