CEO-svindel og falske fakturaer: Sådan tjekker du afsenderen

Kort svar

Business email compromise (BEC), på dansk ofte kaldt CEO-svindel eller fakturasvindel, er svindel, hvor kriminelle sender e-mails, der ser ud til at komme fra din chef, en leverandør eller en advokat, og beder dig betale eller ændre bankoplysninger. Tjek den rigtige adresse og domænet bogstav for bogstav, kig efter "pass" ved SPF, DKIM og DMARC i beskedens detaljer, og handl aldrig på en betalingsanmodning, før du har ringet til personen på et nummer, du allerede havde. Har du betalt, så ring straks til banken og anmeld det.

Nøgletal

3,05 mia. dollartabt til business email compromise anmeldt til FBI i 2025, fordelt på 24.768 anmeldelserFBI IC3 2025 Internet Crime Report
679 mio. dollarindefrosset for ofre af FBI's Recovery Asset Team i 2025, en succesrate på 58 % ud af 1,16 mia. dollar anmeldtFBI IC3 2025 Internet Crime Report
41,3 mio. pundtabt til faktura- og mandatsvindel i Storbritannien i 2025, fordelt på 2.305 sagerUK Finance Annual Fraud Report 2026
55,5 mia. dollari kendte BEC-tab på verdensplan fra oktober 2013 til december 2023, fordelt på 305.033 hændelserFBI IC3 PSA, september 2024

Der lander en e-mail fra en leverandør, du betaler hver måned. De har skiftet bank, og næste faktura skal betales til den nye konto. Eller din direktør skriver fra en lufthavn: en hastende, fortrolig betaling skal ud inden dagens udgang. Navnet er rigtigt, tonen er rigtig, og logoet er rigtigt. Spørgsmålet er, om den person, du tror har sendt den, faktisk har gjort det.

Det her er business email compromise (BEC), på dansk ofte kaldt CEO-svindel eller fakturasvindel, og det er en af de dyreste forbrydelser, FBI holder øje med. Virksomheder og privatpersoner anmeldte tab på 3,05 mia. dollar til BEC i 2025, fordelt på 24.768 anmeldelser til FBI's Internet Crime Complaint Center. Løsningen er enkel, men streng: et par tjek af e-mailen og en regel om at ringe tilbage, som ingen springer over.

Hvad er business email compromise (CEO-svindel)?

Business email compromise er svindel, hvor kriminelle udgiver sig for at være en, du stoler på, via e-mail, for eksempel en leverandør, en direktør, en medarbejder eller en advokat, for at få dig til at sende penge eller følsomme data. FBI beskriver det som svindel rettet mod personer og virksomheder, der jævnligt laver bankoverførsler, med hackede eller forfalskede e-mailkonti og i stigende grad også telefonnumre og apps til videomøder. Irlands National Cyber Security Centre nævner fire almindelige former:

Leverandør- eller fakturasvindel: en rigtig leverandørs e-mail bliver hacket eller kopieret med et domæne, der ligner, for at sende falske fakturaer eller "nye bankoplysninger".
CEO-svindel: en falsk direktør beder om en hastende, hemmelig overførsel eller gavekort.
Omdirigering af løn: en falsk medarbejder beder HR om at sende lønnen til en ny konto.
Falske advokater: en falsk advokat eller et falsk ejendomsselskab sender betalingsinstrukser til en handel eller et boligkøb.

I Storbritannien registrerede bankerne tab på 41,3 mio. pund til faktura- og mandatsvindel i 2025, fordelt på 2.305 sager, og yderligere 5,6 mio. pund til CEO-svindel.

Hvordan ser en e-mail med CEO-svindel ud?

Den ser helt almindelig ud, og det er netop pointen. BEC-mails indeholder sjældent malware eller links. De bygger på en troværdig historie, en deadline og en lille ændring. Her er typiske eksempler, frit gengivet:

Hej, vær opmærksom på, at vi har flyttet vores bankforbindelse til en ny bank. Opdaterede oplysninger er vedhæftet. Brug venligst disse til faktura nr. 4471 og alle fremtidige betalinger. Vores gamle konto er lukket.

Sidder du ved skrivebordet? Jeg har brug for, at du ordner en fortrolig betaling i forbindelse med et opkøb i dag. Tal ikke med nogen om det endnu. Jeg sidder i møder, så kun på mail.

Hej HR, jeg har skiftet bank. Kan I opdatere min lønkonto inden denne lønkørsel? Nye oplysninger nedenfor.

