BEC og fakturasvindel: slik sjekker du e-postavsenderen før du betaler

Kort svar

BEC-svindel (business email compromise) er svindel der kriminelle sender e-poster som ser ut til å komme fra sjefen din, en leverandør eller en advokat, og ber deg betale eller endre kontonummer. For å sjekke avsenderen leser du den ekte adressen og domenet bokstav for bokstav, ser etter «pass» for SPF, DKIM og DMARC i meldingsdetaljene, og handler aldri på en betalingsforespørsel før du har ringt personen på et nummer du allerede hadde. Har du betalt, ring banken og meld det med en gang.

Viktige tall

• 3,05 milliarder dollartapt på BEC-svindel meldt til FBI i 2025, fordelt på 24 768 klagerFBI IC3 2025 Internet Crime Report
• 679 millioner dollarfrosset for ofre av FBIs Recovery Asset Team i 2025, en suksessrate på 58 % av 1,16 milliarder dollar som ble meldtFBI IC3 2025 Internet Crime Report
• 41,3 millioner pundtapt på faktura- og kontosvindel i Storbritannia i 2025, fordelt på 2 305 sakerUK Finance Annual Fraud Report 2026
• 55,5 milliarder dollari eksponerte BEC-tap på verdensbasis fra oktober 2013 til desember 2023, fordelt på 305 033 hendelserFBI IC3 PSA, september 2024

Det kommer en e-post fra en leverandør du betaler hver måned. De har byttet bank, og neste faktura skal betales til den nye kontoen. Eller daglig leder skriver fra en flyplass: en hastebetaling som er konfidensiell, må gå ut før dagen er omme. Navnet stemmer, tonen stemmer, og logoen stemmer. Spørsmålet er om personen du tror sendte den, faktisk gjorde det.

Dette er BEC-svindel (business email compromise), ofte kalt fakturasvindel eller direktørsvindel, og det er en av de dyreste forbrytelsene FBI følger. Bedrifter og privatpersoner meldte at de hadde tapt 3,05 milliarder dollar på BEC i 2025, fordelt på 24 768 klager til FBIs Internet Crime Complaint Center. Løsningen er enkel, men streng: noen få sjekker av e-posten og en regel om å ringe tilbake som ingen hopper over.

Hva er BEC-svindel?

BEC-svindel er svindel der kriminelle utgir seg for å være noen du stoler på, for eksempel en leverandør, en leder, en ansatt eller en advokat, for å få deg til å sende penger eller sensitive opplysninger. FBI beskriver det som angrep på personer og bedrifter som jevnlig gjør bankoverføringer, med kaprede eller forfalskede e-postkontoer og i økende grad også telefonnumre og apper for videomøter. Irlands National Cyber Security Centre lister opp fire vanlige former:

• Leverandør- eller fakturasvindel: e-posten til en ekte leverandør blir hacket, eller kopiert med et domene som ligner, for å sende falske fakturaer eller «nye kontoopplysninger».
• Direktørsvindel (CEO fraud): en falsk leder ber om en hastig, hemmelig overføring eller gavekort.
• Omdirigering av lønn: en falsk ansatt ber HR sende lønnen til en ny konto.
• Falske advokater: en falsk advokat eller et falskt oppgjørsfirma sender betalingsinstrukser for en avtale eller et boligkjøp.

I Storbritannia registrerte bankene 41,3 millioner pund tapt på faktura- og kontosvindel i 2025, fordelt på 2 305 saker, og ytterligere 5,6 millioner pund på direktørsvindel.

Hvordan ser en e-post med BEC-svindel ut?

Den ser helt vanlig ut, og det er hele poenget. BEC-e-poster inneholder sjelden skadevare eller lenker. De bygger på en troverdig historie, en frist og en liten endring. Disse er typiske, gjengitt fritt:

Hei, vi har flyttet bankforbindelsen vår til en ny bank. Oppdaterte opplysninger ligger vedlagt. Vennligst bruk disse for faktura nr. 4471 og alle fremtidige betalinger. Den gamle kontoen vår er avsluttet.

Sitter du ved pulten? Jeg trenger at du ordner en konfidensiell betaling i forbindelse med et oppkjøp i dag. Ikke snakk med noen om dette ennå. Jeg sitter i møter, så bare e-post.

Hei HR, jeg har byttet bank. Kan dere oppdatere lønnskontoen min før neste lønnskjøring? Nye opplysninger under.

