AI-phishing
Når stemmen eller mailen lyder rigtigt, er det ikke længere bevis, og bogholderiet skal have faste regler.
Indhold
AI-phishing er svindel hvor AI bruges til at skrive fejlfri, personlige phishing-mails i stor skala, klone en chefs stemme til et opkald om en hasteoverførsel, eller lave deepfake-videoer til onlinemøder. De klassiske advarselstegn som dårligt dansk og generiske formuleringer forsvinder, så angrebet kan virke overbevisende både for ledere og for bogholderiet.
'Det lød præcis som dig' er ikke bevis, når det gælder AI-phishing
Når en kollega eller chef ringer og lyder overbevisende, kan det stadig være en svindel. AI-phishing bruger stemmekloning og deepfake-video til at give indtryk af autenticitet. For ledere betyder det, at verbale instrukser om pengeoverførsler, ændringer af kontonumre eller hastebetalinger aldrig må stå alene som godkendelse. Bogholderiet skal have faste regler: to-personers-godkendelse på betalinger over et fast beløb, et skriftligt bevis for ændringer og et aftalt kontrolspørgsmål i forvejen.
Sådan virker AI-phishing i praksis
Angrebet starter ofte med dataindsamling: offentlig information, LinkedIn-opslag, eller tidligere e-mails. En AI skriver herefter en målrettet mail med korrekt stil og personlige detaljer, eller den laver en stemmekopi fra et kort lydklip til et opkald. Det kan være en falsk leverandørmail, en faktura med ændret betalingsinformation eller en besked fra direktøren om en hasteoverførsel. Fordi teksten eller stemmen virker fejlfri, bliver tillidssystemer, "det føles rigtigt", svage. Modsvaret er enkel kontrol: bekræft altid betalinger via en anden kanal, brug MFA til alle finanssystemer, og indfør to-personers-godkendelse for økonomiske dispositioner.
Eksempel: AI-phishing hos en dansk virksomhed
Ejerlederen i en mindre produktionsvirksomhed modtog en mail fra hvad der så ud til at være deres faste råvareleverandør med anmodning om ændring af bankkonto. Det var mandag morgen, og produktionslederen stressede over at få betalinger afsted til ugens ordrer. Bogholderiet ringede til nummeret i mailen, og en stemme, der lød som leverandørens ejer, bekræftede ændringen og bad om hurtig overførsel. Bogholderiet fulgte proceduren, troede de, og oprettede betalingen. Først dagen efter, da leverandøren sendte en opfølgende mail, blev det tydeligt at noget var galt: kontoen var ikke leverandørens. Undersøgelsen viste, at angriberne havde brugt et par korte lydklip fra leverandørens telefoninterview og AI-stemmekloning til at gennemføre svindlen. Løsningen kostede tid: to dage til opklaring, en række opkald og ændringer i procedurerne. Læringen var klar: fast regel for skriftlig bekræftelse fra en kendt e-mailadresse, to-personers-godkendelse ved kontoændringer, og uddannelse af bogholderiet i at bruge kontrolspørgsmål.
Hvad du skal være opmærksom på
AI-phishing fjerner de gamle signaler; dårligt sprog og generiske hilsner er ikke længere sikre indikatorer. Vær særligt opmærksom på ændringer i betalingsoplysninger, hasteanmodninger og beskeder der forsøger at skabe pres. Indfør tekniske barrierer som multifaktor-autentifikation (MFA) og begræns, hvem der kan ændre leverandøres kontooplysninger i jeres system. Træning må gentages regelmæssigt: gennemgå konkrete scenarier med bogholderiet og ledelsen, så alle kender procedurerne for verifikation. For spørgsmål om behandling af personoplysninger ved brug af stemmekopiering eller biometrisk data, tjek Datatilsynet.
Sådan kommer I i gang med at forebygge AI-phishing
- Aftal et kontrolspørgsmål eller kodeord for alle økonomiske ændringer, og skriv det ind i procedurerne.
- Indfør to-personers-godkendelse for overførsler over et forudbestemt beløb.
- Slå MFA til på e-mail, bank og økonomisystemer.
- Træn bogholderiet og ledelsen på konkrete eksempler mindst hver sjette måned.
- Test jeres procedurer med et planlagt 'phishing-simulering', og juster efter svaghederne.
AI-phishing er effektivt, men det er ikke en trylleformular. Med klare regler, gentagen træning og tekniske barrierer kan I gøre det svært nok for svindlere til, at de vælger andre mål. Men ikke hvis du er lidt smart.
Skal I beslutte, hvor meget AI-phishing må fylde hos jer, er det den slags valg, AI-rådgivning handler om. Vil I arbejde videre med AI-phishing på jeres egne opgaver, er det dét, en AI-workshop går ud på.
Ofte stillede spørgsmål om AI-phishing
Er AI-phishing det samme som almindelig phishing?
Nej. AI-phishing bruger kunstig intelligens til at lave mere målrettede, overbevisende og fejlfri mails, stemmekopier eller deepfake-videoer, så de klassiske advarsler ofte mangler.
Hvordan kan bogholderiet sikre betalinger mod AI-phishing?
Brug to-personers-godkendelse for større betalinger, indfør faste kontrolspørgsmål ved kontoændringer, og kræv skriftlig bekræftelse fra en kendt e-mailadresse eller kanal, før I overfører.
Kan stemmekloning bruges i CEO-fraud eller direktørsvindel?
Ja. Stemmekloning kan bruges til at efterligne en chefs stemme i et opkald, hvilket øger troværdigheden i CEO-fraud. Behandl telefoninstrukser med samme skepsis som mails.
Hvad koster det at beskytte sig mod AI svindel i en lille virksomhed?
Tiltag som MFA, klare betalingsprocedurer og regelmæssig træning koster primært tid og lidt administrationsarbejde. De fleste foranstaltninger kan implementeres uden større teknisk investering.
AI-rådgiver og underviser, grundlægger af AI Hero i Herning. Har bygget digitalt i over 20 år og hjælper danske virksomheder med at få AI i drift. Læs mere om Brian.