Direktørsvindel og falske fakturaer

Av Tilfluktsrom.com-redaksjonen · Ansvarlig redaktør Terje Moy · Sist oppdatert oktober 2026

Direktørsvindel og falske fakturaer stoppes sjelden av teknikk alene. De stoppes av betalingsrutiner som ingen hopper over: to personer godkjenner, et nytt kontonummer bekreftes alltid via en kanal dere kjenner fra før, og alle vet hvem som ringer banken hvis penger likevel er sendt. Her er faresignalene, rutinene og det dere gjør de første timene.

Hva er direktørsvindel, fakturasvindel og BEC?

Politiet beskriver direktørsvindel som at en medarbeider blir lurt til å behandle en betalingsforespørsel eller betale en falsk faktura. Den klassiske varianten starter med en e-post til noen som har myndighet til å betale regninger. Avsenderen ser ut til å være direktøren eller en annen leder, og ber om at en faktura eller overføring blir ordnet. Datatilsynet peker på at det samme kan komme via SMS, brev, telefon eller rett inn i faktura- og betalingssystemet.

Ved fakturasvindel får bedriften en falsk eller manipulert faktura som ser ut til å komme fra en kunde eller leverandør dere allerede har, eller en faktura for noe som aldri ble bestilt. Den mest krevende varianten kalles Business Email Compromise (BEC). Da har svindlerne skaffet seg tilgang til en ekte e-postkonto, ofte ved at en ansatt har tastet passordet sitt inn på en falsk innloggingsside. Med tilgang til innboksen kan de lese med over tid, lære hvordan dere skriver og når fakturaer går ut, og så sende en melding om «nytt kontonummer» fra en adresse som faktisk er ekte.

Finans Norge skriver i bankenes oversikt over svindeltrender for 2026 at CEO-svindel og annen fakturarelatert svindel fortsatt gir store tap i bedriftsmarkedet. Angrepene skjer ofte uten noe teknisk innbrudd i det hele tatt. De bygger på forfalskede avsendere, manipulasjon og at svindlerne kjenner de interne rutinene.

Slik foregår svindelen i praksis

Forarbeidet er ofte grundig. Politiets brosjyre om bedrageri mot virksomheter peker på at hjemmesider med oversikt over ledere og nøkkelpersoner, sosiale medier og nyhetsoppslag gir svindlerne det de trenger. Informasjon om oppkjøp, investeringer og nye samarbeid er ekstra nyttig for dem. Alle med betalingsfullmakt er mulige mål, ikke bare økonomisjefen.

Tre mønstre går igjen:

• Hastebetalingen fra «sjefen»: En leder er tilsynelatende på reise eller i møte og trenger en overføring gjort i dag, gjerne til et oppkjøp eller en hemmelig avtale som «ingen andre må vite om ennå».
• Leverandøren som har byttet bank: En kjent leverandør skriver at kontonummeret er endret, og ber om at neste faktura betales til ny konto. Meldingen kan komme fra leverandørens ekte, men kaprede, e-post.
• Fakturaen for ingenting: En faktura for varer eller tjenester som ingen har bestilt, i håp om at den glir gjennom fordi beløpet virker lite eller avsenderen virker kjent.

Politiet advarer om at selskaper med hovedkontor i utlandet er ekstra utsatt, fordi svindlerne kan utgi seg for å være fra en annen del av konsernet. Både Økokrim og politiet peker også på ferietid som en risikoperiode: vikarer kjenner ikke rutinene, og de som vanligvis stusser, er borte.

Faresignalene dere skal reagere på

Ingen enkeltregel avslører alt, men nesten alle forsøk har ett eller flere av disse kjennetegnene:

• Hast: Betalingen må gjøres i dag, før en frist eller før banken stenger.
• Hemmelighold: Du blir bedt om ikke å snakke med kolleger eller følge vanlig vei «akkurat denne gangen».
• Nytt kontonummer: En kjent mottaker oppgir plutselig en annen konto, kanskje i et annet land.
• Avvik fra rutinen: Betalingen skal utenom fakturaflyten, godkjennes av én person, eller sendes til en mottaker som ikke står i leverandørlisten.
• Kanalen er ny: Lederen tar kontakt via privat e-post, SMS eller et videomøte i stedet for de vanlige kanalene.
• Små detaljer skurrer: En bokstav for mye i domenet, en uvanlig tone, et svarfelt som går til en annen adresse enn avsenderen.

Betalingsrutinene som stopper svindelen

De fleste vellykkede forsøk lykkes fordi én person kunne betale alene, eller fordi et kontonummer ble endret på bakgrunn av en e-post. Disse rutinene tetter de hullene:

To personer godkjenner

Innfør to-personskontroll, ofte kalt attestasjon og anvisning: Én person kontrollerer at fakturaen er riktig og samsvarer med en bestilling, en annen godkjenner betalingen. Nettvett anbefaler at alle tvilstilfeller vurderes av fire øyne. Sjekk om nettbanken deres kan kreve to godkjennere i selve løsningen, slik at regelen ikke bare står på papiret.

Fast prosedyre for endring av kontonummer

Endring av betalingsopplysninger skal aldri skje på grunnlag av en e-post alene, uansett hvor ekte den ser ut. Politiet anbefaler å avtale allerede når kontrakten inngås hvilken kanal dere skal bruke for å bekrefte betalingsinformasjon. Ved endring ringer dere leverandøren på et nummer dere har fra før, for eksempel fra kontrakten eller deres egen leverandørliste, aldri nummeret i e-posten som meldte endringen. Hvorfor nettopp denne vanen er så effektiv, og hvordan ledere kan gjøre den til en selvfølge, er tema i artikkelen om å ringe tilbake på et nummer du har selv.

