Det svageste led sidder ved skrivebordet

Uge 2 af 7: IT-sikkerhed, som enhver kan forholde sig til
Denne uge: Hvorfor angreb ikke længere kommer, hvor vi har lært folk at kigge
Næste uge: Hvorfor de fleste medarbejdere kan langt mere på deres computer, end nogen har taget stilling til

Bogholderen får et opkald. Det er hende fra HR — hun lyder som hun plejer, undskylder at hun forstyrrer, og forklarer at en af de nye har fået ny bankkonto. Hun sender detaljerne på mail lige om lidt.

Mailen kommer to minutter senere. Afsenderen hedder det rigtige. Domænet gør næsten: nordvig-raadgivning.dk i stedet for nordvigraadgivning.dk.

Ingen ville have opdaget det. Ikke fordi bogholderen er uopmærksom, men fordi mailen ikke skulle overbevise hende om noget. Det havde opkaldet allerede gjort.

Mailen bekræftede bare.

Det sker lige nu i Danmark

Netop den type svindel er i fremgang. Politiets nationale center for it-relateret økonomisk kriminalitet melder om et betydeligt højere niveau af kontaktbedrageri mod virksomheder i 2026 end på samme tidspunkt året før — og en ny bølge, hvor svindlerne udgiver sig for at være ansatte.

Mailene bruger rigtige medarbejdernavne og en helt almindelig anledning. Ofte skriver de, at der er problemer med NemKontoen, så lønnen ender på en konto, svindlerne selv kontrollerer.

Konsekvensen er ubehagelig på en meget konkret måde: Udbetaler I lønnen til den forkerte konto, skal I som udgangspunkt betale igen til den rigtige. Pengene, der allerede er sendt, er sjældent til at hente tilbage.

De fleste har slet ikke awareness-træning

Lad os starte der, for det er virkeligheden i de fleste mindre og mellemstore virksomheder. Der bliver ikke trænet, der bliver ikke testet, og hvis nogen får en mistænkelig mail, er der ingen at melde den til.

Hvis det er jer, er det første skridt tydeligt: få det på plads. Det koster ikke meget, det tager ikke lang tid, og det fanger den type angreb, hvor der faktisk er noget at opdage. Det er stadig den største kategori.

Men når I så har det, skal I ikke tro, at opgaven er løst. Andelen af sikkerhedsbrud, hvor et menneske spillede en rolle, ligger på 62 procent — og den har ikke rykket sig nævneværdigt i tre år, selvom branchen har solgt simulerede phishing-mails og årlige e-læringsmoduler i halvandet årti.

Der er forskel på at have et træningsprogram og på at have nedbragt risikoen. Mange virksomheder har det første og kalder det det andet.

Angrebene er flyttet, træningen er ikke

41 procent af de angreb, der bygger på at manipulere mennesker, kommer slet ikke via mail længere. Og et telefonopkald virker 40 procent bedre end en mail — der er ingen betænkningstid og ingen kollega at spørge.

De kanaler, jeres medarbejdere reelt bliver kontaktet på:

• Teams-beskeder fra eksterne. De fleste virksomheder tillader som standard, at hvem som helst udefra kan skrive til deres medarbejdere i Teams. Hackeren opretter en konto med navnet “IT Support” eller “Microsoft Security”.

• Telefonopkald. Langt de fleste er stadig en helt almindelig person, der ringer og lyver overbevisende. AI-genererede stemmer findes, og de virker, men de er endnu ikke det, danske virksomheder oftest møder. Det ændrer sig med sikkerhed inden for få år — teknologien kræver få sekunders lydklip, og dem er der rigeligt af i et webinar eller en telefonsvarerbesked.

• Sms, typisk som en pakkelevering eller en advarsel om MitID.

• QR-koder, der flytter medarbejderen fra en beskyttet firmacomputer over på en privat telefon, hvor ingen af jeres kontroller gælder.

• Mails uden link overhovedet — bare en faktura og et telefonnummer. Offeret ringer selv op og bliver derefter guidet igennem resten.

Læg mærke til mønsteret: næsten alle de nye metoder undgår links og vedhæftede filer. Det er ikke tilfældigt. Det er præcis dét, mailfiltrene kigger efter, og præcis dét, medarbejderne er trænet i at genkende.

Og så er der angrebene, hvor der ikke er noget at opdage

Der findes en metode, hvor medarbejderen bliver bedt om at godkende noget på Microsofts helt rigtige login-side. Ikke en kopi. Den ægte. Der er ingen falsk hjemmeside, ingen mistænkelig afsender og intet at holde musen over.

