Direktørsvindel og falske fakturaer: sådan beskytter I økonomien

Direktørsvindel og falske fakturaer stoppes først og fremmest af faste betalingsregler: ændrede kontonumre bekræftes altid på et telefonnummer, I kender i forvejen, større eller usædvanlige betalinger godkendes af to personer, og tidspres er aldrig en grund til at springe et led over. MFA, kontrol af mailregler og domænebeskyttelse mindsker risikoen, men kan ikke afsløre en mail fra en leverandør, hvis egen mailkonto er overtaget.

Kort fortalt

• Svindlen virker, fordi den ligner en almindelig arbejdsdag: en kendt afsender, en faktura i en eksisterende tråd, en chef der har travlt.
• Den vigtigste regel: nye bankoplysninger bekræftes på et nummer fra jeres egne kartoteker – aldrig fra mailen.
• Sikr jeres egne mailkonti, så de ikke bliver brugt mod jeres kunder og leverandører.
• Er pengene sendt, så ring til banken med det samme – minutter kan tælle.

To former for svindel – og hvorfor den ene er sværere at opdage

Politiets Nationale enhed for Særlig Kriminalitet (NSK) og SikkerDigital beskriver to beslægtede former. Ved direktørsvindel (CEO-fraud) udgiver en kriminel sig for at være virksomhedens direktør og beder en medarbejder om en overførsel, typisk til udlandet, køb af gavekort eller betaling af en faktura. Ved falske leverandørfakturaer (BEC – Business Email Compromise) har de kriminelle ofte skaffet sig adgang til en rigtig leverandørs mailsystem og sender derfra fakturaer, der ligner dem, I plejer at få.

Den anden form er den sværeste. Styrelsen for Samfundssikkerhed beskriver, hvordan en overtaget faktureringskonto kan bruges til at sende nye fakturaer med et andet kontonummer – eller ændre kontonummeret i en eksisterende faktura. Når mailen lægger sig ind i en tråd, I allerede har med leverandøren, er der næsten intet at se på, ud over selve kontonummeret. Læs mere om metoden i opslaget om direktørsvindel og om den psykologi, den bygger på, under social engineering.

Tegn, økonomifunktionen skal reagere på

NSK og SikkerDigital peger på, at henvendelserne som regel bærer præg af hast og tidspres, og at det ofte fremgår, at man ikke kan ringe til direktøren eller leverandøren. Politiet råder desuden til at være ekstra opmærksom i ferieperioder, hvor arbejdsgangene ofte ændrer sig.

• Et kontonummer, der ikke er det, I plejer at betale til – eller en ny bank i et andet land.
• En begrundelse for, at I ikke kan ringe og tjekke (møde, fly, fortrolig opkøbssag).
• En anmodning om at holde sagen for jer selv eller springe den normale godkendelse over.
• Gavekort, kryptovaluta eller betaling til en privatperson i en erhvervssammenhæng.
• Små afvigelser i afsenderadresse, signatur eller sprog – men vær opmærksom på, at en overtaget konto ikke har dem.

Betalingsreglerne, der gør forskellen

NSK og SikkerDigital opfordrer virksomheder til at tale om risikoen og aftale faste procedurer for pengeoverførsler, som ikke må brydes. De regler, der går igen hos politiet og SikkerDigital, kan samles på én side:

• Ændrede bankoplysninger bekræftes altid telefonisk. Brug et nummer fra kontrakten, jeres kartotek eller tidligere korrespondance – aldrig et nummer eller en mailadresse fra den henvendelse, der beder om ændringen. Svar ikke på selve mailen.
• Beløbsgrænse med ekstra kontrol. SikkerDigital anbefaler en procedure, der bekræfter modtager og konto ved betalinger over en fastsat grænse. Vi anbefaler typisk, at betalinger over grænsen og alle nye modtagere godkendes af to personer.
• Ingen genveje under pres. Politiet siger det direkte: spring ikke godkendelsesled over, og giv ikke efter for tidspres. Ved tvivl inddrager man en kollega.
• Bekræft efter betaling. SikkerDigital foreslår at sende leverandøren en mail, når en faktura er betalt, med banknavn og de sidste fire cifre i kontonummeret. Så opdager en rigtig leverandør hurtigere, at pengene er gået et andet sted hen.
• Faste kontaktpersoner hos faste leverandører. Det gør det lettere at vide, hvem I ringer til – og at opdage, når en ukendt person pludselig skriver på leverandørens vegne.
• Ledelsen skal bakke reglerne op. Vores vurdering: Reglerne holder kun, hvis direktøren selv har sagt, at ingen bliver kritiseret for at ringe og tjekke – heller ikke når det er direktøren, der har travlt.