Leverandørregister og beløpsgrenser

Hold en oversikt over godkjente leverandører med kontonummer, og la bare én eller to personer kunne endre den. Betalinger til mottakere som ikke står i registeret, krever ekstra kontroll. Sett beløpsgrenser: Over et visst beløp kreves flere godkjennere, og for større utbetalinger til nytt kontonummer foreslår politiet en testtransaksjon med et lite beløp som mottakeren bekrefter før resten sendes.

Sikre e-posten

Politiet anbefaler totrinnsbekreftelse på all e-post, og påpeker at svindlere som kommer inn i en konto, kan opprette regler som videresender e-post til dem selv. Slike regler forsvinner ikke når passordet byttes. Gå derfor jevnlig gjennom videresendings- og innboksregler.

Slik gjør små virksomheter det enkelt

En liten bedrift har sjelden egen økonomiavdeling, og ofte er det daglig leder selv som både mottar og betaler fakturaene. Da kan to-personskontroll virke tungvint, men kjernen kan gjøres enkel:

• Skriv ned rutinen på én side: hvem godkjenner, hvem kan endre kontonummer, og hvordan endringer bekreftes.
• Bruk regnskapsføreren eller en medeier som andre godkjenner over en avtalt beløpsgrense.
• Ha en kontaktliste med telefonnummer til faste leverandører, hentet fra kontrakter og ikke fra e-post.
• Skriv bankens hastenummer for bedriftskunder inn i samme liste, så dere vet hvem som kan stanse en betaling også utenom åpningstid.
• Ta en kort gjennomgang med vikarer og nyansatte før ferier og travle perioder.
• Slå på totrinnsbekreftelse på e-post og nettbank for alle som har tilgang.

Mye av det samme oppsettet, særlig totrinnsbekreftelse og reservekoder, er beskrevet i guiden om sikkerhetskopier, passord og totrinnsbekreftelse.

Penger er sendt – dette gjør dere straks

Tiden teller. Svindlere flytter ofte pengene videre gjennom flere banker og land, og da blir de vanskelige å spore. Gjør dette i denne rekkefølgen:

1. Ring banken umiddelbart. Politiet råder alle som nettopp har overført penger til å ringe banken med en gang og forsøke å stanse overføringen.
2. Anmeld til politiet. Bedrageri bør anmeldes så fort som mulig, og det kan gjøres digitalt. Er dere usikre, kan dere kontakte lokalt politi for veiledning.
3. Sikre spor. Ikke slett e-poster, fakturaer eller meldinger. Ta vare på e-posthodene, kontoutskrifter og tidspunkter. Ta kopi av innloggingslogger fra e-posttjenesten før de eventuelt overskrives.
4. Steng døren. Bytt passord på berørte kontoer, logg ut alle aktive økter, fjern ukjente videresendingsregler og slå på totrinnsbekreftelse der den mangler.
5. Varsle de som trenger å vite. Kontakt forsikringsselskapet, og si fra til leverandøren eller kunden som ble brukt i svindelen. Har svindlerne vært inne i e-posten, kan de ha forsøkt å lure kundene deres også.

Kultur: kontroll er ikke mistillit

Rutinene virker bare hvis folk tør å bruke dem. En ansatt som ringer daglig leder for å bekrefte en betaling, må bli møtt med takk, ikke irritasjon. Politiet understreker i sin veiledning for virksomheter at kontroll av informasjon skal settes pris på og ikke er et tegn på mistillit, og at det er bedre å spørre en kollega en gang for mye enn en gang for lite. Like viktig er en enkel intern rutine for å melde fra om forsøk, også de som ble stoppet. Hvert avverget forsøk lærer resten av virksomheten hvordan svindlerne jobber akkurat nå.

Svindel er også et tema i bredere krisesammenheng: Etter store hendelser og utfall øker forsøkene, som beskrevet i artikkelen om cyberangrep mot infrastruktur. Rutiner som sitter i hverdagen, holder også når det er uro.

Ofte stilte spørsmål

Hva er forskjellen på direktørsvindel og BEC?

Ved direktørsvindel utgir svindleren seg for å være en leder, ofte fra en falsk eller forfalsket adresse. Ved BEC har svindleren brutt seg inn i en ekte e-postkonto og sender fra den, noe som gjør forsøket langt vanskeligere å oppdage.

Kan banken stoppe en betaling som allerede er sendt?

Noen ganger, hvis dere er raske. Politiet råder dere til å ringe banken umiddelbart og forsøke å stanse overføringen. Jo lenger det går, jo større er sjansen for at pengene er flyttet videre.

Hvordan bekrefter vi et nytt kontonummer fra en leverandør?

Ring leverandøren på et nummer dere har fra før, for eksempel fra kontrakten, og ikke nummeret i meldingen om endringen. For store beløp kan dere i tillegg sende en liten testbetaling som leverandøren bekrefter.

Må vi melde direktørsvindel til Datatilsynet?

Ikke nødvendigvis. Datatilsynet mener risikoen for personvernet oftest er lav ved direktørsvindel, men har svindlerne fått tilgang til e-post eller systemer med personopplysninger, må dere vurdere om det er et meldepliktig brudd.

Holder det med to personer i en liten bedrift?

Ja, for de fleste. Poenget er at ingen alene kan både endre kontonummer og betale. Regnskapsfører eller en medeier kan være andre godkjenner over en avtalt beløpsgrense.