Enligt SSF Stöldskyddsföreningen visar en jämförelse mellan år 2016 och 2015 en 1000-procentig ökning av antalet vd-bedrägerier i Sverige.
Vd-bedrägerier, falska fakturor eller valfångst (whaling) är riktade attacker via e-post som syftar till att få pengar utbetalda och beskrivs ofta som ett av de största cyberhoten. Eftersom tillvägagångssättet i allmänhet inte inbegriper sabotageprogram eller generiska massutskick (phishing) klarar sig den här typen av attacker ofta förbi traditionella säkerhetslösningar. Men bra rutiner och större vaksamhet kan skydda långt.
Det mesta talar för att vd-bedrägerierna blir allt fler. Enligt FBI ökade ”business email compromise” (BEC) med 270 procent förra året. I reda pengar motsvarar vd-bedrägerierna som gjorts under de senaste tre åren ett värde av 2,3 miljarder dollar. I Sverige har vi tidigare haft få drabbade företag men enligt SSF Stöldskyddsföreningen har utvecklingen tagit fart även här. En jämförelse mellan år 2016 och 2015 visar en 1000-procentig ökning av antalet vd-bedrägerier. Även polisens nationella bedrägericenter pekar på att detta en brottslighet som kommer öka ytterligare och med stor sannolikhet även ändra skepnad över tid.
Vad ska man vara uppmärksam på? Namnet whaling (valfångst) syftar på att bedragarna säger sig vara högt uppsatta personer i ett företag som snabbt kan beordra stora utbetalningar. Ofta vd men inte alltid. En attack är noga förberedd och man känner till ledningspersonernas e-postadresser, namn på leverantörer och partner till företaget som drabbas.
Ekonomiavdelningen som hanterar många liknande ärenden är ofta målgrupp för attacken. Om du hanterar fakturor och utbetalningar och blir ombedd att snabbt göra en oväntad större utbetalning samtidigt som den chef som ber dig göra detta är borta från kontoret – kontrollera avsändaradressen en extra gång. Ett e-postmeddelande som ser ut att komma från vd eller en ledningskollega kan ha en adress som skiljer sig åt från den riktiga med exempelvis en bokstav.
– Vd-bedrägerier handlar i många fall om att utnyttja vanligt mänskligt beteende som viljan att göra ett bra jobb och att gå en överordnad till mötes, säger Ross Brewer, vice vd och ansvarig för EMEA på datasäkerhetsföretaget LogRhythm.
Hur skiljer sig vd-bedrägerier från spjutfiske och phishing? Valfångst eller vd-bedrägeri är en noga förberedd attack som riktas mot väl valda måltavlor. En phishing-attack bygger i stället på att stora volymer e-postmeddelanden skickas ut utan större urskiljning. Mottagarna av ett phishingmejl uppmanas att klicka på en länk eller öppna en fil som i sin tur ska göra att bedragarna kommer åt inloggningsuppgifter och annan känslig information. En så kallad spjutfiske-attack kan beskrivas som ett slags mellanting mellan phishing och whaling. En spjutfiskeattack är förberedd och riktad mot enskilda mottagare men inte riktad mot företagsledningen på samma sätt som ett vd-bedrägeri.
Exempel på vd-bedrägerier som orsakat stor skada Det finns ett antal exempel på framgångsrika vd-bedrägerier. År 2016 lyckades bedragare få en österrikisk tillverkare av flygplansdelar att betala ut femtio miljoner euro till falska mottagare. Även om tio miljoner euro återfanns innebar det att attacken var mycket framgångsrik. En belgisk bank tros samma år också ha fallit offer i ett bedrägeri som kostade banken sjuttio miljoner euro. Även företagen Google och Facebook ska ha drabbats av den här typen av cyberattack.