FBI påpeker at KI nå gjør disse e-postene mer polerte: chatteverktøy kan etterligne skrivestilen til en leder, og stemmekloning kan bekrefte en forespørsel på telefon. Bedrifter meldte om mer enn 30 millioner dollar i BEC-tap der KI var involvert i 2025.

Hvordan sjekker jeg avsenderen av en e-post?

Sjekk den faktiske adressen, sjekk domenet, sjekk autentiseringsresultatene, og bekreft deretter på telefon med et nummer du allerede hadde. Gå gjennom stegene i rekkefølge.

1. Vis hele adressen. Visningsnavnet («Sarah Lee, Regnskap») kan si hva som helst. Trykk eller hold musepekeren over det for å se den ekte adressen. På mobil er dette steget lett å overse, og derfor ber FBI folk stille inn e-posten til å vise hele adresser.
2. Les domenet bokstav for bokstav. Se etter byttede eller ekstra tegn: «acme-corp.com» mot «acmecorp.com», «rn» for «m», «l» for «i», «.co» i stedet for «.com», eller en gratisadresse som Gmail for et selskap som har eget domene.
3. Sjekk svaradressen (Reply-To). Trykk på svar og se på «Til»-linjen før du skriver. Hvis den endres til en annen adresse, er e-posten laget for å sende svaret ditt et annet sted.
4. Sjekk autentiseringsresultatene (SPF, DKIM, DMARC), som forklares under.
5. Se på samtalehistorikken. Er dette en ny tråd som «fortsetter» en gammel? Har signaturen, telefonnummeret eller tonen endret seg?
6. Ring for å bekrefte på et nummer fra dine egne registre, aldri et nummer fra e-posten. Det er dette steget som faktisk stopper tapet.

En ekte e-post fra en hacket konto består alle tekniske sjekker. Derfor er steg 6 ikke valgfritt ved betalinger eller endring av kontonummer.

Hvordan sjekker jeg SPF, DKIM og DMARC på en e-post?

Åpne alle detaljene eller hodet (headers) til meldingen og se etter ordene «pass» eller «fail» ved siden av SPF, DKIM og DMARC. I Gmail åpner du e-posten, klikker på menyen med tre prikker og velger «Vis original». I Outlook åpner du egenskapene til meldingen eller «Vis meldingskilde» og ser etter linjen «Authentication-Results».

En «fail» på en betalings-e-post er et stoppskilt. En «pass» beviser bare at e-posten kom fra det domenet. Den beviser ikke at domenet er det riktige (et domene som ligner, kan bestå alle tre), eller at kontoen ikke er hacket. Bruk disse sjekkene som et filter, ikke som en dom.

Hvordan sjekker jeg hvem som eier et domene eller en e-postadresse?

Slå opp når domenet ble registrert, og sjekk deretter personen bak adressen. Bruk ICANNs gratis oppslag i registreringsdata. Et leverandørdomene som er ti år gammelt, er normalt. Et domene som ligner og ble registrert forrige uke, er svindel. Irlands NCSC anbefaler å blokkere eller flagge e-post fra nyregistrerte domener av akkurat denne grunnen.

For en ny kontakt, en ny leverandør eller et navn du ikke kjenner igjen, hjelper et jobbsøk hos Search A-Z. Skriv inn avsenderens fulle navn og land, velg «Forretningskontakt», og legg til e-postadressen og selskapet. Rapporten sjekker om e-postadressen er ekte og hvor stor svindelrisikoen er, og viser personens jobb-e-post, nåværende stilling og firma, arbeidshistorikk, offentlige yrkesprofiler, selskapsregistrering (roller i britiske Companies House og det globale LEI-registeret), nyheter og omtaler på nettet, og eventuelle offentlige varsler om svindel. Hvis den «nye kundeansvarlige» ikke har noen spor hos leverandøren, har du svaret ditt. Personen får aldri vite at du har søkt.

Hva er en rutine for å ringe tilbake?

En rutine for å ringe tilbake er en skriftlig regel om at enhver ny betaling, endring av kontonummer eller hastig overføring bekreftes med en utgående telefonsamtale til et nummer dere allerede har registrert, før pengene går. Det er det mest effektive tiltaket mot BEC, men bare hvis det gjøres riktig. JPMorgans veiledning om når tilbakeringinger slår feil lister opp de vanlige feilene: å stole på en innkommende samtale som «bekrefter» e-posten, å bruke telefonnummeret som står i e-posten eller på fakturaen, og å snakke med noen som ikke er rett person.

