Fremgangsmåten har mange likhetstrekk med direktørsvindel, hvor målet har vært regnskapsavdelinger. Etter mye oppmerksomhet rundt dette, har mange selskaper skjerpet rutinene for fakturahåndtering. Det skriver Næringslivets Sikkerhetsråd i en artikkel.
Den nye svindelmetoden har likhetstrekk med direktørsvindel, men målgruppen er nå HR-ansatte som jobber med lønn. Vi ser grunn til å advare ansatte i HR- avdelinger om denne metoden, slik at sårbarhet kan reduseres gjennom skjerpede rutiner og økt bevissthet hos ansatte.
Svindelen starter med at en ansatt i HR-avdelingen i selskapet mottar en e-post der avsenderen utgir seg for å være fra en ansatt. E-postadressen er som regel spoofet* slik at den fremstår som legitim for mottager (*man benytter en adresse som ligner eller forespørselen kommer fra en faktisk kompromittert konto). Teksten i e-posten er på norsk, språket er ganske bra og svindlerne slår ofte til i hektiske perioder, som rett før ferietid eller helger. E-posten åpnes med «Hei <fornavn på HR-ansatt>».
Det er grunn til å tro at svindlerne i forkant har vært i kontakt med selskapet og tilegnet seg informasjon om lønningsdato, navn og e-postadresse til ansatte i relevant enhet, mulig også om gjeldene rutiner for endring av utbetalingskonto for lønn. Ved svar fra den HR-ansatte opplyses det nye kontonummeret, og vanligvis spørres det også om en bekreftelse når endringen er gjort og når neste utbetaling kan forventes.
Tips til forebygging:
- Ikke stol på en e-post om endring av utbetalingskonto, kontroller alltid via interne kanaler, for eksempel ved å kontakte den ansatte via telefonnummer i intern adressebok. Det har ingen hensikt å be om en bekreftelse av endringsmeldingen ved å svare på den mottatte e-posten fordi dette vil resultere i at denne mottas av svindlerne og de bekrefter forespørselen med glede.
- Informere relevante ansatte om denne svindelmetodent.
- Etabler gode rutiner. Har selskapet på plass interne systemer der ansatte må logge seg inn for å gjøre endringen, så bør e-post vurderes avskaffet som metode for å forespørre endring av for eksempel utbetalingskonto for lønn.
- Kontakte banken for hjelp, samt rapportere kontonummeret som svindel, slik at banken kan iverksette tiltak.
Kontaktperson: Næringslivskontakt, Oslo politidistrikt, Christina T. Rooth