Undvik bedrägerier

Bedrägliga återköp kan ske på flertalet sätt. En del gärningspersoner bevakar papperskorgar i anslutning till kassalinjen i hopp om att köpare efter betalning väljer att kasta sitt kvitto. När så är fallet fiskar gärningspersonen upp det och går in i butiken och plockar på sig de varor som överensstämmer med kvittot.

Därefter beger han sig till Kundservice/återlämningsdisken och ”lämnar tillbaka” varorna i fråga mot uppvisade av kvitto och får tillgodokort motsvarande varornas värde. Det finns även de som struntar i att leta kvitton utan helt enkelt stjäl varor i butiken för att därefter försöka returnera dem utan kvitto.

Så minskar du risken för att drabbas:

• Håll uppsikt över kassalinjen och släng kvarlämnade kvitton från tidigare kunder.
• Var extra uppmärksam om återköp sker samma dag som inköp.
• Säkerställ att återköp sker med samma betalmedel som vid köpet. D.v.s. att pengarna vid en korttransaktion återförs till det kort som nyttjades för köpet.
• Kräv kvitto, även när det bara gäller byten.
• Erbjud inte pengarna tillbaka när det på kvittot framgår att byte utan kvitto sedan tidigare skett.
• Kontantåterköp ska alltid kvitteras av kund, säljare och ansvarig. Kontrollera att namn och telefonnummer är tydligt textat.

Fakturabedrägerier är ett samlingsbegrepp för bedrägliga försäljningsmetoder via telefon, post eller e-post. Det kan börja med att en säljare tar kontakt med dig via telefon men det kan även dyka upp fakturor utan tidigare kontakt.

Så minskar du risken för att drabbas:

• Var alltid kritisk innan ni tackar ja, skriver på eller betalar en faktura.
• Har du förbundit dig till ett avtal du anser vara vilseledande eller bedrägligt, bestrid fakturan och skicka en kopia av bestridandet till varningslistan@svenskhandel.se

För mer information besök Varningslistan eller ring Varningslistan på 010-47 18 630.

Kopierade pantkvitton förekommer i handeln då och då. Var uppmärksamma på onormalt stora summor eller många kvitton på samma person. Håll ordning på pantkvittorullarna så att inte obehöriga kommer åt dem.

Även om kontanthanteringen är betydligt mindre idag än för tio år sedan förekommer det fortfarande falska sedlar. Den senaste tiden har det framförallt handlat om falska 500-lappar.

Så minskar du risken för att drabbas:

• Var noga med att kontrollera sedlar. När du kontrollerar en sedel bör du granska flera säkerhetsdetaljer i kombination. Hos Riksbanken kan du läsa mer om säkerhetsdetaljerna: Säkerhetsdetaljer
• Om du upptäcker en falsk sedel, ta inte emot den. Informera lugnt innehavaren att sedeln i fråga är skadad/saknar en del detaljer eller känns annorlunda och att du därför inte kan ta emot den. Fråga om kunden har en annan sedel eller om hen kanske kan betala med kort?
• Försök inte beslagta sedlarna eller ingripa mot innehavaren då det är förenat med stor risk.
• Färgade eller infärgade sedlar kan upptäckas genom att vara uppmärksam på färgskiftningar längs kanterna. Läs mer om färgade sedlar och hur du känner igen dem på Riksbankens sida om säkerhetsdetaljer.

Om du har kommit i kontakt med en falsk sedel, antingen för att du upptäcker den och nekar köp eller om du har tagit emot en sedel; gör en polisanmälan! Lättast är att polisanmäla direkt i Svensk Handels app Säkerhetscenter som du kan ladda ner gratis i App store (iPhone) eller Google Play (Android). 

Kortbedrägerier med fysisk kort innebär att gärningspersonen kommit över offrets fysiska kort och därefter genomförs köp med detta. Köpen kan ske på nätet eller i butik alternativt att pengar tas ut i bankomat. För de två sistnämnda gäller att gärningspersonen även har tillgång till offrets pin-kod.

Det är en tunn linje mellan vad som är att betrakta som en ren stöld kontra ett bedrägeri när en person för ut varor genom självscanningen utan avsikt att betala för dem. För en del kan det handla om rent slarv men det kan även röra det sig om systematiska bedrägerier.

Ofta ser det ut som att gärningspersonerna scannar in samtliga varor som de lägger i påsen men i själva verket scannar de kanske bara in de billiga varorna. Alternativt scannar de in alla varor först för att sedan radera de dyrare varorna innan de kommer till kassan.

