Direktørsvindel og falske fakturaer: slik beskytter e-postautentisering bedriften

2026-09-26 · 8 min lesetid · Av MailWatch-teamet

Direktørsvindel (CEO-svindel) og falske fakturaer er e-postbasert svindel der angriperen utgir seg for å være en leder, en leverandør eller en kollega for å få noen til å betale penger til feil konto. E-postautentisering med SPF, DKIM og DMARC på p=reject stopper én viktig variant: at svindleren sender e-post med nøyaktig ditt domene i avsenderfeltet. Men den stopper ikke lookalike-domener eller kaprede e-postkontoer – derfor trenger du også MFA, faste betalingsrutiner og verifisering per telefon.

Hva er direktørsvindel og fakturasvindel?

Internasjonalt kalles dette Business Email Compromise (BEC). Felles for alle variantene er at svindleren ikke trenger skadevare eller avansert hacking. Det holder med en troverdig e-post, litt research og et godt tidspunkt. Politiet, Økokrim og Nasjonal sikkerhetsmyndighet (NSM) har gjentatte ganger advart norske virksomheter mot denne typen svindel, og både store og små bedrifter, kommuner og organisasjoner er rammet.

De vanligste scenarioene:

• Direktørsvindel: En e-post som ser ut til å komme fra daglig leder, ber økonomiansvarlig om en rask og konfidensiell overføring – ofte begrunnet med et oppkjøp eller en hemmelig avtale. Den kommer gjerne når lederen er på reise eller i møter.
• Falsk faktura eller endret kontonummer: En «leverandør» sender beskjed om at de har byttet bank, og at fremtidige fakturaer skal betales til et nytt kontonummer. Eller en faktura blir sendt med riktig logo og beløp, men feil kontonummer.
• Lønnssvindel: En «ansatt» ber lønningsansvarlig oppdatere kontonummeret for lønnsutbetaling.
• Gavekort-svindel: «Sjefen» ber en ansatt kjøpe gavekort til kunder og sende kodene på e-post.

Svindlerne kjenner ofte navn, roller og leverandører fra nettsiden, LinkedIn, Brønnøysundregistrene og pressemeldinger. Det gjør e-postene overraskende troverdige.

Slik utgir svindlerne seg for å være deg

For å forstå hva e-postautentisering kan og ikke kan gjøre, må du skille mellom teknikkene:

Det er viktig å være ærlig om dette: DMARC er ikke en magisk løsning mot all svindel. Men forfalskning av eksakt domene er den enkleste og billigste teknikken for svindleren, og uten DMARC kan hvem som helst sende e-post som ser ut til å komme fra firma.no. Den døren bør være stengt.

Hva DMARC faktisk stopper – og hvorfor det er verdt det

Med SPF (RFC 7208) og DKIM (RFC 6376) kan mottakeren kontrollere om en e-post faktisk kommer fra en server som har lov til å sende for domenet. DMARC (RFC 7489) kobler dette til domenet i Fra-feltet og forteller mottakeren hva som skal skje med e-post som feiler. Med p=reject blir forfalsket e-post avvist før den når innboksen.

_dmarc.firma.no.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@firma.no"

Det gir tre gevinster:

1. Egne ansatte beskyttes mot e-post som ser ut til å komme fra kolleger på firma.no – forutsatt at deres egen e-postserver sjekker DMARC, noe Microsoft 365 og Google Workspace gjør.
2. Kunder og leverandører beskyttes mot falske fakturaer som utgir seg for å komme fra deg. Dette er ofte den største gevinsten, og det beskytter omdømmet ditt.
3. Du får innsyn. DMARC-rapportene viser hvem som prøver å sende e-post i ditt navn. Se slik leser du DMARC-rapporter.

Vil du innføre DMARC trygt uten å stoppe legitim e-post, følger du DMARC steg for steg fra p=none til p=reject. Bruker dere Microsoft 365, finner du alt du trenger i oppsettsguiden for Microsoft 365.

Ikke glem domener dere ikke sender fra

Mange bedrifter eier flere domener: gamle firmanavn, .com-varianten, kampanjedomener. Hvis de ikke brukes til e-post, bør de låses helt, slik at ingen kan misbruke dem:

gammeltfirma.no.         TXT  "v=spf1 -all"
_dmarc.gammeltfirma.no.  TXT  "v=DMARC1; p=reject"
gammeltfirma.no.         MX   0 .

Den siste posten er en såkalt «null MX» (RFC 7505), som sier at domenet ikke tar imot e-post.

Lookalike-domener: det DMARC ikke ser

Når eksakt forfalskning ikke lenger fungerer, registrerer svindlerne et domene som ligner: en bokstav byttet ut (rn i stedet for m), en bindestrek, et annet toppdomene. Slike domener kan få helt gyldig SPF, DKIM og DMARC – de er jo svindlerens egne. Tiltak som hjelper:

• Merking av ekstern e-post. Både Microsoft 365 og Google Workspace kan markere e-post fra eksterne avsendere tydelig. En «ekstern»-merking på en e-post som ser ut til å komme fra sjefen, er et klart faresignal.
• Beskyttelse mot etterligning. Microsoft Defender for Office 365 og Googles avanserte phishing-innstillinger kan varsle når visningsnavn eller domener ligner på dine egne eller dine viktigste partneres.
• Defensiv registrering av de mest opplagte variantene av domenet ditt, som .com og vanlige skrivefeil.
• Overvåking av nye domeneregistreringer som ligner ditt merkenavn, slik at du kan reagere tidlig.

