Ingen brannmur stopper en ansatt som tror sjefen er på tråden. God sikkerhetskultur handler derfor mindre om regler i en perm og mer om tre enkle vaner – så lette å følge at folk faktisk gjør det.
Mange virksomheter måler sikkerhetsarbeidet i gjennomførte e-kurs. Svindlerne bryr seg lite om kursbevis. De ser etter øyeblikket der en travel medarbeider gjør det som virker fornuftig: betaler en faktura, oppgir en kode eller godkjenner en overføring fordi forespørselen så riktig ut. Skal kulturen holde, må motvekten være like konkret som angrepet.
Angrepet går på rutinene, ikke teknikken
Ifølge et anslag fra Økokrim tapte norske privatpersoner og bedrifter til sammen 2,1 milliarder kroner på svindel i 2024, og angrepene blir stadig mer sofistikerte. I 2025 dukket svindlere opp i et videomøte forkledd som DNBs konsernledelse, med deepfake-video og KI-genererte stemmer, og ba om utbetalinger på om lag 24 millioner kroner. Saken er beskrevet av Regnskap Norge og Trygg Handel. Det mest kjente eksempelet er fra Hongkong i 2024, der en ansatt i ingeniørfirmaet Arup ble lurt til å overføre rundt 25 millioner dollar etter en videosamtale der både «finansdirektøren» og de andre deltakerne var deepfakes. Kripos og Økokrim advarer om at falske videobilder som lages i sanntid, gjør slike angrep vanskeligere å oppdage.
Telenors gjennomgang av svindeltrendene for 2026 peker samme vei. Kunstig intelligens har ikke gitt oss nye former for svindel, mener selskapet, men den gjør de kjente variantene mer troverdige: Språket er bedre, og budskapet er tilpasset den enkelte. «Svindelmetodene blir stadig vanskeligere å avsløre», advarer Thorbjørn Busch. Han leder avdelingen Abuse, Fraud & Crime i Telenor.
Vane 1: Ring tilbake – på et nummer du har selv
Nummeret på skjermen er ingen garanti. Bare Telenor stanset over 27 millioner svindelanrop fra utlandet med forfalsket nummer i 2025. Fordi Telenor, Telia og Ice nå deler data og i fellesskap blokkerer anrop der et norsk nummer er forfalsket – et samarbeid Nkom presset fram – ringer svindlerne i stedet oftere fra utenlandske nummer, blant dem svenske og danske. Regelen bør være enkel: Alt som handler om penger, passord eller endret kontonummer, bekreftes ved å ringe tilbake på et nummer fra din egen liste, aldri nummeret i e-posten eller samtalen.
Tenk deg en innkjøper i en mellomstor bedrift som får en e-post fra en fast leverandør om nytt kontonummer, fulgt av en telefon fra et svensk nummer som «bekrefter» endringen. Med en fast tilbakeringingsrutine tar det et par minutter å avsløre forsøket: Hun slår opp leverandørens nummer i egen kontaktliste og ringer selv.
En vane overlever bare hvis den er lett. Mange ansatte sitter med hodesett ved PC-en hele dagen, og da senker det terskelen å kunne ringe fra datamaskinen. ComputerCaller kobler den ansattes Android-mobil til nettleseren, slik at samtalen går ut på det vanlige abonnementet og med et nummer leverandøren kjenner igjen. Den som blir ringt opp, trenger ingen app. Nummeret fra den interne telefonlisten kan limes rett inn og ringes med ett klikk – færre tastefeil – og et filter holder uønskede anrop og meldinger unna. Lyd og meldinger lagres aldri på serveren, trafikken er TLS-kryptert, og en valgfri ende-til-ende-modus finnes for de mest forsiktige.
Løsningen krever Android og en mobil som er på og har forbindelse; iPhone er ikke støttet. Et gratisnivå med ti samtaler hver måned holder for å teste rutinen, og Pro koster 6 dollar månedlig.