Så minskar du risken för att drabbas:

• Se till att butiken har ett system eller rutin för hur personalen ska kunna påkalla varandras uppmärksamhet vid misstanke om stöld.
• Om någon tittar efter dig i butiken, gå dit. Det är antingen en kund som behöver hjälp eller en tjuv som vill ha dig under uppsikt.
• Ha med fördel tydliga skyltar vid ingång samt kassalinje om att samtliga varor ska packas upp vid en eventuell avstämning och att medhavda påsar och väskor ska uppvisas. Det är alltid lättare att hänvisa till en skylt vid avstämning och kontroll.
• Sätt med fördel upp speglar i taket vid avstämningskassan då man på så sätt har större kontroll över vad som packas upp och eventuellt lämnas kvar i vagnen/korgen.
• Se över möjligheten att jobba med handburna datorer/Ipads vid självutcheckningen och vid snabbkassorna. Förutom att man på avstånd kan godkänna ålderskontroller ges man även möjlighet att kontrollera vilka varor som kunden faktiskt scannar in vid självutcheckningen.
• Tipsa närliggande butiker om händelser som ni råkat ut för, enklast är att anmäla i Svensk Handels app Säkerhetscenter och dela informationen i er samverkansgrupp.

Förtydligande

Det är ett bedrägeri när fel varor scannas, men en stöld när man väljer att inte scanna varor. Sista betalningsmöjlighet har passerats när betalningen är genomförd.

Att vilja växla kontanter i butik är ett vanligt bedrägerisätt. Fingerfärdiga bedragare önskar växla några större sedlar och när allt är över står butiken där med betydligt mindre pengar i kassan än innan.

Så minskar du risken för att drabbas:

• En vanlig åtgärd är att helt enkelt neka växling i butiken. Då butiken dessutom måste betala för sin växel är det inte ett konstigt beslut.
• Var noggrann när ni lämnar ifrån er växel och håll koll på hur mycket pengar ni har fått och lämnat ut.
• Blanda inte ihop växeln med andra pengar innan affären är klar.

Bedrägliga transaktioner, dvs köp som genomförs på nätet med stulna kortuppgifter är det vanligaste bedrägeriupplägget. Förbrottet består av dataintrång eller phishing där kortuppgifter stjäls för att därefter säljas på olika nätforum. När bedragaren väl har kortuppgifterna till hands genomförs köp av varor och tjänster på nätet hos handlare vars betalningar inte stödjs av 3D-secure.

Så minskar du risken för att drabbas:

• Använd bankens säkerhetslösning för bankkort. Via bankens app kan du ofta stänga ditt kort för internetköp och öppna upp det när du vill handla på nätet.
• Tillåt inte att webbsidan eller appen du använder för att handla med att spara dina kortuppgifter
• Behöver du spara kortuppgifter kopplat till en smart enhet, använd ett kreditkort eller annat betalkort som inte är kopplat till ditt företagskonto.
• Lämna aldrig ut dina koder eller kortuppgifter till någon som efterfrågar dem i e-post, sms eller via telefon.
• Har olovliga köp gjorts eller har du förlorat ditt bankkort? Kontakta omedelbart din bank, spärra kortet och gör en polisanmälan i de fall du misstänker brott.

Identitetskapning innebär att en bedragare utnyttjar en annan persons personuppgifter för att köpa varor, söka lån och krediter, teckna abonnemang med mera. I en del fall är det bara personnumret som krävs för att någon ska kunna utföra ett bedrägeri men ofta används även en stulen eller förfalskad ID-handling. Förfalskade ID- och körkort är extremt välgjorda idag och mycket svåra att skilja från äkta handlingar. De kort som i dagsläget framförallt förfalskas är våra svenska körkort samt de av bankerna utställda SIS-korten.

Om du har tillgång till en id-scanner, använd den! Om inte bör du alltid kontrollera att:

• Bilden på id-handlingen överensstämmer med kundens utseende.
• Id-handlingen inte är ändrad eller skadad.
• Giltighetstiden inte har gått ut.
• För att kontrollera giltigheten för svenska pass och nationella id-kort kan du besöka Polisens e-tjänst för giltighetskontroll.
• UV-trycket är korrekt.