FBI påpeger, at AI nu gør disse mails mere overbevisende: chatværktøjer kan efterligne en direktørs skrivestil, og stemmekloning kan bakke en anmodning op over telefonen. Virksomheder anmeldte BEC-tab med AI involveret for over 30 mio. dollar i 2025.

Hvordan tjekker jeg afsenderen af en e-mail?

Tjek den faktiske adresse, tjek domænet, tjek resultaterne af godkendelsen, og bekræft derefter over telefonen på et nummer, du allerede havde. Gå trinene igennem i rækkefølge.

Vis hele adressen. Visningsnavnet ("Sarah Lee, Bogholderi") kan sige hvad som helst. Tryk eller hold musen over det for at se den rigtige adresse. På mobilen er det let at overse, og derfor råder FBI folk til at indstille deres e-mail til at vise fulde adresser.
Læs domænet bogstav for bogstav. Kig efter byttede eller ekstra tegn: "acme-corp.com" i stedet for "acmecorp.com", "rn" for "m", "l" for "i", ".co" i stedet for ".com" eller en gratis adresse som Gmail fra en virksomhed, der har sit eget domæne.
Tjek Svar til-adressen. Tryk på svar, og kig på "Til"-linjen, før du skriver. Skifter den til en anden adresse, er e-mailen lavet til at sende dit svar et andet sted hen.
Tjek resultaterne af godkendelsen (SPF, DKIM, DMARC), som forklares nedenfor.
Se på samtalehistorikken. Er det en ny tråd, der "fortsætter" en gammel? Har signaturen, telefonnummeret eller tonen ændret sig?
Ring og bekræft på et nummer fra dine egne optegnelser, aldrig et fra e-mailen. Det er det trin, der faktisk stopper tabet.

En ægte e-mail fra en hacket konto består alle tekniske tjek. Derfor er trin 6 ikke valgfrit ved betalinger eller ændringer af bankoplysninger.

Hvordan tjekker jeg SPF, DKIM og DMARC på en e-mail?

Åbn beskedens fulde detaljer eller headere, og kig efter ordene "pass" eller "fail" ved SPF, DKIM og DMARC. I Gmail åbner du e-mailen, klikker på menuen med de tre prikker og vælger "Vis original". I Outlook åbner du beskedens egenskaber eller "Vis kilde" og finder linjen "Authentication-Results".

Tjek	Hvad det betyder på almindeligt dansk	Hvad et "fail" tyder på
SPF	Serveren, der sendte den, har lov til at sende for det domæne	En andens server har sendt mail og udgivet sig for at være domænet
DKIM	E-mailen har en gyldig digital signatur fra domænet og er ikke ændret undervejs	Beskeden er ikke signeret af domænet, eller den er blevet ændret
DMARC	Domænet i "Fra"-linjen passer med det, der bestod SPF eller DKIM	Den synlige afsender er sandsynligvis forfalsket

Et "fail" på en betalingsmail er et stopskilt. Et "pass" beviser kun, at e-mailen kom fra det domæne. Det beviser ikke, at det er det rigtige domæne (et domæne, der ligner, kan bestå alle tre), eller at kontoen ikke er hacket. Brug tjekkene som et filter, ikke som en dom.

Hvordan tjekker jeg, hvem der ejer et domæne eller en e-mailadresse?

Slå domænets registreringsdato op, og tjek derefter personen bag adressen. Brug ICANN's gratis opslag i registreringsdata. Et leverandørdomæne, der er ti år gammelt, er normalt. Et domæne, der ligner, og som blev registreret i sidste uge, er svindel. Irlands NCSC anbefaler netop derfor at blokere eller markere mail fra nyregistrerede domæner.

Ved en ny kontakt, en ny leverandør eller et navn, du ikke kender, hjælper en erhvervssøgning hos Search A-Z. Skriv afsenderens fulde navn og land, vælg "Forretningskontakt", og tilføj e-mailadressen og virksomheden. Rapporten tjekker, om e-mailen er ægte og risikoen for svindel, og viser personens arbejds-e-mail, nuværende job og virksomhed, arbejdshistorik, offentlige professionelle profiler, virksomhedsregistrering (roller i britiske Companies House og det globale LEI-register), omtaler i nyheder og på nettet og eventuelle offentlige advarsler om svindel eller bedrageri. Hvis den "nye kundeansvarlige" ikke kan findes nogen steder hos leverandøren, har du dit svar. Personen får aldrig at vide, at du har søgt.

Hvad er en politik for at ringe tilbage?

