Norsk selskap utsatt for direktørsvindel: Millionbeløp gikk til konti i Hongkong
Mistenkelige e-poster fører til millionutbetalinger til svindlere. Dataekspert advarer om et stort omfang de siste årene.
En mistenkelig melding fra daglig leder ender i millionsvindel for flere norske bedrifter, og omfanget er voksende, både i Norge og i utlandet.
Såkalt direktørsvindel, på engelsk omtalt som «CEO fraud», utføres ved at uvedkommende utgir seg for å være en del av ledelsen i et selskap, for å deretter overføre penger til eksterne konti.
Svindlerne jobber ofte svært grundig, og det er vanlig å følge selskapet tett før svindelen.
Partner Mads Blomfeldt i konsulentselskapet BDO er en av dem som bistår med granskning av økonomisk kriminalitet og forebyggende tiltak for norske selskaper.
Han sier til E24 at et norsk selskap nylig ble utsatt for denne typen svindel, men at deler av pengetransaksjonene ble stoppet og at mesteparten kom tilbake.
Det er ikke alltid tilfellet. Denne typen svindel forekommer ofte, viser tall beskrevet senere i artikkelen.
Overvåket og manipulerte internkommunikasjon
Det norske selskapet som ble utsatt for svindelen betalte i løpet av en uke omtrent en million amerikanske dollar, tilsvarende 7,75 millioner norske kroner med dagens valutakurs, til bankkonti i Hongkong, fordelt på fire ulike transaksjoner.
Den siste utbetalingen på tre hundre tusen dollar ble stoppet og tilbakeført før pengene gikk ut av landet.
Svindlerne skal ha fått uautorisert tilgang til selskapets e-postløsning.
Videre skal de ha overvåket internkommunikasjonen over lengre tid, og fulgt selskapet tett.
Kan ha fått passord fra LinkedIn
Kommunikasjonen skal ha blitt etterlignet og manipulert over tid, og fiktive faktura og betalingsinstruksjoner skal ha blitt sendt til økonomimedarbeidere og regnskapsansvarlig, slik at det tilsynelatende ble videresendt fra daglig leder.
– Svindlerne skaffet seg uautorisert tilgang til selskapets e-post, og etterlignet kommunikasjon mellom daglig leder og regnskapsansvarlig. Kommunikasjonen ble overvåket over tid, og manipulert slik at svindlerne hadde kontroll.
Shortselger hevder Twitter håver inn på salg av brukerdata - aksjen stuper
– De hadde full tilgang til selskapets e-post og hadde blant annet satt regler i daglig leders innboks, slik at eventuelle svar fra regnskapsansvarlig ble lagt i en eget mappe, sier Blomfeldt.
– Hvordan svindlerne fikk kontroll er ikke avdekket, men en hypotese er at det kan ha skjedd gjennom bruk av passord fra en passordlekkasje fra LinkedIn (et sosialt nettverk for jobbrekruttering og nettverksbygging, journ.anm.), sier han.
Blomfeldt forklarer at selskapets anmeldte forholdet til norsk politi.
Det var selskapet som, med bistand fra det norske konsulentselskapet, engasjerte advokat i Hongkong. Gjennom en rettslig prosess mot kontoinnehaveren i landet ble pengene etterhvert tilbakebetalt.
– Det er viktig ikke å anse pengene for tapt selv om transaksjonene er fullført, men det er heller ingen selvfølge at man får de tilbake, sier Blomfeldt.
Datatilsynet om Facebook-skandalen: – Vi følger absolutt med
Det norske selskapet har nå fått tilbakeført 580.000 amerikanske dollar, tilsvarende nærmere 4,5 millioner norske kroner. Det tilsvarer nesten alt som urettmessig ble utbetalt fra dem.
Milliardsummer
Det norske selskapet er ikke alene i å bli offer for såkalt direktørsvindel.
Tidligere har det blant annet blitt kjent at Festspillene i Nord-Norge ble svindlet for mange hundre tusen kroner og at arbeidsgiverorganisasjonen Virke tidligere har blitt utsatt for den samme svindelen.
Norsk senter for informasjonssikring, ofte omtalt som bare NorSIS, skriver i sin rapport «Trusler og trender» for perioden 2017-2018 at direktørsvindel er en av trusselutfordringene, og omtaler omfanget som «merkbart».
Videre skriver de at svindelmetoden «er vanlig», og at det finnes mørketall i statistikken.
Tall fra den amerikanske etterforskningsetaten FBI viste at svindlere klarer å få tak i summer på til sammen nærmere 18 milliarder kroner på litt over en toårsperiode, i de 79 landene de hadde undersøkt. FBI advarte samtidig bedrifter mot direktørsvindel, som de oppfattet var i sterk vekst for to år siden.
Bjarte Malmedal, seniorrådgiver ved NorSIS, sier til E24 at omfanget er stort, og at det er særlig et år som skiller seg ut.
– Det begynte virkelig å ta av i 2016. Den sommeren kontaktet vi 1500 bedrifter om at de var potensielt utsatt for denne typen svindel, sier han.
– Det er vanskelig å si hvorfor, men det har kanskje med å gjøre at de som står bak har begynt å rette fokuset mer mot Norge, men det blir bare spekulasjoner.
Malmedal forklarer at mørketallene imidlertid er store, og at deler av forklaringen ligger i manglende helhetsbilde for etatene.
– Det er blant annet ikke alle som velger å anmelde saken, og så er det mange ulike etater som er involvert, men ingen som sitter med helhetsbildet, sier dataeksperten.
Malmedal sier det stort sett er privat sektor som blir rammet, men også norske kommuner opplever å bli svindlet i mer begrenset omfang.
Les også: Advokat om forslag til ny hvitvaskingslov: Det kan bli risikabelt å være styremedlem
Krever ikke mye datakompetanse
Svindlerne jobber grundig, sier Malmedal, og viser til at enkelte har klart å komme seg inn på selskapenes interne datanettverk for å lure bedriften for penger.
– Det vanligste er at de gjennomfører en enkel kartlegging av virksomheten, for å deretter sende falske e-poster til økonomimedarbeidere. Det er også tilfeller der det er gjort mye grundigere kartlegginger, og der har kommet seg inn å selskapets datanettverk for å utnytt ting som skjer i bedriften.
Malmedal sier flere norske bedrifter er rustet til å møte trusselen fra svindlerne.
– Mange store bedrifter har ganske store og rigide betalingsystemer, og da er det ikke teknisk mulig «å bare gjennomføre» en utbetaling.
Dataeksperten peker på viktigheten av tydelige regler og instrukser i virksomheten.
– Det er viktig å ha klare og tydelige instrukser og regler for hvordan alt dette skal bli håndtert. Dette er sjefens ansvar, men også de ansatte må være overvåkene.
– Er det ganske lett å lure bedriftene?
– Terskelen er veldig lav for å gjennomføre slike type angrep.
– Det krever ikke så mye datakompetanse, egentlig. Det handler mer om evner til å manipulere andre mennesker, sier han.