En enkel rutine du kan kopiere:

• Enhver endring av kontonummeret til en leverandør eller ansatt bekreftes med en utgående samtale til et nummer fra leverandørregisteret, kontrakten eller leverandørens offisielle nettside, aldri fra forespørselen.
• Samtalen går til en navngitt person dere har hatt kontakt med før.
• Forespørsler merket som haster eller konfidensielle får flere sjekker, ikke færre.
• Betalinger over et fast beløp må godkjennes av to personer.
• Nye kontoopplysninger holdes i en karenstid (for eksempel 24 til 48 timer) før første betaling.
• De ansatte får skriftlig beskjed om at ingen, heller ikke daglig leder, får problemer for å utsette en betaling for å sjekke den.

Et manus til samtalen:

Hei, dette er Alex fra regnskap i Northfield. Vi har fått en e-post om nytt kontonummer for fakturaene deres. Før vi endrer noe, kan du bekrefte at det var dere som sendte den, og lese opp de fire siste sifrene i det nye kontonummeret?

Hvordan bør en bedrift håndtere en forespørsel om å endre betalingsopplysninger?

Behandle hver endring av betalingsopplysninger som mistenkelig til den er bekreftet via en annen kanal, og dokumenter hvert steg. Denne framgangsmåten fungerer for små og store bedrifter:

1. Loggfør forespørselen med dato, avsenderadresse og opplysningene det bes om. Ikke svar på den ennå.
2. Ring leverandøren på nummeret som allerede ligger i systemet, og bekreft med den vanlige kontaktpersonen.
3. Sjekk navnet på den nye kontoen. I Storbritannia forteller Confirmation of Payee deg om navnet på kontoen stemmer. I eurosonen har Verification of Payee gjort det samme for overføringer i euro siden 9. oktober 2025. «Ingen treff» eller «nesten treff» er et varseltegn.
4. Få en annen person til å godkjenne endringen.
5. Send en liten testbetaling og bekreft på telefon at den kom fram, før hele beløpet.
6. Følg med på oppfølgingen. Press om å hoppe over noen av disse stegene er i seg selv et varseltegn.

De samme reglene beskytter deg som leverandør: si skriftlig til kundene dine at du aldri endrer kontonummer bare via e-post. For nye kunder går guiden vår om hvordan du sjekker en ny kunde før du begynner gjennom de bredere sjekkene.

Hva gjør jeg hvis jeg har betalt en falsk faktura?

Ring banken med en gang og be dem kalle tilbake betalingen, og meld det deretter til FBI eller politiet i ditt land samme dag. Tempo betyr mer enn noe annet. Irlands NCSC advarer om at det meste av pengene ikke kan hentes tilbake hvis det ikke blir flagget i løpet av de første timene.

1. Ring svindelavdelingen i banken nå. Be om tilbakekalling av overføringen og om at mottakerbanken fryser pengene. Oppgi beløp, dato, mottakerkonto og eventuell referanse.
2. USA: meld det på ic3.gov med alle transaksjonsdetaljer, uansett beløp. FBIs Recovery Asset Team bruker Financial Fraud Kill Chain til å samarbeide med banker om å fryse pengene. I 2025 håndterte teamet 3 900 hendelser og frøs 679 millioner dollar, en suksessrate på 58 %. Teamet kan følge overføringer videre i «andre ledd» hvis du oppgir dem, og samarbeider med FinCEN om internasjonale overføringer.
3. Storbritannia: meld det til Report Fraud, som erstattet Action Fraud i desember 2025, på 0300 123 2040, eller til Police Scotland på 101. Banken din starter også sin egen prosess for å hente pengene tilbake.
4. Norge: anmeld bedrageriet til politiet, digitalt eller på et tjenestested, og varsle banken. Andre EU-land: meld det til det nasjonale politiet og banken. I Irland vil også NCSC ha beskjed.
5. Sikre e-postkontoen. Bytt passord, slå på tofaktorautentisering, og se etter videresendingsregler eller innboksregler som skjuler svar. Det er et vanlig tegn på at kontoen er tatt over.
6. Ta vare på bevis. Lagre e-postene med fullstendige meldingshoder, fakturaer, samtalelogger og transaksjonsoversikter. Ikke slett noe.
7. Advar den ekte leverandøren eller kunden. Kontoen deres, eller din, kan fortsatt være kompromittert.

Hvis en «gjenopprettingstjeneste» kontakter deg og tilbyr å skaffe pengene tilbake mot et gebyr, er det enda en svindel. Ekte gjenoppretting går gjennom banken og politiet.