En politik for at ringe tilbage er en skriftlig regel om, at enhver ny betaling, ændring af bankoplysninger eller hastende overførsel bekræftes ved, at du selv ringer op til et nummer, I allerede har registreret, før pengene flyttes. Det er det mest effektive værn mod BEC, men kun hvis det gøres ordentligt. JPMorgans vejledning om når tilbageopkald går galt nævner de typiske fejl: at stole på et indgående opkald, der "bekræfter" e-mailen, at bruge telefonnummeret i e-mailen eller på fakturaen og at tale med en, der ikke er den rigtige person.

En enkel politik, du kan kopiere:

Alle ændringer af en leverandørs eller medarbejders bankoplysninger bekræftes ved et udgående opkald til et nummer fra jeres leverandørkartotek, kontrakten eller leverandørens officielle hjemmeside, aldrig fra anmodningen.
Opkaldet går til en navngiven person, I har haft kontakt med før.
Anmodninger markeret som hastende eller fortrolige får flere tjek, ikke færre.
Betalinger over et fastsat beløb skal godkendes af to personer.
Nye bankoplysninger får en karensperiode (for eksempel 24 til 48 timer) før første betaling.
Medarbejderne får skriftligt at vide, at ingen, heller ikke direktøren, kommer i problemer for at udskyde en betaling for at tjekke den.

Et manuskript til opkaldet:

Hej, det er Alex fra bogholderiet hos Northfield. Vi har fået en e-mail om nye bankoplysninger til jeres fakturaer. Før vi ændrer noget, kan du så bekræfte, at du har sendt den, og læse de sidste fire cifre i det nye kontonummer op for mig?

Hvordan bør en virksomhed håndtere en anmodning om at ændre betalingsoplysninger?

Behandl enhver ændring af betalingsoplysninger som mistænkelig, indtil den er bekræftet ad en anden kanal, og dokumenter hvert trin. Denne fremgangsmåde virker for både små og store virksomheder:

Registrer anmodningen med dato, afsenderadresse og de ønskede oplysninger. Svar ikke på den endnu.
Ring til leverandøren på det nummer, der allerede står i jeres system, og bekræft med jeres faste kontakt.
Tjek navnet på den nye konto. I Storbritannien fortæller Confirmation of Payee, om navnet på kontoen passer. I euroområdet har Verification of Payee gjort det samme for overførsler i euro siden 9. oktober 2025. Et "intet match" eller "næsten match" er et advarselstegn.
Få en anden person til at godkende ændringen.
Send en lille testbetaling og bekræft over telefonen, at den er modtaget, før du sender hele beløbet.
Hold øje med opfølgninger. Pres for at springe et af trinene over er i sig selv et advarselstegn.

De samme regler beskytter dig som leverandør: fortæl dine kunder skriftligt, at du aldrig ændrer bankoplysninger alene via e-mail. For nye kunder gennemgår vores guide om at tjekke en ny kunde, før du går i gang, de bredere tjek.

Hvad gør jeg, hvis jeg har betalt en falsk faktura?

Ring straks til din bank og bed den kalde betalingen tilbage, og anmeld det derefter til FBI eller politiet i dit land samme dag. Tempo betyder mere end noget andet. Irlands NCSC advarer om, at de fleste penge ikke kan hentes tilbage, hvis det ikke bliver meldt inden for de første par timer.

Ring til bankens svindelafdeling nu. Bed om at få overførslen kaldt tilbage, og om at modtagerbanken indefryser pengene. Oplys beløb, dato, modtagerkonto og eventuel reference.
USA: anmeld på ic3.gov med alle detaljer om transaktionen, uanset beløbet. FBI's Recovery Asset Team bruger Financial Fraud Kill Chain til at arbejde sammen med bankerne om at indefryse pengene. I 2025 håndterede holdet 3.900 hændelser og indefrøs 679 mio. dollar, en succesrate på 58 %. Det kan følge overførsler videre i "andet led", hvis du oplyser dem, og samarbejder med FinCEN om internationale overførsler.
Storbritannien: anmeld til Report Fraud, som afløste Action Fraud i december 2025, på 0300 123 2040, eller Police Scotland på 101. Din bank starter også sin egen proces for at hente pengene tilbage.
Danmark: anmeld svindlen til politiet med MitID Erhverv (eller ring 114), og giv banken besked. Andre EU-lande: anmeld til det nationale politi og banken. I Irland vil NCSC også gerne have besked.
Sikr e-mailkontoen. Skift adgangskoder, slå totrinsbekræftelse til, og tjek for videresendelsesregler eller indbakkeregler, der skjuler svar. De er et almindeligt tegn på, at kontoen er overtaget.
Gem beviser. Gem e-mails med fulde headere, fakturaer, opkaldslister og transaktionsoplysninger. Slet ikke noget.
Advar den rigtige leverandør eller kunde. Deres konto, eller din, kan stadig være kompromitteret.

