Den vanligste digitale hendelsen i norske virksomheter er ikke hacking. Det er svindel. Ifølge Mørketallsundersøkelsen 2026 ble 13 prosent av virksomhetene utsatt for forsøk på å lure de ansatte i løpet av ett år. Blant dem som ble utsatt for bedrageri, var fakturasvindel og falske henvendelser fra «sjefen» det aller vanligste. Den gode nyheten er at svindelen kan stoppes med noen få, faste rutiner.
Dette er første del av en serie på tre artikler om funnene i Mørketallsundersøkelsen 2026 fra Næringslivets Sikkerhetsråd (NSR).
Svindel er den hendelsen flest møter. 12,8 prosent av de 2 500 virksomhetene i undersøkelsen ble rammet av sosial manipulering det siste året. Det betyr falske e-poster, SMS-er eller telefoner som skal få noen til å klikke på en lenke, gi fra seg et passord eller betale noe. 5 prosent ble utsatt for bedrageri. Til sammenligning ble bare 1,2 prosent rammet av løsepengevirus.
Blant de 126 virksomhetene som ble utsatt for bedrageri, ser bildet slik ut:
Det betyr at rundt 80 virksomheter i undersøkelsen ble utsatt for fakturasvindel, mot rundt 30 for løsepengevirus. Mange ble utsatt for flere typer svindel. Og sosial manipulering er det eneste området der det som faktisk skjer, kommer i nærheten av det lederne er bekymret for. 35 prosent er bekymret for det, og 13 prosent ble rammet.
Fakturasvindel kommer ofte i to former. Den ene er en falsk faktura som ser ut som den kommer fra en leverandør dere bruker. Den andre er mer lumsk: en e-post fra en «leverandør» som sier at de har fått nytt kontonummer. Neste ekte faktura blir da betalt til svindlerens konto. Det kan gå uker før noen merker det, gjerne når den ekte leverandøren purrer.
Direktørsvindel er en e-post eller melding som ser ut til å komme fra daglig leder eller en annen sjef. Den ber om en rask betaling, ofte med en grunn til at det haster og at det må holdes hemmelig. Den kommer gjerne når sjefen er på reise eller i møter og er vanskelig å nå.
Begge typene spiller på det samme: travle folk som vil være hjelpsomme og gjøre jobben raskt. Undersøkelsen viser da også at feil gjort av ansatte er den vanligste årsaken til hendelser, nevnt av 20 prosent.
Det er ikke bare dårlige nyheter. Undersøkelsen viser at mange hendelser blir oppdaget av ansatte som reagerer på en mistenkelig e-post (16 prosent) eller av oppmerksomme kolleger (17 prosent). Tekniske filtre fanget 14 prosent. Banken eller regnskapsføreren oppdaget 5 prosent.
Med andre ord: de ansatte er både den svakeste og den sterkeste delen av forsvaret. Det avgjørende er om de har en rutine å falle tilbake på når noe føles litt feil.
Ingen av disse krever nye systemer. De krever bare at dere bestemmer dere og skriver det ned.
1. Nytt kontonummer? Ring alltid. Får dere beskjed om at en leverandør har byttet kontonummer, ringer dere leverandøren på et nummer dere har fra før. Aldri nummeret som står i e-posten. Dette ene grepet stopper den vanligste formen for fakturasvindel.
2. To personer godkjenner store betalinger. Sett en beløpsgrense. Over den må to personer godkjenne betalingen. De fleste nettbanker for bedrifter har dette innebygd.
3. Hastebetaling fra sjefen? Sjekk på en annen kanal. Ber «sjefen» om en rask betaling på e-post eller melding, ringer du sjefen. Gjør det til en regel som sjefen selv har bestemt, så ingen trenger å føle at de mistror noen.
4. Beskytt e-posten. Mye fakturasvindel starter med at noen har kommet seg inn i en ekte e-postkonto hos dere eller hos en leverandør. Da kommer den falske e-posten fra en ekte adresse. Totrinnsverifisering på alle e-postkontoer gjør det mye vanskeligere.
5. Gjør det trygt å si fra. Den som har betalt feil, må kunne si det med en gang uten å bli hengt ut. Jo raskere banken får beskjed, jo større er sjansen for å stoppe pengene.
Ring banken med en gang og be dem stoppe eller kalle tilbake betalingen. Ta vare på e-postene og fakturaene, ikke slett noe. Gi beskjed til IT-ansvarlig, så de kan sjekke om en e-postkonto er overtatt. Og anmeld det. Politiet har en ny digital løsning for å anmelde datakriminalitet på politiet.no, der du logger inn med ID-porten. Du trenger ikke ha full oversikt før du tar kontakt.
Har dere ingen plan for slike situasjoner, er en enkel digital beredskapsplan et godt sted å starte.
Svindel er den hendelsen bedriften din mest sannsynlig vil møte. Den er ikke avansert, og den stoppes ikke av dyre verktøy. Den stoppes av at de ansatte vet hva de skal gjøre når en e-post føles litt feil. Bruk ti minutter på neste personalmøte til å gå gjennom rutinene over.
Tirsdag ser vi på hvem som egentlig har ansvaret for IT-sikkerheten når IT-en er satt bort. Vil du ha hjelp med rutinene allerede nå, tar vi gjerne en prat.
Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026, kapittel 4 og 5 (september 2026)
Security World Market: Nå er det enklere å anmelde datakriminalitet (2026)