Sådan forebygger I økonomisk it-kriminalitet

Giv alle relevante ansatte på tværs af organisation besked om at være særlig opmærksomme på den stigende risiko for økonomisk it-kriminalitet og bedrageri. Medarbejdere i finans- og regnskabsfunktioner er selvfølgelig oplagte mål, men risikoen gælder alle ansatte, som har direkte kontakt med leverandører og samarbejdspartnere.

Når interne medarbejdere, direktører, bestyrelsesmedlemmer og lignende beder om en overførsel på mail, bør I få overførslen verificeret enten personligt eller telefonisk af personen, der har bedt om den.

Hvis en betalingsinstruks er givet over telefonen, bør I foretage et kontrolopkald til et forudoplyst telefonnummer. De involverede parter skal efterfølgende bekræfte samtalen pr. mail. 

Vær opmærksomme på, hvem I taler med i telefonen, og lav logfiler over usædvanlige opkald. Så kan I henvise til tidligere samtaler, hvis noget virker mistænkeligt.

Medarbejderne bør altid rapportere enhver mistanke om bedrageri – uanset graden af mistanke – i forbindelse med betaling, finansiel transaktion, ændring af bankoplysninger til en udpeget leder tilknyttet en finans- eller regnskabsfunktion. Det kan fx være en besked fra en ledende medarbejder, hvor tonen eller fremgangsmetoden er usædvanlig, eller hvor der er grammatiske eller grafiske fejl.

Ansatte bør aldrig udlevere private eller virksomhedsfølsomme oplysninger over telefonen. Det kan fx være detaljer om leverandørkontakter, leverandørnumre eller andre informationer, som svindlere kan bruge i deres forsøg på bedrageri.

Dobbelt godkendelsesprocedure er særlig vigtig og bør gælde for store elektroniske pengeoverførsler fx over 50.000 kr. Ideelt er de, der må godkende betalinger opdelt i to grupper: Gruppe A, der har autoriteten til at forpligte selskabet, og gruppe B, der har funktionen og evnen til at validere betalingen. Kombinationen af A og B sikrer, at betalingen er behørigt godkendt (A) og berettiget (B), mens A+A eller B+B kan øge risikoen for bedrageri.

Modtager I en besked om at ændre bankoplysninger for fx en leverandør eller samarbejdspartner, bør I undersøge, om den kommer fra en kendt kontaktperson og mailadresse. Tjek altid, om afsenderen har beføjelse til at foretage ændringen, at mailen er ægte, og at vedhæftede dokumenter understøtter beskeden.

Beder en leverandør om at få ændret fx bankoplysninger, bør I kontrollere, om de tidligere har bedt om at få ændret standarddata. Det er selvfølgelig især vigtigt i forhold til leverandører og samarbejdspartnere med transaktioner af store beløb.

Hvis der ved en given pengeoverførsel er uoverensstemmelser i de opgivne betalingsoplysninger, sammenholdt med tidligere registrerede betalingsoplysninger, bør I foretage et kontrolopkald til jeres faste kontaktperson.

Kontroller også, om brevpapiret på en instruks om fx betalinger fra en leverandør eller samarbejdspartner er på samme brevpapir, som I tidligere har modtaget.

Sørg for, at I periodisk og kontinuerligt afstemmer betalinger og konti.

Brug altid digital signatur, når I bruger interne mails til at kommunikere vigtige instruktioner.

Er I en større virksomhed bør jeres procedurer for whistleblowing omfatte situationer, hvor medarbejdere trues, intimideres eller tvinges til at udføre kriminelle handlinger af eksterne svindlere, interne ledere, kolleger eller andre personer. 

Alle medarbejdere i receptionen bør behandle usædvanlige spørgsmål med forsigtighed og fx ikke oplyse navne og kontaktoplysninger til ansatte i finans- eller regnskabsafdelingen.

Sociale medier kan være en central kilde for svindlere til at få relevante informationer til et svindelnummer. Alle ansatte bør gøres opmærksomme på risikoen og have klare sikkerhedsinstruktioner om fx ikke at udlevere fortrolige oplysninger og andre vigtige informationer om virksomheden på sociale medier og netværk.

Beskyttelsen af jeres hjemmeside skal holdes opdateret for at undgå at svindlere lykkedes med fx pharming. Her omdirigerer it-kriminelle besøgende på jeres hjemmeside til en falsk hjemmeside med samme domænenavn, form og udseende, hvor de indsamler relevante informationer, som de kan bruge i forbindelse med deres svindelnummer.