Den tekniske side: gør jeres egen mail sværere at misbruge

Teknik kan ikke erstatte betalingsreglerne, men den kan forhindre, at jeres egne mailkonti bliver brugt til at narre jeres kunder – eller til at overvåge jeres korrespondance, indtil det rigtige tidspunkt kommer. Politiet anbefaler totrinsbekræftelse på mailkonti, jævnlig kontrol af uretmæssige mailregler og at hændelseslogningen er slået til.

Microsoft nævner blandt de typiske tegn på en overtaget Microsoft 365-mailkonto: indbakkeregler, der automatisk videresender mails til ukendte adresser, regler der flytter mails til mapper som Noter, Uønsket mail eller RSS-abonnementer, nyligt tilføjet ekstern videresendelse og mistænkelige mails i Sendt post eller Slettet post. Microsoft anbefaler også, at administratorer selv tager stilling til automatisk ekstern videresendelse og slår den til eller fra, frem for at lade standardindstillingen afgøre det.

• Slå MFA til på alle konti – også delte postkasser, der bruges til faktura@ og bogholderi@, hvis der kan logges direkte på dem.
• Opsæt DMARC sammen med SPF og DKIM, så det bliver sværere at spoofe jeres domæne. Mere om opsætningen i vores vejledning om mailsikkerhed.
• Begræns, hvad hjemmesiden fortæller om, hvem der betaler regninger. Politiet nævner især navne og kontaktoplysninger på regnskabsmedarbejdere.
• Træn de medarbejdere, der betaler, i netop disse scenarier – generel awareness-træning om phishing dækker ikke altid fakturasvindel.

Hvis pengene allerede er sendt

Rækkefølgen betyder noget. Politiet og SikkerDigitals Cyberhotline er enige om, at banken skal kontaktes først.

• Ring til jeres bank straks og bed dem forsøge at standse eller tilbagekalde betalingen.
• Anmeld til politiet – på politi.dk eller på 114. Politiet nævner, at det kan være relevant også at anmelde i det land, pengene er sendt til.
• Undersøg, om jeres egen mail er kompromitteret. Microsofts vejledning: spær kontoen eller nulstil adgangskoden (send ikke den nye adgangskode på mail), log alle aktive sessioner ud, gennemgå registrerede MFA-metoder, apps med samtykke, administratorroller, videresendelser og indbakkeregler – også skjulte.
• Kontakt leverandøren på et kendt nummer, hvis falske fakturaer er sendt fra deres konto. De har måske ikke opdaget det selv, og andre kunder kan være ramt.
• Få vejledning. Cyberhotline for digital sikkerhed (33 37 00 37) hjælper både borgere og virksomheder; den har åbent hverdage kl. 8–20 og weekender og helligdage kl. 10–16.

Hvad I bør gøre først – og hvad der kan vente

Det meste af beskyttelsen koster mere opmærksomhed end teknik. Vi anbefaler typisk denne rækkefølge for en mindre virksomhed:

• Denne uge: Skriv betalingsreglerne ned, få ledelsen til at godkende dem, og fortæl alle, der betaler, at kontrolopkald er obligatoriske.
• Denne måned: Kontrollér, at MFA er slået til på alle konti, og at automatisk ekstern videresendelse er blokeret eller bevidst tilladt for bestemte modtagere.
• Inden næste ferieperiode: Aftal, hvem der godkender betalinger, når chefen og bogholderen er væk, og hvordan en ægte hastesag fra chefen bekræftes.
• Løbende: Gennemgå leverandørkartoteket, så telefonnumrene til kontrolopkald faktisk er rigtige.
• Kan vente: Avancerede værktøjer til at analysere mails. De er ikke uden værdi, men de løser ikke det grundlæggende problem: at én person kan ændre et kontonummer på baggrund af én mail.

Spørgsmål og svar

Kilder (tjekket oktober 2026): Kære virksomhed – pas på falske direktører og leverandører (følgebrev) – NSK og SikkerDigital · Faktura-bedrageri – SikkerDigital · Undgå, at din virksomhed eller forening bliver svindlet – Politi.dk · Cyberhotline – Få hjælp ved digital svindel – SikkerDigital · Trusselsvurdering: Cybertruslen fra phishing-mails – Styrelsen for Samfundssikkerhed · Respond to a compromised email account in Microsoft 365 – Microsoft Learn · Control external email forwarding – Microsoft Learn