För att säkra att ett digitalt ID-kort är äkta måste du scanna appen och kontrollera med kortföretagets kontrollfunktioner

Precis som vid identitetskapningar innebär en bolagskapning att någon annan utger sig för att vara dig, fast i detta fallet, ditt företag. I vissa fall kapas endast företagsnamnet för att genomföra bedrägliga beställningar. Värre blir det när de kriminella kliver in och bokstavligt talat tar över bolaget.

Så minskar du risken för att drabbas:

• Ett bra tips är att ladda ner bolagsverkets app och aktivera notiser. Med notiser får du exempelvis veta direkt när din årsredovisning kommer in eller om det kommer in en styrelseändring. Genom att hålla koll på vilka ärenden Bolagsverket tar emot kan du tidigt upptäcka om en obehörig försöker kapa ditt företag genom att skicka in en falsk styrelse- eller adressändring.
• Att ansluta sitt företag till en digital brevlåda gör också att du får information om ändringar i företaget direkt när de sker.
• Tänk på vilken information som presenteras på företagets hemsida. Här finns underlag för bedragaren att använda, t ex bilder och e-postadresser till en rad olika befattningshavare.

Du kan läsa mer om hur du skyddar dig på bolagsverket >

Tyvärr förekommer bedrägerier ganska ofta, ibland existerar inte företaget över huvud taget eller så har det bildats endast med syfte att genomföra bedrägerier. Gör en noggrann bakgrundskontroll på företag ni inte gjort affärer med tidigare. Om ni känner er osäkra, gör inte större affärer än vad ni klarar att förlora.

Så minskar du risken att drabbas, varningssignaler att vara uppmärksam på:

• Kontaktuppgifter och adresser. Går det att nå företaget och verifiera dess verksamhetsadress? En kostnadsfri e-postadress eller postbox är inte i sig en varningssignal, men uppgifter som inte går att kontrollera motiverar extra försiktighet.
• Förändringar i företaget. Är företaget nyregistrerat, har det nyligen bytt styrelse eller använder det ett nyregistrerat domännamn? Sådana förändringar kan motivera ytterligare kontroller, särskilt tillsammans med andra avvikelser.
• Företrädarnas tidigare engagemang. Finns återkommande konkurser bland företag som företrädarna tidigare varit verksamma i? Var särskilt uppmärksam på mönster där personer har lämnat styrelser kort före konkurser.
• Kreditvärdighet. Ta en aktuell kreditupplysning inför kreditförsäljning och anpassa kreditgränsen efter din bedömning. Granska exempelvis betalningsanmärkningar, skulder och, om uppgiften finns tillgänglig, många kreditupplysningsförfrågningar på kort tid. Kostnadsfria företagsuppgifter kan vara ett komplement, men ersätter inte en kreditbedömning.
• Verksamhet och beställning. Stämmer köpet överens med den verksamhet företaget uppger att det bedriver? Skillnader mellan registrerade branschkoder, så kallade SNI-koder, och den uppgivna verksamheten kan behöva undersökas. Tänk på att ett företag kan bedriva flera verksamheter och ha flera SNI-koder.

En enskild omständighet behöver inte innebära att något är fel. Flera avvikelser tillsammans kan däremot vara skäl att pausa leveransen och göra ytterligare kontroller. Låt inte brådska ersätta ordinarie rutiner – även när försäljningstrycket är högt.

Nätfiske, på engelska phishing, är ett samlingsbegrepp för de olika försök till uppgiftsfiske som sker över internet. Samma upplägg kan ta sig uttryck via sms (då kallat smishing) eller via telefon (vishing) men syftet är detsamma – att förmå dig att lämna ut dina inloggnings – eller kortuppgifter.

Var misstänksam mot meddelanden från okända avsändare, oväntat innehåll från kända avsändare eller andra tillfällen du ombeds agera via sms, e-mail eller telefon.

• Klicka aldrig på länkar och öppna aldrig filer i mejl från okända avsändare.
• Lämna aldrig ut koder, lösenord eller kontouppgifter till någon.
• Om någon ringer upp och du är osäker på uppringarens identitet, lägg på luren eller be att få ringa tillbaka på ett nummer du själv känner till.

Tillvägagångssätt

Bedragaren utger sig för att vara en högt uppsatt chef inom ditt företag, tar kontakt med en person på er ekonomiavdelning via mejl och försöker förmå denne att göra brådskande utbetalningar till utlandet.