Kaprede kontoer: når e-posten er ekte

Den farligste varianten er når svindleren har tatt over en ekte e-postkonto – hos deg eller hos en leverandør – etter å ha stjålet passordet via phishing. Da kan svindleren lese tidligere korrespondanse, vente på riktig faktura og svare i en eksisterende tråd. Ingen teknisk autentisering vil reagere, fordi e-posten faktisk kommer fra riktig konto.

Her er tiltakene:

• Tofaktorautentisering (MFA) på alle e-postkontoer, helst phishing-resistent MFA som passnøkler eller sikkerhetsnøkler for ledere og økonomi.
• Varsling på mistenkelige videresendingsregler. Svindlere oppretter ofte regler som skjuler eller videresender e-post. Sjekk jevnlig, og bruk innebygde varsler i Microsoft 365 og Google Workspace.
• Sjekk leverandørenes e-postsikkerhet. Et raskt oppslag viser om en leverandør har DMARC. Du kan sjekke domenet ditt gratis – og dine viktigste leverandørers – med vår domenesjekk.

Rutiner som stopper svindelen uansett teknikk

Teknikk reduserer risikoen, men det er rutinene som stopper svindelen når alt annet har sluppet gjennom. Disse bør være skriftlige og kjent for alle som håndterer betalinger:

1. Endring av kontonummer bekreftes alltid på telefon, til et nummer du har fra før (fra avtale, tidligere faktura eller nettsiden) – aldri til nummeret som står i e-posten.
2. Tofaktorgodkjenning av betalinger: to personer må godkjenne utbetalinger over et visst beløp, og nye mottakere.
3. Hastverk og hemmelighold er røde flagg. «Dette må skje i dag» og «ikke snakk med noen om dette» er klassiske tegn på svindel. Gjør det legitimt å stoppe og sjekke – også når det gjelder sjefen.
4. Lederne sier tydelig fra om at de aldri vil be om betalinger eller gavekort utenom de vanlige rutinene.
5. Opplæring av økonomi, lønn og ledersekretærer med konkrete eksempler. Nettvett.no, som driftes av NSM, har gode råd og materiell på norsk.

Ofte stilte spørsmål

Stopper DMARC direktørsvindel?

DMARC med p=reject stopper direktørsvindel der svindleren forfalsker nøyaktig ditt domene i avsenderfeltet. Det stopper ikke e-post fra lookalike-domener, falske visningsnavn på Gmail-adresser eller kaprede ekte kontoer. DMARC bør derfor kombineres med MFA, merking av ekstern e-post og faste betalingsrutiner.

Hva er et lookalike-domene?

Et lookalike-domene er et domene som ligner på et ekte, for eksempel firrna.no i stedet for firma.no, eller firma-no.com. Svindlere registrerer dem for å lure mottakere som ikke ser nøye etter. Fordi domenet tilhører svindleren, kan e-posten passere SPF, DKIM og DMARC.

Hvordan vet jeg om noen sender e-post i vårt navn?

Legg inn en DMARC-post med rua-adresse. Da sender mottakere som Gmail og Microsoft daglige rapporter som viser alle servere som har sendt e-post med ditt domene i avsenderfeltet. Et verktøy som tolker rapportene gjør det enkelt å se ukjente avsendere.

Hva bør vi gjøre hvis vi har betalt en falsk faktura?

Kontakt banken med en gang, siden rask handling øker sjansen for å stoppe overføringen. Anmeld svindelen til politiet, og ta vare på e-postene med fullstendige headere som dokumentasjon. Sjekk også om en e-postkonto er kompromittert, og bytt passord og aktiver MFA.

Beskytter DMARC kundene våre også?

Ja. Med p=reject blir e-post som forfalsker ditt domene avvist hos mottakere som sjekker DMARC, noe alle store e-posttjenester gjør. Det gjør det vanskeligere for svindlere å sende falske fakturaer til kundene dine i ditt navn, og beskytter omdømmet ditt.

Oppsummering

Direktørsvindel og falske fakturaer stoppes best med flere lag: DMARC på p=reject stenger døren for forfalskning av ditt eksakte domene, MFA og varsling beskytter mot kaprede kontoer, og faste rutiner med telefonverifisering stopper resten. MailWatch hjelper deg med den tekniske delen: vi overvåker SPF, DKIM og DMARC kontinuerlig, tolker DMARC-rapportene så du ser hvem som sender i ditt navn, og varsler deg på e-post eller SMS hvis noe endres. Prøv gratis i 30 dager.

Prøv MailWatch gratis i 30 dager · Sjekk domenet ditt gratis