Phishing vs «CEO-fraud»: Hvilken truer deg mest?

Hva er phishing og CEO-fraud?

Phishing er forsøk på å «fiske» dine data ved å late som å være en legitim organisasjon – gjerne din bank eller PayPal. Du får en SMS, epost eller lenke som ser ut som den kommer fra en kjent kilde, og blir bedt om å logge inn. Skjermen er en kopi av originalens, og dine kredentialer sendes direkte til svindlere. CEO-fraud, også kalt «whaling», er en mer målrettet variant hvor du blir kontaktet av noen som late som å være en overordnet i din organisasjon eller bedrift.

CEO-fraud er ofte mer personalisert. Svindleren ringer eller mailer deg med en håpefull tone: «Hei, trenger raskt en fakturabetaling til dette kontonummeret». Fordi det kommer fra «toppledelsen», tør folk mindre å stille spørsmål. Sannsynligheten for at du svikter på øverste leder er lavere enn å svikle på «noreply@paypal.com».

Hvor utbredt er det?

Politiet estimerer at phishing rammer omlag 180.000 nordmenn årlig, men det er stor mørketall. Mange anzeiger ikke fordi de føler skam eller vet ikke at de kan anzeire. Antallet SMS-phishing-forsøk dobblet seg fra 2021 til 2023. CEO-fraud rammer ofte bedrifter og private næringsdrivende, og kan kaste store summer på glørten.

For småbedrifter er CEO-fraud kanskje den største trusselen. Gjennomsnittlig tap per sak ligger rundt 67.000 kroner, men enkelte tilfeller når flere millioner. En liten bedrift som mister sånn sum, kan få seriøse likviditetsproblemer. De større bedriftene har bedre kontroller og tåler tapet bedre.

Teknikkene som brukes

Phishing-e-poster lages ofte på svært kort tid. Svindlerne bruker automatisert software for å masse-sende tusenvis av falske e-poster, håpende at noen skal bite på kroken. Gjennomsnittlig svarprosent ligger rundt 5-8 %, noe som betyr tusenvis av kompromitterte kontoer per kampanje. SMS-phishing (smishing) bruker mobilnummeret ditt som inngang – og de fleste sjekker SMS raskere enn e-post.

CEO-fraud krever mer forskning. Svindleren undersøker ofte bedriftens nettside, LinkedIn-profiler og gamle pressemeldinger for å finne ut hvordan ledelsen kommuniserer. De kan jakte på e-postadresser fra nettsiden, eller registrere domener som ligner veldig («norskbank-as.no» i stedet for «norsk-bank.no»). Noen ring direkte og lager en falsk CID på telefonlinjen som viser at det kommer fra ledelsen.

Tall og trender

Både phishing og CEO-fraud øker år for år. Politiets cyberenheter mottok 42.000 anzeiger i 2024, opp fra 31.000 i 2022. Samtidig estimeres det at kun 5-10 % av alle tilfeller blir anzeirt. Mange bedrifter holder det hemmelig av skam eller PR-frykt.

Slik beskytter du deg

For phishing: Aldri klikk på lenker i uventet meldinger. Går du i tvil, åpne nettleseren din og skriv inn banken eller NetBank sin adresse manuelt. Slå på to-faktor-autentisering der det er mulig. Bedrifter bør implementere e-postfiltre som blokkerer phishing-domener, og gjennomføre jevnlig opplæring av ansatte.

For CEO-fraud: Implementer interne prosedyrer for større betalinger – alltid kall ledelsen på et nummer du kjenner før du overfører penger. Ikke ring nummeret som står i e-posten! Bedrifter med flere på regnskapsavdelingen bør ha dobbel signering på store betalinger. Vær skeptisk til plutselig ændringer i betingelser – det er et klassisk tegn på at noe er dårlig.

Hvis du har blitt offer

Handler raskt. Ring banken din umiddelbar og be dem fryse kontoen. Hvis pengene er overført til konto i norsk bank, kan banken ofte stanse overføringen de første timene. Anzeier til politiet – selv om sjansen for å få pengene tilbake er liten, hjelper det politiet med å kartlegge nettverkene og kan stoppe den samme svindleren fra å treffe andre. Endre all passord på alle kontoer, spesielt hvis phishing var gjennomfalt.

Av alle som anzeirer phishing, gjenvinner norske banker gjennomsnittlig 12-15 % av summen. For CEO-fraud er tallet høyere – omkring 25-30 % – fordi det ofte involverer norske kontoer som kan blokkeres raskt. Men tid er avgjørende: de første timene er kritiske.