Sådan reducerer I risikoen for betalingssvindel

Økonomifunktioner er attraktive mål for e-mailbaseret svindel, fordi medarbejderne her har adgang til leverandørdata, fakturaflow og betalinger. Hvis en Microsoft 365-konto eller en eksisterende mailtråd kompromitteres, kan en falsk betalingsanmodning fremstå legitim. Den kan indeholde korrekte oplysninger om leverandører, tidligere fakturaer og interne arbejdsgange. Se også Politiets guide til at undgå svindel.

Risikoen kan derfor ikke håndteres alene ved at træne medarbejderne i at genkende phishing. Awareness og uddannelse i cybersikkerhed bør kombineres med kontroller i selve betalingsprocessen. Processen skal være udformet, så en kompromitteret e-mailkonto ikke i sig selv gør det muligt at ændre betalingsoplysninger eller gennemføre en uberettiget overførsel.

CERT-EU beskrev den 3. september 2026 en kampagne rettet mod Microsoft 365-konti og arbejdsgange i økonomifunktioner. Dansk politi anbefaler samtidig, at ændringer af betalingsoplysninger og anmodninger om overførsler bekræftes gennem en anden kontaktkanal. Denne verificering bør indgå som en fast og dokumenteret kontrol i betalingsprocessen.

Betalingssvindel kan omfatte fakturasvindel, Business Email Compromise og andre metoder til at manipulere en organisations betalinger. Angriberen kan udgive sig for at være en leder, medarbejder eller leverandør. I andre tilfælde overtager angriberen en reel mailkonto og anvender eksisterende korrespondance til at fremsætte en troværdig betalingsanmodning.

Risikovurderingen bør derfor omfatte hele betalingsprocessen, herunder:

• Personlige og delte mailkonti i økonomifunktionen
• Leverandør- og stamdata
• Oprettelse og ændring af betalingsmodtagere
• Godkendelse og frigivelse af betalinger
• Midlertidige ændringer ved ferie, sygdom og hastebetalinger
• Adgang til økonomi- og netbanksystemer
• Logning og opfølgning på ændringer

Tekniske sikkerhedsforanstaltninger kan reducere sandsynligheden for kompromittering. De kan imidlertid ikke alene afgøre, om en betalingsinstruks er forretningsmæssigt legitim. Det kræver en betalingsproces med klare roller, verificering gennem en separat kontaktkanal og sporbar godkendelse.

Betalingsprocessen skal kunne modstå kompromitteret kommunikation

En e-mail bør ikke alene kunne danne grundlag for at ændre bankoplysninger, oprette en ny betalingsmodtager eller gennemføre en ekstraordinær betaling. Det gælder også, når anmodningen kommer fra en kendt adresse eller indgår i en eksisterende mailtråd.

Ændringer bør verificeres gennem en på forhånd godkendt kontaktkanal. Ved telefonisk verificering skal medarbejderen anvende kontaktoplysninger fra organisationens eksisterende leverandørregister eller en anden kontrolleret kilde. Telefonnummeret i den modtagne e-mail eller faktura bør ikke anvendes som grundlag for verificeringen.

Fem kontroller der bør være på plads

Funktionsadskillelse ved ændringer og betalinger

Oprettelse eller ændring af leverandørdata bør ikke kunne gennemføres og godkendes af den samme person. Tilsvarende bør betalinger over fastlagte beløbs- eller risikogrænser kræve godkendelse fra mindst to autoriserede personer.

Rollefordelingen skal omfatte både økonomisystemet, leverandørregisteret og netbanken. En formel totrinsgodkendelse har begrænset effekt, hvis den samme medarbejder i praksis kontrollerer begge godkendelser.

Verificering gennem en kontrolleret kontaktkanal

Nye bankoplysninger og ændringer af eksisterende betalingsoplysninger skal verificeres direkte med leverandøren. Verificeringen skal ske gennem kontaktoplysninger, som allerede er registreret og godkendt, eller som er indhentet fra en anden pålidelig kilde.

Organisationen bør dokumentere, hvem der er kontaktet, hvilken kanal der er anvendt, tidspunktet for verificeringen og resultatet.

