Hva handler artikkelen om?

Artikkelen handler om et nesten vellykket svindelforsøk der styremedlemmer ble kontaktet med en troverdig historie basert på offentlig tilgjengelig informasjon.

Hva gjorde svindelforsøket farlig?

Det var ikke åpenbart falskt. Angriperen brukte riktig timing, kjente navn, reelle hendelser og sosialt press for å gjøre forespørselen troverdig.

Hvorfor er dette relevant for styret?

Fordi moderne svindel ofte retter seg mot beslutninger, signeringer og tillit, ikke bare tekniske systemer.

Hva stoppet angrepet?

Ikke teknologi alene, men kommunikasjon mellom styremedlemmene, skepsis til BankID-forespørselen og verifisering med andre.

Hvilke tiltak bør virksomheter vurdere?

Toveis verifisering, bruk av kjente kanaler, lav terskel for intern avklaring og klare regler for BankID-forespørsler under tidspress.

Hvordan henger dette sammen med NIS2 og digitalsikkerhetsloven?

Artikkelen peker på at styret må forstå digital risiko og bidra til en sikkerhetskultur der ansvar ikke bare ligger hos IT.

Da styret nesten ble svindlet

Klokken nærmet seg 17.

Møtene var ferdige. Hodet var halvveis på vei hjem. Så ringte telefonen hos et styremedlem.

«Hei, det er Pedersen fra revisjonsselskapet.»

Stemmen var rolig. Profesjonell. Litt travel.

Han forklarte at siden selskapet nylig hadde meldt flytting av hovedkontor så måtte noen formelle registreringer fullføres. Han satt og jobbet overtid, og ville egentlig bare bli ferdig og komme seg hjem.

Det hastet litt. Men ikke nok til å virke mistenkelig. Bare nok til at det føltes upraktisk å si nei.

Og det meste stemte.

Pedersen visste hvem som satt i styret, hvem som var styreleder og hvem som var revisor. Han kjente til flyttingen. Han refererte til andre styremedlemmer ved navn. De hadde ikke hatt tid til å signere, sa han. Kunne du hjelpe?

Det er her moderne svindel blir farlig. Den er sjelden åpenbart feil. Den er nesten riktig. Nesten profesjonell. Nesten helt troverdig.

Nesten er nok.

Hva som hadde skjedd

Selskapet hadde gjort noe helt normalt. De hadde meldt flytting av hovedkontor til Brønnøysundregistrene.

Det er offentlig informasjon. Alle kan se det. Og noen følger med.

Svindlere trenger ikke nødvendigvis å overvåke hele virksomheten din. Ofte holder det å overvåke offentlige hendelser.

En flytting. En rolleendring. En ny daglig leder. Et styrebytte. En kapitalendring.

Små offentlige signaler kan bli starten på et angrep.

I dette tilfellet startet jobben trolig kort tid etter registreringen. Noen kartla styret. Fant telefonnumre. Identifiserte revisor. Leste seg opp på selskapet. Bygget en historie som var god nok til å høres sann ut. Djevelen ligger i detaljene.

Timing er et våpen

Telefonene kom rundt klokken 17.

Det er ikke tilfeldig. Da er folk slitne. De er på vei ut av arbeidsmodus. De tenker på henting, middag, neste avtale eller bare på å få avsluttet arbeidsdagen.

De beste angrepene treffer når folk har dårlig tid, lavere skuldre og litt for mange ting i hodet.

Akkurat der lå forsøket.

Presset

Pedersen var høflig. Men han presset litt. Ikke aggressivt. Ikke sånn at alarmen gikk. Bare nok til at det ble ubehagelig å være den som forsinket prosessen.

Han jobbet jo overtid. Han ville bare få dette ferdig. Kunne de ikke bare signere?

Så kom det som var målet hele veien: en digital signering, i form av en BankID-forespørsel.

Og da var angrepet ikke lenger teori. Da sto det på ett trykk.

Det som nesten skjedde

Flere styremedlemmer fikk samme telefon.

Alle reagerte litt. Noe skurret. Men ikke nok til at alle umiddelbart slo alarm. Noen sa de ikke hadde tid. Noen henviste videre. Ingen var helt komfortable. Men historien var god nok til at den ikke ble avvist med én gang. Så kom signeringsforespørselen likevel.

Det var nære på.

Ikke fordi styret var naive eller manglet erfaring. Men fordi angrepet var lagt opp for å treffe normale mennesker i en normal situasjon. Det er som regel nok.

Hva stoppet det?

Ikke et avansert sikkerhetssystem eller en teknisk sperre.

Det som stoppet forsøket, var en blanding av tilfeldigheter og kommunikasjon. Forespørselen kom fra feil bank. Ingen trykket. Og viktigst: Styremedlemmene begynte å snakke sammen.

Det siste var helt avgjørende. Én person alene kan sitte med en dårlig magefølelse og likevel være usikker. Når flere deler samme magefølelse, blir bildet tydeligere.

Individuell skepsis er bra, men felles situasjonsforståelse er enda bedre.

Hva styret gjorde etterpå

Etterpå var konklusjonen enkel: Dette kunne gått veldig galt.

Styret trengte ikke et tungt sikkerhetsprosjekt. De trengte noen få regler som faktisk fungerer når telefonen ringer og noen ber deg gjøre noe raskt.

De innførte blant annet:

Toveis verifisering med kodeord.
Ved uvanlige forespørsler skal den ene oppgi et avtalt kodeord. Den andre må svare riktig. Enkelt, lavteknologisk og vanskelig å omgå.

Ingen beslutninger under kunstig tidspress.
Hvis noe plutselig haster veldig mye, er det nettopp da man skal stoppe. Reelle hastesaker tåler som regel en ekstra telefon.

Alltid verifisering via kjent kanal.
Ingen handling basert på en innkommende telefon, e-post eller melding alene. Man ringer tilbake på et nummer man allerede kjenner, ikke det man nettopp fikk tilsendt.

Ingen BankID-godkjenning uten tydelig kontekst.
Forventer du ikke forespørselen, godkjenner du ikke. BankID er en signatur. Man må alltid vite hva man signerer på!

Lav terskel for å snakke sammen.
Det som faktisk stoppet angrepet, var at styremedlemmene ringte hverandre.

Styrets ansvar i 2026

Man kan ikke anse digital sikkerhet som et IT-problem. Det er faktisk et styreansvar.

Angrepene treffer ikke alltid infrastrukturen først. Det svakeste leddet er menneskene. Tillit, tidspress og vaner kan misbrukes.

Med digitalsikkerhetsloven og NIS2 blir dette enda tydeligere. Styret må forstå risikoen, ta aktive grep og bidra til en kultur der sikkerhet ikke bare er noe IT-avdelingen driver med.

Sikkerhet handler også om hvordan dere tar beslutninger når noen ringer klokken 17 og ber om en rask signering.

En sann historie

Angrepet besto av god research, riktig timing, psykologisk press og en troverdig historie. Det holdt nesten helt inn. Og det er kanskje det mest ubehagelige:

Du trenger ikke være uoppmerksom for å bli lurt.

Du trenger bare å ha det litt travelt.