(Foto: Dan Jensen)

Pas på mailen fra din direktør - den kan meget vel være fup og svindel

Klumme Vi ser en stigning i omfanget af direktør-svindel - 'CEO fraud' - hvor svindlere forsøger at narre virksomheder og organisationer til at overføre penge til udlandet. Se her, hvordan du nemt kan undgå problemet.

"Hej Eva

Har du fået et minut? Jeg er i øjeblikket bundet op i et møde. Vi er nødt til at lave en bankoverførsel af en faktura Bent har brug for os til at betale for i dag. Lad mig vide, så jeg kan videregive oplysninger til dig. Tak.
Med venlig hilsen
Anders"

Denne mail landede i indbakken hos en bogholder i en dansk virksomhed.

Den angav at komme fra regnskabschefen Anders, der skulle hjælpe den administrerende direktør Bent med en hurtig overførsel til udlandet.

Bogholderen svarede på mailen og bad Anders ringe hende op.

Det gjorde han aldrig.

Det er ikke så mærkeligt. Svar-mailen gik nemlig ikke til regnskabschefens e-mailkonto.

Afsenderen havde oprettet et domæne, der til forveksling lignede virksomhedens domænenavn. Blot var et g udskiftet med et q. Derfor landede Evas svar ikke hos Anders, men hos svindlerne, der stod bag mailen.

Herefter gav svindlerne op - Eva hørte ikke mere til dem.

Hvis hun havde været mindre forsigtig, kunne hun have svaret med at bede om oplysninger om, hvor stort et beløb det drejede sig om, og hvor det skulle overføres til.

Så vidt kom det heldigvis aldrig.

Stigning i direktørsvindel
I DKCERT har vi den senere tid set flere eksempler på denne type mails. Vi kalder dem direktørsvindel eller CEO fraud.

Umiddelbart ligner de almindelige phishing-mails. Men der er nogle vigtige forskelle.

Normal phishing skyder med spredehagl: Svindlerne sender enslydende mails ud til en masse potentielle ofre.

Direktørsvindel er målrettet. Bagmændene undersøger offeret nøje, før de slår til.

De ved, hvilken rolle forskellige ansatte spiller i virksomheden. Mailen til Eva var målrettet til hende som bogholder.

Og afsenderen var angivet til at være regnskabschefen, som ofte sender hende mails.

Direktøren bliver også nævnt. Det sker for at gøre mailen troværdig:

Denne forespørgsel kommer direkte fra den øverste ledelse.

Derfor skal modtageren behandle den hurtigt og uden at stille for mange spørgsmål.

I nogle tilfælde henviser svindlerne til andre medarbejdere, samarbejdspartnere eller måske ligefrem kontrakter, virksomheden har indgået.

Endelig er de direktørsvindelmails, vi har set, skrevet på dansk. Der er nogle mindre sprogfejl, men ikke værre, end hvad mange danskere kan begå.

Det dobbelte pund
En anden mail lyder således:

"Vi er nødt til at sende en betaling på £ 12,708.34 GBP til England i dag. Hvilke oplysninger har du brug for at få det gjort nu?"

Den angiver at være sendt fra direktøren. Mailen har et par sprogfejl, som vi også har set i en anden mail. Det kan tyde på, at de kommer fra samme afsender:

Der står et pundtegn foran beløbet og GBP efter det. Det ville en rigtig direktør næppe gøre.

Og så er der sat punktum og komma i beløbet, som man gør det på engelsk - og altså modsat på dansk.

Også i dette tilfælde blev svindlen afværget, fordi modtageren tog direkte kontakt til direktøren, der ikke kendte noget til overførslen.

Vi kender andre tilfælde, hvor modtageren har korresponderet frem og tilbage et par gange med svindleren i den tro, at det var direktøren, der svarede.

Bloker mails med forfalsket afsender
Direktørsvindel er en trussel mod informationssikkerheden, der ikke udnytter tekniske sårbarheder.

I stedet er der tale om "social engineering," hvor svindleren forsøger at narre sit offer til at udføre en handling.