Hvordan beskytter jeg bedriften mot e-postsvindel?

Kombiner en streng betalingsprosess med noen tekniske grunnregler. Både FBI og Irlands NCSC anbefaler:

• Tofaktorautentisering på alle e-postkontoer.
• SPF, DKIM og DMARC satt opp på deres egne domener, slik at kriminelle ikke enkelt kan utgi seg for å være dere overfor kundene deres.
• E-post som viser hele avsenderadresser og merker eksterne avsendere.
• Registrering av åpenbare varianter av deres eget domene, eller overvåking av dem.
• En bekreftet leverandørliste med kjente telefonkontakter.
• Jevnlig opplæring av ansatte med ekte eksempler som dem over.

BEC starter ofte med research på teamet ditt: hvem som godkjenner betalinger, hvem leverandørene er, hvem som er på reise. Guiden vår om hvordan du avslører falske LinkedIn-profiler forklarer hvordan falske kontoer samler inn den informasjonen.

Kort oppsummert

Du kan ikke se forskjell på en hacket e-post og en ekte ved å se på den, så ikke prøv. Sjekk adressen og domenet, bruk SPF og DKIM som et første filter, og bekreft hver endring av betalingsopplysninger ved å ringe et nummer du allerede hadde. Har pengene gått, ring banken og meld det i løpet av timer, ikke dager.

Ofte stilte spørsmål

Hva er BEC-svindel?

BEC-svindel (business email compromise) er svindel der kriminelle utgir seg for å være en kontakt du stoler på, for eksempel en leverandør, en leder eller en advokat, for å lure deg til å sende penger eller endre kontonummer. FBI mottok 24 768 klager om BEC med tap på 3,05 milliarder dollar i 2025.

Hvordan ser jeg om en e-post virkelig er fra den den sier?

Vis hele avsenderadressen, sjekk domenet bokstav for bokstav, se hvor svarene går, og se etter «pass» for SPF, DKIM og DMARC i meldingsdetaljene. Gjelder det penger, bekreft ved å ringe personen på et nummer du allerede hadde.

Kan en ekte e-postadresse brukes i svindel?

Ja. Hvis kontoen til en leverandør eller kollega blir hacket, kommer svindel-e-postene fra den ekte adressen og består alle tekniske sjekker. Derfor må endringer i betalingsopplysninger alltid bekreftes på telefon, med et nummer fra dine egne registre.

Hva betyr DMARC fail?

Det betyr at domenet i «Fra»-linjen ikke stemmer med et domene som besto SPF- eller DKIM-sjekken. På en e-post om betaling eller endret kontonummer bør du se på DMARC fail som et sterkt tegn på at avsenderen er forfalsket.

Kan jeg få pengene tilbake etter å ha betalt en falsk faktura?

Noen ganger, hvis du handler raskt. Ring banken og be om tilbakekalling med en gang, og meld det på ic3.gov i USA, til Report Fraud i Storbritannia eller til politiet i Norge. FBIs Recovery Asset Team frøs 679 millioner dollar for ofre i 2025, men sjansene synker kraftig etter de første timene.

Hva er FBIs Financial Fraud Kill Chain?

Det er prosessen FBIs Recovery Asset Team bruker for å samarbeide med banker om å fryse svindeloverføringer, også internasjonale overføringer via FinCEN. Du setter den i gang ved å melde raskt på ic3.gov med alle transaksjonsdetaljer og be banken om tilbakekalling.

Hva er et domene som ligner (lookalike domain)?

Et nett- eller e-postdomene som er laget for å ligne et ekte, for eksempel acme-corp.com i stedet for acmecorp.com, eller der en bokstav er byttet ut med en lignende. Sjekk registreringsdatoen i ICANNs oppslag: et slikt domene er som regel bare dager eller uker gammelt.

Kilder

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, svindelen til 55 milliarder dollar (september 2024)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Irland): veiledning om BEC-svindel (juli 2025)
5. J.P. Morgan: når tilbakeringinger slår feil
6. City of London Police: tjenesten Report Fraud er i drift (desember 2025)
7. ICANN: oppslag i registreringsdata (RDAP)
8. Mason Hayes & Curran: EUs forordning om straksbetalinger og Verification of Payee

Tallene er de nyeste hver kilde hadde publisert da denne guiden ble oppdatert. Rapporterte svindeltap er et minimum: det meste av svindel blir aldri meldt.