VD-bedrägeri med AI: så känner du igen och stoppar det

Ett VD-bedrägeri med AI är samma gamla trick med bättre verktyg: någon låtsas vara din chef, kund eller leverantör och kräver en snabb betalning eller nya bankuppgifter. Mejlet kan vara felfritt på svenska, och rösten i telefonen kan vara efterbildad. Skyddet är detsamma som förut: ring upp på ett nummer du själv har, och betala inget avvikande på en enda persons ord.

Guiden är för dig som driver ett litet företag och själv godkänner betalningar. Du får de mönster som Polisen och bankerna varnar för, en återuppringningsregel i nio steg och en lista på vad du gör om det redan gått fel. Räkna med en timme. Allt gäller i skrivande stund, oktober 2026, och är inte säkerhetsrådgivning.

Det här behöver du

Inloggning till din mejl, e-bank och ditt bokföringsprogram, så att du kan slå på tvåstegsverifiering.
Telefonnummer till leverantörer, bokförare, bank och dina största kunder, hämtade ur avtal eller gamla fakturor. Inte ur ett mejl.
Ett dokument där du skriver regeln.
Gärna beloppsgränser i e-banken. Swedbank skriver att du regelbundet ska se över behörigheter och beloppsgränser.

Så ser bedrägerierna ut

Falsk faktura med nya bankuppgifter. Polisen beskriver mejl som ser ut att komma från en känd leverantör, men med nya bankuppgifter. Nordea råder dig att jämföra bankgiro eller plusgiro med tidigare fakturor.
VD-bedrägeri. Någon utger sig för en högt uppsatt chef och kräver en brådskande, konfidentiell betalning. I ett litet företag kan "chefen" lika gärna vara din bokförare, en kund, en partner eller banken.
Kapat mejlkonto. Polisen skriver att angriparen då kommer åt riktiga konton, läser konversationerna och skickar trovärdiga meddelanden. Mejlet kommer från rätt adress.
Efterbildad röst eller video. Polisens bedrägericentrum sa till TV4 i maj 2023 att AI-klonade röster redan användes i Sverige, till exempel av någon som utger sig för vd:n på ett företag. Risken är stor om "vd:n" ber om en utlandstransaktion. FBI varnade i december 2024 för AI-genererat ljud och för videochattar i realtid där brottslingar utger sig för chefer. En röst eller ett ansikte du känner igen är alltså inget bevis.
Nätfiske. En falsk inloggningssida, eller en förfrågan om att godkänna en inloggning du inte startat. CERT-SE om oväntade MFA-förfrågningar: "Godkänn aldrig en förfrågan om du inte själv initierat den."
Falska beställningar i ditt namn. Polisen i region Syd varnade i september 2026 för bedragare som söker upp företag utan egen webbplats, bygger en falsk sida i deras namn och sedan beställer varor i företagets namn. Polisen föreslår att företag registrerar sitt domännamn och en egen webbplats för att undvika sådana bedrägerier. Grunderna står i domännamn och DNS för småföretag.

Vad AI ändrar: FBI skriver att generativ AI minskar den tid och möda brottslingar måste lägga och kan dölja fel som annars avslöjar ett försök. Stavfel är inget test längre. Brådska, sekretess och ändrade betalningsuppgifter är det.

Steg för steg: återuppringningsregeln

Skriv regeln. "Jag ändrar aldrig bankuppgifter och betalar aldrig en avvikande betalning på grund av ett mejl, sms eller samtal ensamt."
Gör kontaktlistan. Namn och nummer, hämtade ur avtal eller gamla fakturor. Swedbank: "Kontrollera alltid uppgifter muntligen på ett telefonnummer du själv letat upp innan betalning sker."
Lär dig avvikelserna. Nytt kontonummer, brådska, "säg inget till någon", ovanlig mottagare, utlandsbetalning, ovanligt stort belopp, eller ett byte av kanal.
Lägg på och ring själv. Även om det är "chefen" i luren. Polisen skriver att bedragare kan använda falska nummer och råder dig att lägga på och inte lita på den som ringer. Ring därför inte tillbaka via missat samtal eller svar i mejlet. Nordea: verifiera innehållet genom att ringa avsändaren, även om hen har semester, eftersom en e-postadress lätt kan förfalskas.
Jämför med tidigare. Bankgiro, plusgiro eller IBAN mot förra fakturan.
Ta in en andra blick. Handelsbanken råder att fler deltar i godkännandet av avvikande betalningar, Swedbank att två behöriga godkänner. Är du ensam: låt nya mottagare och ändrade uppgifter vänta en natt, eller fråga din bokförare.
Kom överens om ett kodord. FBI föreslår det för familjer. Jag tycker det fungerar för nära affärskontakter som kan be dig om pengar eller åtkomst.
Slå på tvåstegsverifiering på mejl, bank, bokföring och domänkonto. CERT-SE rekommenderar flerfaktorsautentisering för alla medarbetare och att man överväger säkerhetsnycklar eller smarta kort för det mest skyddsvärda. Samma tanke ligger bakom att jag ber kunder ge mig en egen inloggning i stället för att mejla lösenord, se så ger du en konsult åtkomst utan att mejla lösenord.
Logga. Datum, vad det gällde, vem du ringde och på vilket nummer.

