Scenariot
CNIL beskriver den falska betalningsorder som kallas ”vd-bedrägeri” i flera steg. Bedragaren tar reda på saker om företaget: organisationsschema, kunder, leverantörer. Hen förbereder ett falskt domännamn som liknar företagets eller en leverantörs, eller tar över en anställds identitet. Sedan skriver eller ringer hen, och utger sig för att vara en chef eller en leverantör, med en begäran som framställs som brådskande och godkänd på högsta nivå.
Varianterna liknar varandra:
- en oväntad, brådskande och konfidentiell betalning som begärs av en falsk chef eller en falsk ansvarig i koncernen;
- en leverantör som meddelar nya bankuppgifter för kommande fakturor;
- en falsk faktura, med rätt belopp och rätt format;
- en falsk kontroll från en myndighet, som sedan används för att skriva till företagets kunder med ett nytt bankkonto, ett scenario som det franska ekonomiministeriet beskriver.
Drivkraften är alltid mänsklig: brådska, sekretess, auktoritet. Det franska ekonomiministeriet råder till att inte agera förhastat, även mot en påsträngd motpart, och att vara extra vaksam under semesterperioder, när ekonomiavdelningarna har reducerad bemanning.
Ett exempel, som illustration. En fredag sent på eftermiddagen får ekonomiassistenten på ett mindre företag ett meddelande från ”vd:n”: ett konfidentiellt förvärv, en advokat som kommer att ringa, en betalning som ska göras före måndag. Meddelandet innehåller varken bilaga eller länk. Visningsnamnet är korrekt, adressen är det inte. Ingenting är tekniskt sett ”infekterat”.
Fyra former av identitetsförfalskning, inte en
| Form | Hur den ser ut | SPF, DKIM, DMARC | Vad som kan upptäcka den |
|---|
| Förfalskat visningsnamn | ”Claire Martin, vd” som skriver från en gratis e-posttjänst | Giltiga för avsändarens verkliga domän; DMARC behandlar inte visningsnamnet | Jämförelse mellan visningsnamnet, adressen och namnen på domänens chefer |
| Förväxlingsbar domän | En dubblerad bokstav, ett bindestreck, en annan toppdomän | Kan vara perfekta för den förväxlingsbara domänen | Likhet med er domän eller en leverantörs, domänens ålder, rykte |
| Er exakta domän, skickad från annat håll | Den visade adressen är den riktiga | DMARC misslyckas; meddelandet stoppas om domänens policy kräver det | DMARC-kontroll vid mottagandet |
| Verkligt komprometterat konto | Meddelandet kommer från chefens eller leverantörens riktiga brevlåda | Allt är giltigt | Förändrat beteende, innehåll (nya bankuppgifter), och framför allt kontrollrutinen |
DMARC-specifikationen säger det själv: den behandlar varken visuellt liknande domäner eller missbruk av visningsnamnet. Tre fall av fyra undgår alltså domänautentiseringen. Detaljerna finns i SPF, DKIM och DMARC, och fallet med det stulna kontot i spam, nätfiske, skadlig kod och komprometterat konto.
Vad tekniken stoppar
- Förfalskning av den exakta domänen, när domänen publicerar en DMARC-policy med karantän eller avvisning.
- Den förväxlingsbara domänen, genom jämförelse med er domän, era leverantörers och kända varumärken, och genom domänens ålder: en domän som skapades förra veckan och som imiterar er är en stark signal.
- Det vilseledande visningsnamnet, när filtret vet vilka företagets chefer är och jämför visningsnamnet med den verkliga adressen.
- Kända scenarier: begäran om brådskande betalning, ändring av bankuppgifter, falsk faktura, uppmaning att ringa ett nummer. Ett filter kan känna igen dessa mönster i texten, även utan bilaga eller länk.
- Avvikelsen: en välkänd leverantör som plötsligt skriver från ett annat land, vid en annan tid, med en begäran den aldrig har gjort.
En punkt som ofta glöms: ett filter vet inte, som standard, vem som är er vd eller vilka era leverantörer är. Att ge det den kontexten, chefernas namn och de vanliga leverantörerna, är det som gör att det kan se en falsk chef.
Vad tekniken inte avgör
Ett filter minskar antalet falska meddelanden som kommer fram. Det godkänner ingen betalning. Ett verkligt komprometterat konto, en trovärdig begäran, en förväxlingsbar domän som inte finns på några listor: ett meddelande kan släppas igenom. Den sista spärren är en rutin.