Upprätta rutiner:

• Möjlighet att nå beslutsfattare för extra verifiering.
• Möjlighet att motringa vid betalningar över ett visst belopp för godkännande.
• Säkerställ att minst två ska godkänna belopp över en viss gräns.
• Möjlighet att kontrollera ändrade uppgifter från leverantör (och då inte att mejla tillbaka till samma adress som uppgiften kom ifrån).
• Var observant på avsändarens mailadress.
• Var extra vaksam på e-post som är oväntad eller där uppgifter ska ändras mot vad det brukar vara.

Ransomware är en typ av skadlig programvara vars syfte ofta är utpressning genom att ta filer eller system som ”gisslan”. För att häva krypteringen eller återfå kontrollen över systemet kräver utpressningsprogrammet en lösensumma eller eventuellt annan handling som gynnar förövaren.

Minska risken att drabbas:

• Om du inte har kompentensen internt, ta hjälp utifrån
• Ha beredskap! Se över vilken information är mest värd att skydda och ta regelbundet säkerhetskopior på den information som du inte kan vara utan
• Håll dina programvaror ständigt uppdaterade
• Aktivera flerfaktorsautentisering där det är möjligt.
• Segmentera nätverken, ha redundans (inte alla ägg i samma korg)
• Installera brandvägg- och antivirusprogram
• Koppla aldrig in okända, externa enheter i din dator
• Klicka inte på bilagor, reklam och länkar om du är osäker på avsändaren
• Se över behörigheterna på företaget
• Utbilda din personal
• Säkra en alternativ kontaktväg

Incidenthantering och beredskapsplan:

• Utveckla en tydlig plan för hur företaget ska hantera en ransomware-attack
• Öva och uppdatera beredskapsplanen regelbundet
• Se över mandat för de som leder incidenten
• Planera för kriskommunikation både internt och externt  

Investeringsbedrägeri innebär kortfattat att man vilseleds att investera i till exempel företag, värdepapper, valuta eller råvaror som inte existerar eller saknar värde. Bedragarna arbetar metodiskt och över lång tid. Inte sällan lurar de brottsoffren att investera vid flera tillfällen. Finansinspektionen brukar prata om tre faser i bedrägeriupplägget. Försäljningsfasen, återköpsfasen och räddningsfasen.

Försäljningsfasen inleds ofta med en oväntad kontakt. Bedragaren testar intresset, samlar information om kunden och skapar en relation. Kunden får ett till synes profes¬sionellt bemötande och efter en tid kommer in¬vesteringsförslagen – med utlovad snabb och hög avkastning. Bedragarna är uthålliga och detta kan pågå under lång tid. När brottsoffret väl investerat får hen information om en positiv kursutveckling och det är alltid köpläge.

Ett typiskt upplägg för återköpsfasen är att en an¬nan mäklarfirma ringer upp brottsoffret och erbju¬der hen att sälja eller byta sina aktier till ett för¬månligt pris. Bedrägeriet går här ut på att försöka lura kunden på pengar för en påstådd avgift som är förknippad med försäljningen.

I fas tre, räddningsfasen, blir brottsoffret dubbelt utsatt. När hen börjar ana oråd och vill ta ut sina placerade pengar så går företaget inte längre att nå. Då kontaktas brottsoffret av en person som erbju¬der sin ”hjälp” med att få tillbaka pengarna – mot en avgift.

Så minskar du risken för att drabbas:

• Ta reda på fakta – förstår du tjänsten och verkar erbjudandet rimligt?
• Se upp för löften om orimligt hög avkastning. Verkar något för bra för att vara sant är det nästan garanterat så.
• Kolla upp företaget hos Finansinspektionen. Dels för att kontrollera att det inte finns med på deras varningslista FI varningslista och dels för att kolla upp att företaget har rätt att utföra finansiella tjänster FI Företagsregister.
• Känner du dig osäker eller om det är något du inte förstår så bör du helt enkelt avstå från erbjudandet.

DDoS-attack, även kallat överbelastningsattack, står för distributed-denial-of-service. En DDoS-attack har i regel som mål att överbelasta en webbplats eller en server, och på så sätt göra den tillfälligt otillgänglig för legitima användare. Med hjälp av ett botnet, bestående av upp till miljontals enheter, kan angriparen skapa ett stort antal anrop till ett datasystem. Anropen sker simultant, vilket medför att tjänsten eller systemet som angrips överbelastas och låser sig. 