Fastlagte krav til afvigelser og hastebetalinger

Hastesager, ferieafløsning og andre afvigelser må ikke medføre, at de normale kontroller bortfalder. Der skal være en på forhånd defineret alternativ godkendelsesproces med navngivne roller, dokumentationskrav og klare eskalationsveje.

Anmodninger om fortrolighed, usædvanlig hast eller omgåelse af den normale proces skal behandles som risikofaktorer og ikke som grundlag for at fravige kontrollen.

Begrænsning og overvågning af adgange

Adgang til mailkonti, økonomisystemer, leverandørdata og betalingsløsninger skal tildeles efter arbejdsbetinget behov og gennemgås regelmæssigt. Privilegerede og betalingskritiske konti bør beskyttes med phishing-resistent multifaktorgodkendelse, hvor det er teknisk muligt.

Organisationen bør desuden overvåge relevante hændelser, herunder ændrede videresendelsesregler, nye delegeringer, usædvanlige login og ændringer af leverandørdata. Disse kontroller reducerer risikoen for misbrug, men erstatter ikke verificering og godkendelse i betalingsprocessen.

Ret og pligt til at standse mistænkelige betalinger

Medarbejdere skal have et tydeligt mandat til at sætte en betaling på pause, når en anmodning afviger fra den normale proces. Det skal være klart, hvem mistanken eskaleres til, og hvem der kan beslutte, om betalingen kan frigives.

Kontrollen bør være understøttet af ledelsen, så tidspres eller organisatorisk hierarki ikke fører til, at en medarbejder gennemfører en utilstrækkeligt verificeret betaling.

Kontrollerne skal være dokumenterede og kunne efterprøves

En betalingskontrol er kun effektiv, hvis det er tydeligt, hvornår den skal anvendes, hvem der udfører den, og hvordan resultatet dokumenteres. Organisationen bør som minimum fastlægge:

• Roller og ansvar
• Godkendelses- og beløbsgrænser
• Krav til funktionsadskillelse
• Godkendte kontakt- og verificeringskanaler
• Dokumentations- og logningskrav
• Håndtering af undtagelser og afvigelser
• Eskalation ved mistanke om svindel
• Periodisk kontrol af, om proceduren bliver fulgt

Kravene bør også gælde ved oprettelse af nye leverandører og ved ændringer af eksisterende leverandørdata. En ny bankkonto, kontaktperson eller faktureringsmetode kan være legitim, men ændringen skal have en identificeret ejer, en verificeret kilde og et tilstrækkeligt revisionsspor.

I et ledelsessystem for informationssikkerhed kan kontrollerne indgå som risikobehandling og understøttes af adgangsstyring, leverandørstyring, hændelsesstyring, logning og regelmæssig evaluering af kontrollernes effektivitet. Nesp.ONEs ISO 27001-rådgivning kan hjælpe med at kortlægge risici, gennemgå eksisterende kontroller og udarbejde en prioriteret handlingsplan for det videre arbejde.

Ved mistanke om svindel bør organisationen standse den berørte betaling og sikre relevant dokumentation. Det kan omfatte e-mails, fakturaer, ændringshistorik, godkendelsesspor og systemlogs.

Organisationen bør derefter:

• Kontakt banken hurtigst muligt.
• Kontakt leverandøren gennem en verificeret kanal.
• Undersøg, om mailkonti eller andre systemer er kompromitteret.
• Spær eller begræns berørte adgange efter behov.
• Bevar relevante spor til den videre undersøgelse.
• Vurdér hændelsen efter organisationens beredskabs- og hændelsesstyringsprocedurer.
• Vurdér, om hændelsen medfører anmeldelses- eller underretningsforpligtelser.

Håndteringen bør være beskrevet i en IT-beredskabsplan med klare roller, eskalationsveje og procedurer for kommunikation, inddæmning og opfølgning.

Processen bør afprøves gennem scenariebaserede øvelser med deltagelse fra økonomi, it, indkøb og ledelse. Øvelsen bør blandt andet teste, hvem der kan standse en betaling, hvem der kontakter banken, hvordan kompromitterede adgange håndteres, og hvilken dokumentation der bliver bevaret.

På den måde bliver betalingskontrollen en integreret del af virksomhedens risikostyring og bidrager konkret til at beskytte likviditet, drift, leverandørrelationer og tillid.