Reflexer att skriva in i rutinen
- Varje ändring av bankuppgifter bekräftas via en redan känd kanal: ett samtal till leverantörens nummer som finns i era register, aldrig det som anges i meddelandet. CNIL rekommenderar att kända kontaktpersoner kontaktas per telefon eller personligen.
- Dubbelt godkännande över ett visst belopp, av två personer, varav en står utanför konversationen.
- Brådska och sekretess är varningssignaler, inte skäl att gå fortare. En riktig chef accepterar att bli uppringd.
- En uppdaterad lista över kontaktpersoner hos leverantörer och kunder, som CNIL rekommenderar, för att veta vem man ska ringa.
- Extra vaksamhet under semestrar, bokslut eller omorganisationer.
- Registrering av domännamn som liknar ert, och tvåfaktorsautentisering för e-posten, två åtgärder som CNIL nämner.
Vilka som måste känna till reglerna
Inte bara ekonomiavdelningen. Ledningsassistenter, inköpare, de som hanterar leverantörsregistret och de som vikarierar för en frånvarande kollega är naturliga mål för scenariot, eftersom de har tillgång till betalningar eller bankuppgifter. CNIL rekommenderar att de anställda utbildas i att kontrollera domännamn och vara misstänksamma mot ovanliga begäranden. En kort skriftlig regel, som alla känner till och som påminns om regelbundet, är bättre än en muntlig instruktion: den gör att en anställd kan säga ”nej” till en falsk chef utan att vara rädd för att inte få stöd.
Om en bedräglig betalning har gått iväg: ring banken omedelbart för att försöka stoppa den, spara meddelandena, gör en polisanmälan. Varna också de kunder eller leverantörer vars namn har använts.
Vanliga frågor
Räcker DMARC mot vd-bedrägeri?
Nej. Det stoppar förfalskning av just er domän, inte den förväxlingsbara domänen eller visningsnamnet. Se SPF, DKIM och DMARC.
Kan ett meddelande utan bilaga eller länk vara farligt?
Ja. Betalningsbedrägeri behöver bara en trovärdig text och en person som utför betalningen.
Meddelandet kommer från leverantörens riktiga adress: är det säkert?
Inte nödvändigtvis: kontot kan ha stulits. Se komprometterat konto. Kontrollen per telefon avgör.
Ett bedrägerimeddelande har satts i karantän: ska jag släppa det för att kontrollera?
Nej. Kontrollera med den kända kontaktpersonen, utan att släppa det. Se Karantän, falska positiva och rapporter.
Var Klytic står
Klytic MTA fördelar detta skydd mellan sina två paket. Det fungerar framför vilket e-postsystem som helst, utan Klytic Mail.
| Skydd | Essential | Advanced |
|---|
| Kontroll av SPF, DKIM, DMARC, även för vidarebefordrade meddelanden | Ja | Ja |
| Förfalskning av varumärken, förväxlingsbara domäner, förfalskade visningsnamn | Ja | Ja |
| Ovanligt beteende hos en avsändare | Ja | Ja |
| Vd-bedrägeri | Nej | Ja |
| Falska fakturor, falska betalningar, krypto, återbetalningar, finansiering, telefonsamtal | Nej | Ja |
| SMS-larm när en viktig avsändare skriver | Tillägg | Tillägg |
Domänens bedrägerikontext (chefernas namn, vanliga leverantörer) ställs in av domänens administratör: se Vem ställer in filtret i Klytic MTA.
Vad Klytic MTA inte gör: den godkänner inga betalningar och ersätter inte er betalningsrutin. Den ser inte ett direkt telefonsamtal, bara meddelanden som uppmanar till att ringa.
Den här sidan beskriver allmänna åtgärder. Den ersätter varken råd från er bank eller från myndigheterna vid ett konstaterat bedrägeri.
Källor
Hämtade i oktober 2026.
- CNIL, ”Le faux ordre de virement international ou fraude au président”: hur angreppet går till (kartläggning, liknande domän, brådskande begäran), förebyggande åtgärder (ringa upp kända kontaktpersoner, godkännanderutiner, registrering av liknande domäner, tvåfaktorsautentisering). cnil.fr
- Franska ekonomiministeriet, ”Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président”: betalning som framställs som brådskande och konfidentiell, förfalskning av en myndighet för att meddela nya bankuppgifter, inte agera förhastat, vaksamhet under semestrar. economie.gouv.fr
- RFC 7489, DMARC: utanför mekanismens omfattning, visuellt liknande domännamn och missbruk av visningsnamnet. rfc-editor.org
- Klytic, sidan Klytic MTA: fördelning av skyddet mot ekonomiska bedrägerier mellan paketen Essential och Advanced, tillägg, driftformer, driftstart via MX. klytic.com