Upptäckten av en DDoS-attack kan ske genom att åtkomst till Internet känns segt eller inte fungerar över huvud taget alternativt att vissa system inte går att nå från egna eller externa nät. I vissa fall är det externa parter som upptäcker att till exempel webbservern inte svarar.

DDoS är en typ av attack som är mycket svår att skydda sig emot men det finns ett antal steg som kan vidtas för att mildra en eventuell attack. Det mest effektiva sättet att hantera hotet från DDoS-attacker är att arbeta förebyggande.

Det är sällan en organisation kan avhjälpa en DDoS-attack helt på egen hand. För att avbryta eller begränsa en attack så behövs det ofta hjälp av andra organisationer. I vissa fall kan det också krävas hjälp att starta om vissa system som utsatts för attacken, till exempel brandväggar. Den viktigaste länken vid ett allvarligt fall av DDoS är organisationens ISP (internetleverantör) som är den första länken till Internet, där ett visst skydd och motmedel kan etableras. Tjänsteleverantörer, privata aktörer, CERT: ar och Polismyndigheten kan också vara till hjälp vid en eventuell attack varför god kommunikation och bra kontakter med dessa är en viktig förutsättning för att underlätta hanteringen av en DDoS-incident.

• Identifiera eventuella affärskritiska system (som är beroende av internetuppkoppling) där tillfälliga störningar i tillgängligheten skadar verksamheten. Se till att du har en bandbredd där som överstiger normal belastning med god marginal - Ökad bandbredd ger bättre skydd.
• Lyft frågan med din ISP och ta reda på vilket skydd de erbjuder. Gör om möjligt en plan tillsammans om det exempelvis finns vissa affärskritiska system som ska prioriteras. Fråga om de till exempel kan begränsa åtkomsten till affärskritiska system från IP-adresser i regioner som ni inte gör affärer med, vid DDoS-attacker.
• Se till så att det finns en färdig plan för hur man ska agera med tydlig ansvarsfördelning vid en eventuell attack. Se även till så att det finns färdiga kontaktvägar.
• Har man affärskritiska system som kräver hög tillgänglighet, kan olika DDoS-tjänster som Akamai, Cloudflare eller svenska Baffin Bay Networks erbjuda en avsevärd förbättring av skyddet. De har också expertis som kan hjälpa dig om du är utsatt för en attack.
• Ordentliga brandväggsloggar är nyckeln när ett incident respons team ska försöka begränsa effekten av en långdragen attack. Det kräver dock att man själv har personal på plats eller hyr in personal som kan använda loggarna.
• Se också till att vara tydlig i kommunikationen utåt om man utsätts för en svårare DDoS attack med återkommande störningar över flera dagar. En DDoS attack är visserligen otrevlig, men den är egentligen inte något allvarligt hot, eftersom inga system på insidan hotas. Därför är det ofta bättre att tydligt gå ut och förklara, t.ex. på Twitter att man är utsatt för en DDoS attack, men att ingenting är skadat, än att vara tyst och riskera att kunder tror att något värre har inträffat.

För mer information kring hur man ökar sitt skydd mot DDoS attacker. 

Gärningspersoner köper dels varor, dels presentkort på höga summor genom att uppvisa vad som av handlaren uppfattas som en genuin Swish-betalning. Allt ser korrekt ut och säkerhetsdetaljen, i form av fyrverkerier när man trycker på skärmen, finns också på plats.

Först senare, oftast vid dagsavslut upptäcker handlaren att betalning aldrig inkommit.

För att förtydliga handlar det inte om att Swish-appen blivit hackad. Falska Swish-botar finns enkelt att ladda ner på diverse chattforum, och i dessa är det fritt fram att skriva in mottagare och summa.

Swish är medvetna om problematiken och jobbar aktivt med att stänga ner hemsidor som sprider Swish-botar.

Rekommendation

Vid en transaktion till en privatperson får man notis om att inbetalning skett. Vid en företagstransaktion sker inte detta utan verifiering sker först vid kontroll mot företagskortet. Det blir därför svårt för medarbetaren i kassan att verkligen veta huruvida betalningen är genomförd eller inte.

Swish har tagit fram en företagsapp som gör det möjligt att få verifiering även vid transaktioner till företag. En app som de flesta storbankerna idag erbjuder. Med hjälp av appen kan man se betalningar av kunder i realtid och man kan även välja vem som ska ha behörighet att se vad.

Rekommendationen är därför att ta kontakt med din företagsbank och se vilka lösningar de har att erbjuda. Och som alltid, var uppmärksam.