Hvis en "genindvindingstjeneste" kontakter dig og tilbyder at skaffe pengene tilbage mod et gebyr, er det endnu en svindel. Rigtig genindvinding går gennem banken og politiet.

Hvordan beskytter jeg min virksomhed mod e-mailsvindel?

Kombiner en stram betalingsproces med nogle få tekniske grundregler. FBI og Irlands NCSC anbefaler begge:

Totrinsbekræftelse på alle e-mailkonti.
SPF, DKIM og DMARC sat op på jeres egne domæner, så kriminelle ikke let kan udgive sig for at være jer over for jeres kunder.
E-mail, der viser fulde afsenderadresser og markerer eksterne afsendere.
Registrering af oplagte varianter af jeres eget domæne, eller overvågning af dem.
En bekræftet leverandørliste med kendte telefonkontakter.
Jævnlig træning af medarbejderne med rigtige eksempler som dem ovenfor.

BEC starter ofte med research på jeres team: hvem der godkender betalinger, hvem leverandørerne er, hvem der er ude at rejse. Vores guide til at afsløre falske LinkedIn-profiler forklarer, hvordan falske konti indsamler de oplysninger.

Kort sagt

Du kan ikke se forskel på en hacket e-mail og en ægte ved at kigge på den, så lad være med at prøve. Tjek adressen og domænet, brug SPF og DKIM som et første filter, og bekræft enhver ændring af betalingsoplysninger ved at ringe til et nummer, du allerede havde. Er pengene væk, så ring til banken og anmeld det inden for timer, ikke dage.

Ofte stillede spørgsmål

Hvad er business email compromise?

Business email compromise (BEC), også kaldt CEO-svindel eller fakturasvindel, er svindel, hvor kriminelle udgiver sig for at være en kontakt, du stoler på, via e-mail, for eksempel en leverandør, en direktør eller en advokat, for at narre dig til at sende penge eller ændre bankoplysninger. FBI modtog 24.768 anmeldelser om BEC med tab på 3,05 mia. dollar i 2025.

Hvordan kan jeg se, om en e-mail virkelig er fra den, der står som afsender?

Vis hele afsenderadressen, tjek domænet bogstav for bogstav, se hvor svar bliver sendt hen, og kig efter "pass" ved SPF, DKIM og DMARC i beskedens detaljer. Ved alt, der handler om penge, bekræfter du ved at ringe til personen på et nummer, du allerede havde.

Kan en ægte e-mailadresse bruges til svindel?

Ja. Hvis en leverandørs eller kollegas konto bliver hacket, kommer svindelmails fra deres rigtige adresse og består alle tekniske tjek. Derfor skal ændringer af betalingsoplysninger altid bekræftes over telefonen, på et nummer fra dine egne optegnelser.

Hvad betyder DMARC fail?

Det betyder, at domænet i Fra-linjen ikke passer med et domæne, der bestod SPF- eller DKIM-tjekket. På en e-mail om betaling eller ændrede bankoplysninger er et DMARC fail et stærkt tegn på, at afsenderen er forfalsket.

Kan jeg få mine penge tilbage efter at have betalt en falsk faktura?

Nogle gange, hvis du handler hurtigt. Ring straks til banken og bed om at få betalingen kaldt tilbage, og anmeld det på ic3.gov i USA, til Report Fraud i Storbritannien eller til politiet i Danmark. FBI's Recovery Asset Team indefrøs 679 mio. dollar for ofre i 2025, men chancerne falder kraftigt efter de første par timer.

Hvad er FBI's Financial Fraud Kill Chain?

Det er den proces, FBI's Recovery Asset Team bruger til at arbejde sammen med bankerne om at indefryse svigagtige overførsler, også internationale overførsler via FinCEN. Du sætter den i gang ved hurtigt at anmelde på ic3.gov med alle detaljer om transaktionen og ved at bede din bank om at kalde betalingen tilbage.

Hvad er et domæne, der ligner (lookalike-domæne)?

Et web- eller e-maildomæne, der er lavet til at ligne et rigtigt, for eksempel acme-corp.com i stedet for acmecorp.com, eller hvor et bogstav er byttet ud med et, der ligner. Tjek registreringsdatoen med ICANN's opslag: et lookalike-domæne er som regel kun dage eller uger gammelt.

Kilder

Tallene er de nyeste, som hver kilde havde offentliggjort, da guiden blev opdateret. Anmeldte tab til svindel er et minimum: det meste svindel bliver aldrig anmeldt.

CEO-svindel og business email compromise: sådan tjekker du en afsender, før du betaler