Den 27-årige ekonomiassistenten satt i videomöte med sin VD, sin ekonomichef och två andra kollegor. Alla ville verifiera transaktionen på 250 miljoner kronor. Ingen av dem var verklig.
Fallet från Hongkong har blivit den mest kända varningen om AI-drivna bedrägerier mot företag. Alla i mötet var deepfakes, byggda av bedragare som samlat på sig offentligt bild och ljud av företagets ledning. Assistenten godkände överföringen. Pengarna var borta innan bolaget insåg vad som hade hänt.
Nu kommer samma teknik till svenska företag.
Nästan tvåtusenhundra procent fler försök
Enligt cybersäkerhetsföretaget Signicat har antalet deepfake-bedrägerier mot finanssektorn ökat med över 2100 procent på tre år. Svenska banker och företag är inget undantag. Sparbanken Bergslagen och Swedbank rapporterar båda att röstkloning nu används mot svenska bolag.
I flera fall har uppringda medarbetare hört sin VD:s röst med det de själva beskriver som hundra procents säkerhet. Sedan har de överfört pengar. Först i efterhand har de förstått att samtalet var artificiellt.
Det mest oroande är hur lite material bedragarna behöver. En podcastintervju, ett LinkedIn-inlägg med video, eller en föreläsning på YouTube räcker för att träna en modell som kan säga i princip vad som helst med rätt röstläge, andning och tonfall.
Så går angreppet till
Bedragaren börjar med research. Han eller hon letar upp vem som är VD och vem som är ekonomichef på företagets webbsida, LinkedIn eller i pressmeddelanden. Sedan samlas röstprover från intervjuer, poddar och konferensfilmer.
Nästa steg är att välja rätt tidpunkt. Fredagseftermiddag när huvudkontoret är tunt. Slutet av kvartalet när ekonomiavdelningen jagar bokslut. Eller mitt i semestern när ordinarie beslutsfattare är svåra att nå.
Samtalet kommer ofta som ett röstmeddelande eller ett kort telefonsamtal med bråttom. ”Jag är på flyget, du måste godkänna den här överföringen nu, jag mailar detaljerna.” Rösten matchar. Ärendet låter rimligt. Beloppen delas ofta upp i flera mindre transaktioner för att inte trigga bankens varningssystem.
Vad småföretag kan göra i praktiken
Motringning är fortfarande den enskilt viktigaste åtgärden. Även när du är säker på att det är chefen. Använd numret ni har lagrat internt, inte det som visas på skärmen.
Skapa en kodfras. En enkel fråga som bara medarbetaren och ledningen känner till, gärna kopplad till något som inte finns på företagets webb. Om personen inte kan svara är samtalet falskt.
Sätt takgränser för snabbtransaktioner. Bygg in en obligatorisk andra godkännare för allt över ett visst belopp. Det räddar dig även om första försvaret brister.
Nästa våg blir svårare att upptäcka
Bankerna har börjat rulla ut ljudverifiering och beteendeanalys, men bedragarna ligger steget före. Vissa modeller kan nu simulera realistisk andning, pauser och till och med hosta. Videobedrägerier med rörliga läppar och blinkningar väntas bli standard under nästa år.
Det är inte längre en fråga om ditt företag kommer att utsättas för ett försök. Frågan är om ni märker det när det händer.
