AI-svindel: slik beskytter du bedriften

Hva som er nytt med KI-svindel

• Feilfritt norsk: den gamle regelen «svindel har dårlig språk» er død. KI skriver bedre bokmål enn de fleste avsendere.
• Klonede stemmer: noen sekunder lyd fra en video eller telefonsvarer er nok til å etterligne en stemme – «sjefen» som ringer og haster gjennom en betaling, kan være en maskin.
• Deepfake-video: falske videomøter med «ledelsen» er brukt i store svindelsaker internasjonalt – teknologien er tilgjengelig for alle.
• Skreddersøm i skala: KI leser nettsiden, LinkedIn og nyheter om bedriften din og skriver angrep som refererer ekte prosjekter, kolleger og kunder.
• Falske fakturaer: perfekte kopier av leverandørfakturaer med ett endret kontonummer – tidspunktet gjerne valgt når regnskapsansvarlig har ferie.

De tre angrepene som rammer norske SMB-er oftest

Direktørsvindel: en e-post, SMS eller oppringning som utgir seg for å være daglig leder, med et hasteoppdrag om betaling eller gavekort – gjerne fredag ettermiddag, gjerne med «jeg sitter i møte, ikke ring meg». KI har gjort disse personlige og språklig perfekte.

Fakturasvindel: ekte leverandørnavn, riktig beløpsnivå, endret kontonummer. Ofte etter at svindleren har fått innsyn i en e-posttråd gjennom en kompromittert konto hos deg eller leverandøren.

Kontokapring via phishing: en KI-skrevet e-post som ligner Microsoft, banken eller Altinn, og en innloggingsside som er piksel-lik originalen. Målet er e-postkontoen din – for derfra kan alt annet iscenesettes.

De fem rutinene som stopper det meste

1. 1To kanaler på alle betalingsendringer: nytt kontonummer eller hastebetaling bekreftes alltid i en annen kanal enn forespørselen kom i – ring et nummer du har fra før, aldri det som står i e-posten.
2. 2Fast regel for hastverk: «haster + penger + hemmelighold» utløser alltid stopp og verifisering. Ekte sjefer aksepterer regelen; svindlere er avhengige av at den ikke finnes.
3. 3Kodeord for stemme: avtal et enkelt kontrollspørsmål internt for telefonbeskjeder om penger – en klonet stemme kjenner ikke svaret.
4. 4Tofaktor på alt: e-post, bank, regnskap. Kontokapring er inngangsporten til de dyre svindlene, og tofaktor stopper mesteparten.
5. 5Øv på det: vis teamet eksempler et par ganger i året. Den som har sett en deepfake-demo, sperrer opp øynene i riktig øyeblikk.

Hvis uhellet er ute

Ring banken umiddelbart – betalinger kan i noen tilfeller stanses de første timene. Politianmeld (svindel skal anmeldes uansett beløp), varsle forsikringsselskapet hvis dere har cyberforsikring, og bytt passord på kontoene som kan være berørt.

Er personopplysninger på avveie, kan hendelsen være meldepliktig til Datatilsynet innen 72 timer. Og fortell om det internt uten skam: den som skjuler et nesten-vellykket forsøk, frarøver kollegene advarselen.

KI er også en del av forsvaret

Det samme verktøyet svindlerne bruker, kan sjekke for deg: lim en mistenkelig e-post inn i KI-assistenten og be den vurdere tegn på svindel – avsenderdetaljer, lenkemål, press-teknikker. Den fanger mye et stresset menneskeøye hopper over.

Moderne e-postfiltre og banker bruker allerede maskinlæring mot svindel – men ingen teknologi erstatter rutinene over. Angriperen trenger bare ett ja; rutinene sørger for at ett ja ikke er nok.

Begreper i denne guiden

• Generativ KI
• Skygge-KI
• GDPR og KI
• KI-assistent
• Maskinlæring