Så vet du att det fungerar

Be en vän eller bokförare skicka en påhittad faktura med nytt bankgiro och brådska, från en privat adress, utan att pengar rör sig. Stoppar rutinen den? Gör testet två gånger om året. Kontrollera då också att numren i listan stämmer och att tvåstegsverifieringen fungerar på en ny enhet.

Om det redan har gått fel

Ring banken omgående. Swedbank: "Kontakta banken omgående."
Polisanmäl. Polisen tar emot anmälan på 114 14 eller på en polisstation.
Spara allt. Mejl, nummer, kvitton och datum.
Kapat konto. Gå snarast igenom kontots konfiguration, som CERT-SE skriver, och byt lösenord. CERT-SE beskriver sig som stöd vid it-säkerhetsincidenter, men med fokus på samhällsviktig verksamhet.
Faktura du inte beställt. Polisen: du ska inte betala. Bestrid skriftligt och spara originalet.

Vanliga fel

Du ringer numret i mejlet eller signaturen. Då pratar du med bedragaren.
Du svarar på mejlet och frågar "stämmer det?" Det är bedragaren som svarar.
Du litar på rösten. Den kan vara efterbildad.
Du godkänner en inloggningsförfrågan du inte startat. CERT-SE: godkänn aldrig en sådan.
Du betalar först och kollar sen. Kontrollen ska ske före betalningen.
Delade lösenord. Ju fler som kan ett lösenord, desto fler ställen kan det läcka från.

Begränsningar

Återuppringning hjälper inte om numret i din lista är fel, eller om leverantörens eget mejl är kapat. Ändra därför bara listan efter ett samtal till ett nummer du redan litar på. Automatiserar du fakturahanteringen ska ändrade betalningsuppgifter stanna i en undantagskö som en människa avgör, se matcha tre bevis före bokföring och fakturaflödet. Inget skydd är hundraprocentigt, och det här är inte säkerhets-, juridisk eller redovisningsrådgivning. Bankens, Polisens och CERT-SE:s vägledning gäller.

Om du söker MSB: enligt Riksdagens betänkande 2025/26:FöU4 har Myndigheten för samhällsskydd och beredskap bytt namn till Myndigheten för civilt försvar, med ikraftträdande den 1 januari 2026. Enligt CERT-SE:s egen sida övergick cyberverksamheten, inklusive CERT-SE, den 1 juli 2026 till Nationellt cybersäkerhetscenter vid Försvarets radioanstalt.

Källor

Vanliga frågor

Vad är VD-bedrägeri?

Någon utger sig för en chef eller annan nyckelperson och kräver en brådskande, konfidentiell betalning, enligt Polisen. Mejlet kan komma från en förfalskad eller kapad adress. Mot förfalskade avsändare på din egen domän finns SPF, DKIM och DMARC.

Kan bedragare klona min röst med AI?

Polisens bedrägericentrum sa 2023 att AI-klonade röster redan användes i Sverige, och FBI varnade 2024 för AI-ljud i bedrägerier. Lita därför inte på rösten ensam, ring upp själv.

Hur vet jag att en ändring av bankuppgifter är äkta?

Ring leverantören på ett nummer du själv har och jämför med tidigare fakturor. Banken råder att kontrollera muntligen innan du betalar.

Vad gör jag om jag redan har betalat?

Ring banken direkt, polisanmäl och spara allt: mejl, nummer, kvitton och datum. Banken kan säga vad som går att göra i just ditt fall.

Är tvåstegsverifiering nog?

Nej, men CERT-SE rekommenderar det för alla medarbetare, med säkerhetsnycklar eller smarta kort att överväga för det mest skyddsvärda. Det hjälper inte om du själv godkänner en bluffbetalning.

Fastnar du?

Jag är inte ett säkerhetsföretag och kan inte garantera något skydd. Det jag gärna hjälper till med är det praktiska: att skriva rutinen med dig, lägga kontaktlistan där du hittar den och sätta upp tvåstegsverifiering i Google Workspace eller Microsoft 365, ofta på en eller två timmar tillsammans på skärmen. Om du har fastnat på ett steg, eller hellre vill att jag gör det med dig och lämnar över det dokumenterat, mejla mig med rubriken "Fastnat: rutin mot AI-bedrägerier". Skriv vilka verktyg du använder och var det tog stopp, så svarar jag med vad jag tror det tar. Jag sitter i Stockholm och jobbar med hela Sverige på distans. Vill du först se hur ditt fakturaflöde ser ut från mejl till betalning finns verktyget för fakturaflöde.

AI-bedrägerier och phishing mot småföretag: så känner du igen dem