Bedragare ändrar betalningsuppgifter som skickas via epost

Bedrägeriet går ut på att skicka felaktiga betalningsuppgifter till en kund, så att betalningen går in på bedragarens konto istället för till leverantören. Bedragaren skaffar sig tillgång till tex en säljares e-postkonto och kan därmed läsa säljarens alla e-postmeddelande. När det är dags att avsluta en affär begär ofta kunden uppgifter om betalning, framför allt vid internationella betalningar, när inte enkelt bankgiro kan användas.

Ofta skickar företaget i Sverige uppgifter om betalningen till kunden som en PDF och inkluderar bankuppgifter, IBAN, SWIFT och annat som behövs vid betalningen. Bedragaren som har tillgång till e-postkontot får därmed också tillgång till PDF-filen med företagets logo och alla uppgifter och kan då redigera filen. Efter redigering skickas filen till kunden, med uppgifter om att den föregående filen var felaktig.

När kunden bekräftar den nya filen tar bedragaren bort det e-postmeddelandet i säljarens inkorg så att inga misstankar om bedrägeriet uppstår. Betalningen genomförs till fel konto och efter några veckor börjar kunden fråga efter de beställda och betalda produkterna som inte kommit. Detta gör att bedragaren har god tid på sig att se till att pengarna försvinner från mottagarkontot, vilket i sin tur gör det nästan omöjligt att nå framgång i att försöka få tillbaka pengarna.

I ett bedrägeri av denna typ i Sverige nyligen hade bedragaren ett konto i SEB, samma bank som företaget självt hade, vilket gjorde att kunden inte blev misstänksam. På grund av banksekretess vägrade banken att berätta för företaget som blivit bedraget vem som ägde kontot och polisen tog många veckor på sig att starta en undersökning. Försäkringsbolaget ville inte heller befatta sig med ärendet, eftersom företaget ansågs ha varit oförsiktig med sina e-postkonton. Enligt polisen är det vanligaste i sådana här fall att målvakten som står för kontot i den svenska banken omedelbart distribuerar pengarna som tagits emot på många olika konton i Sverige och utomlands, vilket gör spårningsarbetet för polisen mycket omfattande.

För att skydda sig mot det här bedrägeriet är det viktigt med tvåfaktorsautentisering av alla e-postkonton på företaget. Genom att ha det blir det mycket svårare eller närmare omöjligt för en bedragare att komma åt företagets epost och kan därmed inte på ett lätt sätt skicka felaktiga betalningsuppgifter till en kund vid rätt tillfälle.

Ett ytterligare sätt att skydda sig är att bekräfta betalningsuppgifter via mer än en kanal, dvs skicka uppgifter via epost och sedan ringa kunden och bekräfta uppgifterna. Telefonnumret som ska ringas ska då vara detsamma som listas på kundens hemsida, för att minimera risken att telefonnumret som man fått från kunden kommer från en bedragare som tagit sig in i kundens e-postkonton.

För betalningar inom Sverige är risken mindre, eftersom sådana oftast görs via bankgiro och man kan se vem som äger bankgirot när betalningen genomförs. Vid internationella betalningar är det betydligt svårare eftersom man inte går någon som helst bekräftelse på att bankuppgifterna är korrekta.