Om en leverantör mejlar och ber er betala till ett nytt bankkonto ska ni utgå från att det kan vara ett bedrägeri tills ni har bekräftat ändringen via en annan kanal än e-post. Ring leverantören på ett nummer ni redan har sparat, aldrig på numret i mejlet. Den här kontrollen stoppar de flesta försök, oavsett hur äkta mejlet ser ut.
Vad är ett kapat leverantörskonto?
Vid ett kapat leverantörskonto (på engelska ofta vendor email compromise) har angriparen tagit sig in i en riktig e-postlåda hos en av era leverantörer, ofta via nätfiske eller ett läckt lösenord. Därifrån läser angriparen pågående konversationer, ser vilka fakturor som är på väg och väntar på rätt läge.
Sedan kommer ett mejl som ser helt normalt ut: samma avsändaradress, samma signatur, samma ton som tidigare, gärna som ett svar i en befintlig tråd. Budskapet är enkelt: "Vi har bytt bank, vänligen använd det nya kontonumret för kommande betalningar." Ibland bifogas en uppdaterad faktura där bara bankgirot eller IBAN skiljer sig.
Det skiljer sig från klassiska bluffakturor, där ett okänt företag skickar en faktura för något ni aldrig beställt. Här är det en verklig affärsrelation, en verklig faktura och en verklig avsändare. Det enda som är falskt är mottagarkontot.
Varför är det så svårt att upptäcka?
Mejlet kommer från rätt adress
Eftersom angriparen använder leverantörens egen e-postlåda passerar mejlet kontroller som SPF, DKIM och DMARC. De kontrollerna verifierar att mejlet kommer från rätt domän, och det gör det ju.
Det finns inget skadligt att hitta
Traditionella e-postfilter letar efter kända hot: skadliga bilagor, länkar till falska inloggningssidor och avsändare med dåligt rykte. Ett mejl som bara innehåller vanlig text och en begäran om nytt kontonummer har inget av det. För ett regelbaserat filter ser det ut som vilket affärsmejl som helst.
Angriparen känner sammanhanget
Den som har läst er mejlväxling i några veckor vet vem som brukar attestera, vilka belopp som är normala och när betalningarna går. Med AI-verktyg blir det dessutom enklare att skriva felfri svenska i leverantörens stil. De gamla varningstecknen, som stavfel och konstiga formuleringar, går inte längre att lita på.
Hur stort är problemet?
Bedrägerier via företagsmejl, där kapade leverantörskonton ingår, hör till de mest kostsamma formerna av it-brottslighet. FBI:s årliga rapport om internetbrottslighet för 2025 redovisar förluster på nästan 3,05 miljarder dollar enbart för den kategorin, enligt CyberScoop. Siffrorna gäller anmälda fall i USA, men metoden är densamma i Sverige, och den riktar sig mot alla bolag som betalar leverantörsfakturor.
För verksamheter som omfattas av NIS2 och den svenska cybersäkerhetslagen finns ett extra skäl att ta det på allvar. Säkerheten i leverantörskedjan är ett uttalat krav, och en kapad leverantör är ett tydligt exempel på hur en svaghet hos någon annan blir er risk.
Vad kan ni göra själva?
De viktigaste åtgärderna handlar om rutiner, inte om teknik:
- Bekräfta alltid kontoändringar via telefon. Ring en kontaktperson på ett nummer ni har sedan tidigare, till exempel från avtalet eller leverantörsregistret. Använd aldrig kontaktuppgifter från mejlet som begär ändringen.
- Kräv två personer för ändringar i leverantörsregistret. Den som lägger in ett nytt kontonummer ska inte vara samma person som godkänner det.
- Inför en karenstid. Låt nya kontouppgifter gälla först efter en viss tid eller efter en kontrollerad testbetalning, särskilt för stora belopp.
- Var extra uppmärksam på brådska. "Betalningen måste gå i dag", "vi har problem med banken" och "ring inte, jag sitter i möte" är klassiska påtryckningar.
- Jämför mot tidigare fakturor. Har bankgiro, IBAN eller betalningsmottagarens namn ändrats? Stämmer mottagarbanken med leverantörens land?
- Utbilda ekonomi- och lönefunktionen, inte bara IT. Det är de som får mejlen och fattar besluten. Samma metod används mot lönehantering, där en "anställd" ber om att lönen ska gå till ett nytt konto.
- Ha en tydlig väg för att larma. Den som misstänker något ska veta vem den ska kontakta, och ingen ska riskera kritik för att ha stoppat en betalning i onödan.
- Kontakta banken direkt om pengar har gått iväg. Ju snabbare banken får veta, desto större chans att stoppa överföringen. Polisanmäl också.
Vilken roll spelar tekniken?
Rutinerna är grunden, men de bygger på att en människa reagerar på rätt mejl vid rätt tillfälle. Det är där tekniken kan hjälpa till.
Eftersom mejlen saknar tekniska hotindikatorer behöver skyddet titta på beteende i stället: skriver den här leverantören normalt om bankuppgifter? Har tonen eller tidpunkten för mejlen ändrats? Loggar någon in i leverantörens konto från ett ovanligt ställe? Beteendebaserade e-postskydd, till exempel Abnormal, bygger upp en bild av vad som är normal kommunikation mellan er och era kontakter och flaggar avvikelser, även när mejlet i övrigt ser helt legitimt ut.
Vi på HEY CYBR ser ofta att bolag har ett bra grundskydd mot skräppost och skadlig kod, men att just den här typen av textbaserade mejl går rakt igenom. Det är ett skäl att då och då se över vad det befintliga skyddet faktiskt fångar.
Det egna kontot behöver också skyddas. Använd phishing-resistent flerfaktorsautentisering där det går och håll koll på regler för vidarebefordran i e-postlådorna, eftersom angripare ofta skapar dolda regler för att följa konversationer utan att synas.
Vanliga frågor
Hur vet jag om ett mejl om nytt bankkonto är äkta?
Det går inte att avgöra enbart utifrån mejlet. Ring leverantören på ett nummer ni redan har och bekräfta ändringen muntligt innan ni uppdaterar några uppgifter.
Skyddar DMARC mot kapade leverantörskonton?
Nej. DMARC skyddar mot att någon förfalskar er eller leverantörens domän. När angriparen skickar från leverantörens riktiga e-postlåda passerar mejlet DMARC-kontrollen.
Vad är skillnaden mellan VD-bedrägeri och kapat leverantörskonto?
Vid VD-bedrägeri utger sig angriparen för att vara någon i den egna ledningen och ber om en brådskande betalning. Vid ett kapat leverantörskonto används en riktig leverantörs e-post för att styra om betalningar för verkliga fakturor.
Vad gör vi om vi redan har betalat till fel konto?
Kontakta er bank omedelbart och be dem försöka stoppa eller återkalla betalningen. Polisanmäl, informera leverantören och se över om fler betalningar har gått till samma konto.
Är det IT:s eller ekonomiavdelningens ansvar?
Båda. IT ansvarar för det tekniska skyddet och för att upptäcka kapade konton, ekonomi för rutinerna kring betalningar och kontoändringar. Skyddet fungerar bäst när de två hänger ihop.