Vane 2: Sjekk bildet før du stoler på det
Bilder bærer mye av troverdigheten i moderne svindel. Telenors liste over svindeltrender er full av visuelle triks: nettbutikker som er satt opp på kort tid med KI og pyntet med oppdiktede anmeldelser, jobbtilbud som ikke finnes, falske annonser på sosiale medier og e-post forkledd som kjente avsendere, for eksempel politiet. I 2025 blokkerte Telenor om lag 2 milliarder forsøk på å sende kundene videre til usikre nettsider. Profilbilder, produktbilder, «kvitteringer» og skjermbilder av en godkjenning kan alle være laget eller manipulert.
Sightova har bedriftssikkerhet som et av sine uttalte bruksområder, med falske ledere og såkalt Business Email Compromise (BEC) som eksempler. I praksis drar den ansatte det mistenkelige bildet inn i tjenesten og får et anslag på om det trolig er KI-generert, og på hvilken modell som kan stå bak. Vurderingen gjøres på pikselnivå og trenger ingen metadata, selv om C2PA-merker og SynthID-vannmerker blir lest når de er der. Starter-planen (29 dollar i måneden) er interessant for sikkerhetsavdelingen, fordi den også sjekker dokumenter for forfalskning og viser varmekart over mulige manipulasjoner. Betalte planer gir API-tilgang, og større virksomheter kan få en lokal installasjon. Ifølge tjenesten blir bildene bare behandlet i minnet og slettet etter hver analyse.
Forklar de ansatte hva tallet betyr: et sannsynlighetsanslag, ikke en kjennelse. Et høyt utslag betyr «stopp og sjekk videre», et lavt betyr ikke automatisk «trygt». Kombiner alltid med vane 1.
Vane 3: Vis hvordan, ikke bare hva
En retningslinje som sier «verifiser alltid», hjelper lite hvis ingen vet hvordan det gjøres i praksis. En video på tre minutter der sikkerhetsansvarlig viser hvor tilbakeringingslisten ligger og hvordan et mistenkelig bilde sjekkes, gjør mer enn ti sider tekst. Verktøyet ScreenRecordWindows.com gjør det enkelt å spille inn skjermen i Windows – gratis, uten registrering og på både Windows 10 og 11. Den sikkerhetsansvarlige trykker Alt + R, markerer delen av skjermen som skal med, og snakker mens hun viser. Knappene og feltene hun bruker, blir automatisk zoomet inn på.
For sikkerhetsfolk er detaljene viktige. Programmet bruker Windows' egen tekstgjenkjenning, lokalt på maskinen, til å finne API-nøkler, telefonnumre og e-postadresser og sløre dem gjennom hele videoen, så opplæringsvideoen ikke blir en lekkasje i seg selv. Ingenting krever konto, ingen bruksdata samles inn, og opptak og redigering foregår lokalt. Velger du å dele en lenke, kan kollegene skrive spørsmål knyttet til et bestemt sekund i videoen; lenken blir slettet etter en uke. Eksporterer du fra gratisversjonen, blir oppløsningen maks 1080p, og videoen får et lite vannmerke. Verktøyet fungerer også motsatt vei: En ansatt som har sett noe mistenkelig, kan vise IT nøyaktig hva som skjedde.
Ledelsen må gå først
Vanene står og faller med lederne. En direktør som blir irritert over å bli ringt opp for bekreftelse, lærer organisasjonen at kontroll er uhøflig. En leder som takker for kontrollsamtalen, og selv ringer tilbake når noe virker rart, lærer det motsatte. Like viktig er det at det er lett å si fra: Den som melder et forsøk, enten det lyktes eller ikke, skal møtes med takk og ikke skam. Øv på scenariene, gjør tilbakeringing til en selvfølge og del korte videoer når rutinene endres. Busch har et råd for 2026 som passer på oppslagstavla: «Ikke senk garden.»