På et enkelt punkt indgår der dog et teknologibaseret angreb: Afsenderadressen bliver forfalsket.

På grund af arkitekturen for e-mail på internettet er det enkelt at sende en mail med falsk afsender.

Her kan organisationer sætte ind med et teknisk forsvar.

Den oplagte metode er at forhindre, at mail-serveren accepterer e-mails, der kommer fra et andet domæne end det, der er opført som afsenderdomænet.

Det kan teknologier som SPF (Sender Policy Framework) og DKIM (DomainKeys Identified Mail) håndtere.

Vi anbefaler, at man indfører DMARC (Domain-based Message Authentication, Reporting & Conformance) til at supplere SPF og/eller DKIM.

Med DMARC kan organisationen indføre og håndhæve en politik for, hvad mailsystemet skal gøre med mails, der dumper SPF- eller DKIM-testen.

Stigning internationalt
Vi er ikke alene om at observere en stigning i mængden af forsøg på direktørsvindel.

Tidligere på året udsendte det amerikanske forbundspoliti, FBI, en advarsel om emnet.

FBI har på lidt over et år set en stigning på 270 procent i ofre og forventede tab.

Undervis og beskyt
Jeg anbefaler, at organisationer sætter ind på to niveauer: På det organisatoriske niveau skal I have procedurer, som mindsker risikoen for svindel.

I kan for eksempel kræve, at flere parter siger god for en betaling, og at e-mail ikke må stå alene.

Og I skal undervise brugerne, så de lærer at tjekke en ekstra gang, før de reagerer på en e-mail.

På det tekniske niveau bør I bruge DMARC, spamfiltre og andre tekniske kontroller til at mindske mængden af svindel, der slipper igennem

Læs også:

To danske virksomheder snøret for 140 millioner gennem direktør-phishing

Morten Mogensens firma blev forsøgt svindlet, men snød selv svindleren: "Vi tager det som en oplevelse"

Ny type phishing-mail har din chef som afsender




DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet.

I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC (Danish e-Infrastructure Cooperation).

Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.



Premium
Test: Beosound Level er et retro-vidunder, der tør tænke nyt og gammelt
Test: Det er både nye tanker og klassiske dyder, der forenes i den nyeste kreation fra Struer. Resultatet er overbevisende og dyrt.
Computerworld
Endnu en tragisk ulykke med førerløs Tesla: Musk har store forventninger til ny software
En tragisk dødsulykke i USA i weekenden har sat forøget fokus på Teslas eksisterende semiautomatiske system og det kommende fuldautomatiske, der skal gøre bilerne helt selvkørende.
CIO
Har du rost din mellemleder i dag? Snart er de uddøde - og det er et tab
Computerworld mener: Mellemledere lever livet farligt: Topledelsen får konstant ideer med skiftende hold i virkeligheden, og moden går mod flade agile organisationer. Men mellemlederen er en overset hverdagens helt med et kæmpe ansvar. Her er min hyldest til den ofte latterliggjorte mellemleder.
Job & Karriere
"Vi var nødt til at sige til dem, at I er nødt til at sende ham hjem nu, for han begynder at knække"
"Vi var nødt til at sige til dem, at I er nødt til at sende ham hjem nu, for han begynder at knække"
White paper
Ryk SAP-workloads i skyen – og tag alle de kendte fordele med
SAP-kunder verden over har gennem de seneste 15 år draget fordel af løsninger baseret på NetApps ONTAP-data management-platform. Herunder en mere sikker og stabil drift samt forenklet administration, hvilket er afgørende for at gennemføre projekter effektivt og for at reducere deres risikoprofil. Gennem de seneste år er det i høj grad også blevet muligt at rykke SAP-workloads i skyen, og det ønsker mange virksomheder rimeligvis at drage fordel af – men uden at sige farvel til mulighederne med NetApp ONTAP. I dette whitepaper stiller vi skarpt på mulighederne for at indarbejde NetApp Cloud Volumes ONTAP and Azure NetApp Files som del af en SAP-strategi baseret på Microsoft Azure.