AI-drevet direktørsvindel rammer norske bedrifter: slik beskytter du deg

Kriminelle bruker AI til å lure ansatte

Tenk deg at du får en e-post fra daglig leder midt i sommerferien. Tonen er kjent, språket er feilfritt og meldingen er tydelig: overfør et beløp raskt, vi tar det i etterkant. Du handler. Pengene er borte.

Dette er direktørsvindel, og det er ikke nytt. Det nye er at kriminelle nå bruker kunstig intelligens til å gjøre svindelen langt mer troverdig og vanskeligere å avsløre.

Forsikringsselskapet Tryg har nylig advart rundt 138.000 nordiske bedriftskunder om trusselen. Av disse er omtrent 43.000 norske virksomheter.

Slik fungerer angrepet

Knut Beckstrøm, direktør for bedriftsmarkedet i Tryg Norge, forklarer at svindlerne spiller på tre ting: autoritet, tidspress og tillit. En melding som ser ut til å komme fra sjefen, kombinert med et krav om rask handling, gjør at ansatte handler uten å stille spørsmål.

AI gjør det mulig å lage e-poster som ser ut til å komme fra personer man faktisk kjenner og stoler på. Øystein Hjertenes, som leder informasjonsstyring i Lyse, bekrefter at phishing-angrep, det vil si forsøk på å lure noen til å gi fra seg informasjon eller penger, har blitt langt mer overbevisende enn de var for bare noen år siden. Tidligere var slike meldinger fulle av stavefeil og klossete formuleringer. Nå er de ofte ugjenkjennelige fra ekte kommunikasjon.

Hjertenes peker også på at kriminelle og sikkerhetsfolk bruker AI aktivt på hver sin side. Det er med andre ord ikke bare de gode som har tilgang til verktøyene.

Ferieperioder er en ekstra sårbar tid

Beckstrøm understreker at kriminelle bevisst utnytter perioder der nøkkelpersoner er på ferie. Når kontrollrutiner svekkes og folk har mindre tid til å dobbeltsjekke, øker sjansen for at et angrep lykkes. En hasteforespørsel som normalt ville blitt stoppet av en kollega, går gjennom fordi vedkommende er utilgjengelig.

Dette er ikke et smalt IT-problem, sier Beckstrøm. Det er en forretningsrisiko som treffer økonomi, ledelse, leverandører og betalingsrutiner direkte.

En strukturell endring, ikke en forbigående trend

Bill Jewell, teknologidirektør i U.S. Chamber of Commerce, beskriver AI-trusselen som en strukturell endring for sikkerhetsprogrammer i bedrifter. Det betyr at trusselbildet ikke vil gå tilbake til slik det var, og at det ikke er nok å gjennomgå sikkerheten én gang i året eller én gang i kvartalet. Ifølge Jewell må det skje kontinuerlig.

Det er en erkjennelse som gjelder like mye for en norsk rørlegger med fem ansatte som for et stort konsern.

Hva loven sier

Norsk og europeisk lov stiller krav til bedrifter om å ha tilstrekkelige sikkerhetstiltak for å beskytte personopplysninger mot uautorisert tilgang og svindel. Dette følger av personvernforordningen (GDPR), artikkel 32. Dersom et angrep fører til at personopplysninger kompromitteres, har bedriften meldeplikt til Datatilsynet innen 72 timer. Dette gjelder i dag og er ikke et fremtidig krav.

Hva betyr dette for deg

Direktørsvindel med AI er ikke bare et problem for store selskaper med egne sikkerhetsavdelinger. Det er nettopp liten og mellomstor bedrift som er attraktive mål fordi rutinene ofte er færre og kontrollene svakere.

Her er tre konkrete ting du kan gjøre nå:

• Sett opp en fast rutine for betalinger. Bestem at alle overføringer over en viss grense krever godkjenning fra to personer, gjerne via telefon, ikke bare e-post. Dette bryter effektivt mønsteret kriminelle er avhengige av.
• Øv ansatte på å gjenkjenne mistenkelige henvendelser. Det trenger ikke være dyrt eller tidkrevende. En kort gjennomgang av hvordan svindelforsøk ser ut i dag, og hva de skal gjøre hvis de er usikre, hever terskelen for at et angrep lykkes.
• Vær bevisst på hvilke AI-verktøy ansatte bruker. Hjertenes i Lyse advarer om at ansatte kan dele mer informasjon enn nødvendig med åpne eller gratis AI-tjenester, der det kan være uklart hvordan informasjonen behandles. Bruk godkjente verktøy med kjente vilkår, og sett en tydelig policy for hva som kan deles og ikke.

Feriene nærmer seg. Det er et godt tidspunkt å gå gjennom rutinene før nøkkelpersoner reiser.