Når medarbejderen har godkendt, er hackeren inde i postkassen. Uden at kende adgangskoden, og uden at MFA gjorde nogen forskel — fordi medarbejderen selv sagde ja.

FBI advarede i maj 2026 om en tjeneste, der sælger netop dét som et abonnement til kriminelle uden teknisk kunnen. Vi skriver om den i et selvstændigt indlæg senere på ugen, fordi den fortjener mere plads, end den kan få her.

Pointen for nu: nogle angreb kan man ikke se sig ud af. Dem skal man fjerne.

Hvad der så faktisk virker

Fire ting, i den rækkefølge:

1. Fjern muligheden, hvor I kan. Eksterne Teams-beskeder kan begrænses. Den nævnte metode kan slås fra centralt. Efterligning af jeres eget domæne kan blokeres. Ingen af delene generer nogen i hverdagen, og alle kan sættes op på en formiddag.

2. Markér alt udefra som eksternt. En tydelig EKSTERN-mærkat på mails og beskeder fra afsendere uden for virksomheden. Det er den billigste enkelte foranstaltning, I kan træffe, og den virker netop mod lookalike-domæner: mailen fra “kollegaen” bliver mærket som ekstern, fordi den er det.

3. Lav en proces, ikke en opfordring. Ændringer af bankkonti — løn eller leverandør — bekræftes altid på et telefonnummer, I selv har fundet frem. Ikke det, der stod i mailen. Det gælder alle, også når direktøren beder om noget. En fast proces fjerner det ubehagelige i at stille spørgsmål.

4. Mål træningen på det rigtige. De fleste programmer måler, hvor mange der klikkede. Det interessante er, hvor mange der meldte det, og hvor hurtigt. En medarbejder, der ringer til IT to minutter efter en mistænkelig henvendelse, er hele forskellen mellem en hændelse og et brud.

Og træn på andet end mails. Hvis ingen hos jer nogensinde har fået et testopkald, ved I ikke, hvordan det ville gå.

Fire spørgsmål til jeres næste ledermøde

1. Har vi overhovedet awareness-træning og phishing-simulering?
   Hvis nej, er det her det billigste sted at begynde.

2. Hvad sker der hos os, hvis en medarbejder beder om at få ændret sin lønkonto over mail?
   Findes der en fast proces, eller afhænger det af, hvem der åbner mailen?

3. Kan hvem som helst udefra skrive til vores medarbejdere i Teams?
   Hos de fleste er svaret ja, uden at nogen har besluttet det.

4. Måler vi, hvor mange der melder mistænkelige henvendelser — eller kun hvor mange der klikker?
   Det første er det tal, der kan forbedres.

Kort sagt

Træning er ikke spildt — og hvis I ikke har den, er det stedet at starte. Men den kan kun løse den del af problemet, hvor der er noget at opdage.

Resten skal løses ved at fjerne valget fra medarbejderen — og ved at have en proces, der er tydeligere end den mail, de sidder med.

Det er ikke medarbejderne, der er det svageste led. Det er de steder, hvor vi har overladt en beslutning til dem, som de ikke har en chance for at træffe rigtigt.

Til den it-ansvarlige

• SPF, DKIM og DMARC med afvisningspolitik på alle jeres domæner. Registrér og parkér de oplagte lookalike-domæner.

• Ekstern afsender-markering slået til i Exchange Online, og ekstern-mærkning aktiveret i Teams.

• Anti-phishing-politikker i Defender for Office 365 med efterligningsbeskyttelse på ledelse, økonomi og HR.

• Begræns eksterne Teams-beskeder til godkendte domæner, eller slå ekstern chat fra helt.

• Attack Simulation Training med kampagner ud over mail. Mål på rapporteringsrate og time-to-report, ikke kun klikrate.

• Alarmer på ændringer i postkasseregler og videresendelse — det er typisk det første, en hacker gør efter at have fået adgang.

Senere på ugen: Angrebet hvor der ikke er noget at opdage — om FBI’s advarsel og hvorfor MFA ikke altid er nok.

Næste mandag: Hvem har nøglen til hele huset?

Kilder: Verizon Data Breach Investigations Report 2026 · Dansk Erhverv og DI Digital om kontaktbedrageri, maj 2026 · FBI Public Service Alert I-052126-PSA (maj 2026)