Scenariet
Det franske datatilsyn CNIL beskriver den falske betalingsanmodning, kaldet »direktørsvindel«, i flere trin. Svindleren undersøger virksomheden: organisationsdiagram, kunder, leverandører. Svindleren forbereder et falsk domænenavn, der ligner virksomhedens eller en leverandørs, eller udgiver sig for at være en medarbejder. Derefter skriver eller ringer svindleren og udgiver sig for at være en direktør eller en leverandør med en anmodning, der præsenteres som hastende og godkendt højt oppe.
Varianterne ligner hinanden:
- en uventet, hastende og fortrolig overførsel, som en falsk direktør eller en falsk ansvarlig i koncernen beder om;
- en leverandør, der meddeler et nyt kontonummer til de næste fakturaer;
- en falsk faktura med det rigtige beløb og i det rigtige format;
- en falsk kontrol fra en myndighed, som derefter bruges til at skrive til virksomhedens kunder med en ny bankkonto, et scenarie beskrevet af det franske økonomiministerium.
Drivkraften er altid menneskelig: hastværk, hemmeligholdelse, autoritet. Det franske økonomiministerium råder til ikke at handle overilet, heller ikke over for en insisterende samtalepartner, og til at være ekstra opmærksom i ferieperioder, hvor bogholderiet kører med reduceret bemanding.
Et eksempel til illustration. En fredag sidst på eftermiddagen modtager bogholderen i en mindre virksomhed en e-mail fra »administrerende direktør«: et fortroligt opkøb, en advokat, der vil ringe, en overførsel, der skal ske før mandag. E-mailen indeholder hverken vedhæftet fil eller link. Visningsnavnet er korrekt, adressen er det ikke. Teknisk set er intet »inficeret«.
Fire former for identitetsforfalskning, ikke én
| Form | Hvordan den ser ud | SPF, DKIM, DMARC | Hvad der kan opdage den |
|---|
| Forfalsket visningsnavn | »Mette Hansen, adm. direktør« skriver fra en gratis e-mailtjeneste | Gyldige for afsenderens rigtige domæne; DMARC behandler ikke visningsnavnet | Sammenligning af det viste navn, adressen og navnene på domænets ledere |
| Forvekslingsdomæne | Et dobbelt bogstav, en bindestreg, en anden endelse | Kan være perfekte for forvekslingsdomænet | Lighed med jeres domæne eller en leverandørs, domænets alder, omdømme |
| Jeres nøjagtige domæne, sendt fra et andet sted | Den viste adresse er den rigtige | DMARC fejler; den stopper e-mailen, hvis domænets politik kræver det | DMARC-kontrol ved modtagelsen |
| Reelt kompromitteret konto | E-mailen kommer fra direktørens eller leverandørens rigtige postkasse | Alt er gyldigt | Ændret adfærd, indhold (nyt kontonummer) og frem for alt kontrolproceduren |
DMARC-specifikationen siger det selv: den behandler hverken visuelt lignende domæner eller misbrug af visningsnavnet. Tre ud af fire tilfælde undgår derfor domænegodkendelsen. Detaljerne findes i SPF, DKIM og DMARC, og tilfældet med den stjålne konto i spam, phishing, malware og kompromitterede konti.
Hvad teknikken stopper
- Forfalskning af det nøjagtige domæne, når domænet offentliggør en DMARC-politik med karantæne eller afvisning.
- Forvekslingsdomænet ved sammenligning med jeres domæne, jeres leverandørers og kendte varemærker og ved domænets alder: et domæne, der blev oprettet i sidste uge og efterligner jeres, er et stærkt signal.
- Det vildledende visningsnavn, når filteret ved, hvem virksomhedens ledere er, og sammenligner det viste navn med den faktiske adresse.
- Kendte scenarier: anmodning om hastende overførsel, ændring af bankoplysninger, falsk faktura, opfordring til at ringe til et nummer. Et filter kan genkende disse mønstre i teksten, også uden vedhæftet fil eller link.
- Afvigelsen: en fast leverandør, der pludselig skriver fra et andet land, på et andet tidspunkt og med en anmodning, den aldrig har stillet før.
Et ofte overset punkt: et filter ved som standard ikke, hvem jeres direktør er, eller hvem jeres leverandører er. Det er denne kontekst, ledernes navne og de faste leverandører, der gør det muligt for filteret at se en falsk direktør.
Hvad teknikken ikke afgør
Et filter reducerer antallet af falske e-mails, der kommer ind. Det godkender ikke en betaling. En reelt kompromitteret konto, en plausibel anmodning, et forvekslingsdomæne, som listerne ikke kender: en e-mail kan slippe igennem. Den sidste barriere er en procedure.
Reflekser, der skal skrives ind i proceduren
- Enhver ændring af bankoplysninger bekræftes via en allerede kendt kanal: et opkald til det nummer for leverandøren, der står i jeres egne oplysninger, aldrig det, der står i e-mailen. CNIL anbefaler at kontakte de kendte kontaktpersoner telefonisk eller personligt.
- Dobbelt godkendelse over et vist beløb af to personer, hvoraf den ene står uden for korrespondancen.
- Hastværk og hemmeligholdelse er advarselstegn, ikke grunde til at gå hurtigere frem. En rigtig direktør accepterer at blive ringet op.
- En opdateret liste over kontaktpersoner hos leverandører og kunder, som CNIL anbefaler, så man ved, hvem man skal ringe til.
- Skærpet opmærksomhed i ferieperioder, ved regnskabsafslutning eller ved organisationsændringer.
- Registrering af domænenavne, der ligner jeres eget, og totrinsgodkendelse på e-mailsystemet, to tiltag, som CNIL nævner.
Hvem skal kende disse regler
Ikke kun bogholderiet. Direktionsassistenter, indkøbere, de personer, der vedligeholder leverandørkartoteket, og de, der vikarierer for fraværende, er naturlige mål for scenariet, fordi de har adgang til betalinger eller bankoplysninger. CNIL anbefaler at gøre medarbejderne opmærksomme på at kontrollere domænenavne og være på vagt over for usædvanlige anmodninger. En skriftlig regel, kort, kendt af alle og gentaget regelmæssigt, er bedre end en mundtlig instruks: den gør det muligt for en medarbejder at sige »nej« til en falsk direktør uden at frygte at blive desavoueret.
Er en svigagtig overførsel gået af sted: ring straks til banken for at forsøge at stoppe den, gem e-mailene, og politianmeld. Giv også de kunder eller leverandører besked, hvis navn er blevet brugt.
Ofte stillede spørgsmål
Er DMARC nok mod direktørsvindel?
Nej. Den stopper forfalskning af jeres nøjagtige domæne, ikke forvekslingsdomænet eller visningsnavnet. Se SPF, DKIM og DMARC.
Kan en e-mail uden vedhæftet fil eller link være farlig?
Ja. Overførselssvindel kræver kun en troværdig tekst og en person, der udfører den.
E-mailen kommer fra leverandørens rigtige adresse: er den sikker?
Ikke nødvendigvis: leverandørens konto kan være stjålet. Se kompromitteret konto. Kontrollen pr. telefon afgør sagen.
En svindelmail er sat i karantæne: skal den frigives for at kontrollere den?
Nej. Kontrollér hos den kendte kontaktperson uden at frigive den. Se Karantæne, falske positiver og indberetninger.
Hvor Klytic står
Klytic MTA fordeler denne beskyttelse mellem sine to abonnementer. Den fungerer foran ethvert e-mailsystem, uden Klytic Mail.
| Beskyttelse | Essential | Advanced |
|---|
| Kontrol af SPF, DKIM og DMARC, også for videresendte e-mails | Ja | Ja |
| Misbrug af varemærker, forvekslingsdomæner, forfalskede visningsnavne | Ja | Ja |
| Usædvanlig adfærd hos en afsender | Ja | Ja |
| Direktørsvindel | Nej | Ja |
| Falske fakturaer, falske overførsler, krypto, refusioner, finansiering, telefonopkald | Nej | Ja |
| SMS-advarsel, når en vigtig afsender skriver | Tilvalg | Tilvalg |
Domænets svindelkontekst (ledernes navne, faste leverandører) indstilles af domænets administrator: se Hvem indstiller filteret i Klytic MTA.
Det gør Klytic MTA ikke: den godkender ingen betalinger og erstatter ikke jeres procedure for overførsler. Den ser ikke et direkte telefonopkald, kun de e-mails, der opfordrer til at ringe.
Denne side beskriver generelle tiltag. Den erstatter hverken råd fra jeres bank eller fra myndighederne ved konstateret svindel.
Kilder
Gennemgået i oktober 2026.
- CNIL, »Le faux ordre de virement international ou fraude au président«: angrebets forløb (rekognoscering, lignende domæne, hastende anmodning), forebyggende tiltag (opkald til kendte kontaktpersoner, godkendelsesprocedurer, registrering af lignende domæner, totrinsgodkendelse). cnil.fr
- Det franske økonomiministerium, »Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président«: overførsel præsenteret som hastende og fortrolig, forfalskning af en myndighed for at meddele et nyt kontonummer, ikke handle overilet, opmærksomhed i ferieperioder. economie.gouv.fr
- RFC 7489, DMARC: uden for mekanismens område ligger visuelt lignende domænenavne og misbrug af visningsnavnet. rfc-editor.org
- Klytic, siden Klytic MTA: fordeling af beskyttelsen mod finansiel svindel mellem Essential og Advanced, tilvalg, driftsformer, idriftsættelse via MX. klytic.com
