En leverandør sender en faktura. Kunden betaler. Pengene lander på en konto, som ikke tilhører leverandøren. Undervejs har en ukendt tredjemand ændret kontonummeret, enten i leverandørens udgående mail eller i kundens indbakke. Leverandøren kræver stadig betaling. Kunden mener at have betalt.
Hvem der bærer tabet, er en juridisk vurdering, som afhænger af aftalen, parternes handlinger og omstændighederne. Den vurdering bygger på faktiske spørgsmål, som næsten alle er tekniske. Denne side handler om dem.
Den generelle håndtering af fakturaer som bevis er beskrevet i Fakturatvister og e-fakturaer som bevis.
De faktiske spørgsmål
- Hvis mailkonto var kompromitteret? Leverandørens, kundens, begges eller ingen af dem?
- Hvordan kom den falske faktura frem? Fra leverandørens rigtige konto, fra et domæne, der ligner, eller via en ændret mail i kundens indbakke?
- Hvornår skete kompromitteringen, og hvornår blev den opdaget?
- Var der tegn, som burde have vakt mistanke? Fx et nyt kontonummer, en udenlandsk konto eller en ændret afsenderadresse.
- Hvilke sikkerhedsforanstaltninger havde parterne? Fx to-faktor-godkendelse og kontrol af ændrede betalingsoplysninger.
Svarene på de første tre spørgsmål kan ofte dokumenteres teknisk. De sidste to indgår i den juridiske vurdering.
Mailheaderen er nøglen
Den falske mail skal sikres i sin oprindelige form med fuld header, ikke som en videresendt mail eller en udskrift. Headeren viser blandt andet:
- hvilken server mailen faktisk kom fra,
- om afsenderdomænet er leverandørens eget eller et domæne, der ligner,
- resultatet af afsenderkontroller, som kan vise, om mailen var godkendt af domænets ejer,
- tidspunkter for, hvornår mailen passerede de enkelte servere.
Kom mailen fra leverandørens rigtige server, peger det på, at leverandørens konto eller system var kompromitteret. Kom den fra et lignende domæne, kan ingen af parternes konti have været kompromitteret, men angriberen kan have fået kendskab til korrespondancen på anden vis. Det afgør, hvor den videre undersøgelse skal foregå. → Hvornår er en mail kommet frem?
Spor i mailsystemerne
Er en konto kompromitteret, kan der være spor i systemets logs:
- loginforsøg fra ukendte steder eller enheder,
- regler, der automatisk flytter, sletter eller videresender bestemte mails,
- ændringer af adgangskode eller to-faktor-indstillinger,
- adgang til postkassen via programmer eller apps, som brugeren ikke kender.
Regler i postkassen er et typisk spor. En angriber kan oprette en regel, der skjuler svar fra kunden, så den rigtige bruger ikke opdager korrespondancen. Reglen kan være slettet igen, men oprettelse og sletning kan fremgå af en revisionslog. → Sådan læser du en logfil
Hvordan vidste den ukendte tredjemand det?
En falsk faktura virker, fordi den kommer på det rigtige tidspunkt, med det rigtige beløb og i den rigtige tone. Det kræver kendskab til korrespondancen. Spørgsmålet om, hvor kendskabet kom fra, peger ofte på, hvis system der var kompromitteret.
Typiske forløb er:
- den falske mail er et svar i en eksisterende mailtråd, hvilket tyder på adgang til en af postkasserne,
- den falske mail kommer fra et lignende domæne, men citerer tidligere mails ordret,
- den falske faktura er en ændret kopi af en rigtig faktura, med samme layout og nummer.
Ligner den falske faktura den rigtige helt ned i detaljer, kan en sammenligning af de to filer vise, hvilket program der har ændret den, og hvornår. Filens metadata kan pege på et andet program eller en anden forfatter end leverandørens normale.
Parternes faste praksis
Hvordan parterne normalt udvekslede fakturaer og betalingsoplysninger, kan have betydning for vurderingen. Det kan dokumenteres ud fra tidligere korrespondance:
- Hvilket kontonummer stod på tidligere fakturaer?
- Blev fakturaer normalt sendt som e-faktura, via en portal eller som PDF i mail?
- Indeholdt aftalen eller fakturaerne en advarsel om, at kontonummeret aldrig ændres pr. mail?
- Har kunden tidligere bekræftet ændringer telefonisk?
Et udtræk af alle fakturaer og betalinger mellem parterne i en længere periode kan vise, om den falske faktura afveg fra mønsteret, og hvor tydeligt afvigelsen var.
Begge parter bør sikre
Advokaten for den ene part ser kun sin egen klients systemer. Det er derfor sjældent nok at undersøge den ene side. Viser leverandørens logs ingen spor, er det relevant at spørge til kundens systemer, og omvendt.
Logs i mailtjenester har ofte begrænset opbevaringstid. Advokaten bør derfor tidligt:
- bede klienten om straks at sikre logs og den falske mail,
- opfordre modparten til at gøre det samme,
- overveje at bede banken om at bevare oplysninger om modtagerkontoen og transaktionen. → Edition fra tredjemand
En skriftlig anmodning om bevarelse til modparten kan være vigtig, hvis der senere opstår uenighed om, hvem der havde mulighed for at sikre hvad. → Bevarelsespligt og litigation hold
Betalingen
Bankens oplysninger viser, hvornår betalingen blev gennemført, til hvilken konto, og om den blev godkendt med de sædvanlige midler. Det siger noget om forløbet, men ikke om, hvem der havde ansvaret for kontonummeret. Er pengene sendt videre, kan det også have betydning for muligheden for at få dem tilbage. → Betalingstvister: overførsler og mobilbetalinger
Forsikring
Mange virksomheder har en cyberforsikring, der kan dække dele af tabet. Forsikringsselskabet vil typisk stille spørgsmål til de samme forhold, og en grundig teknisk dokumentation kan bruges begge steder. Det er en fordel, hvis den tekniske undersøgelse fra starten tilrettelægges, så den kan bruges både over for modparten og over for forsikringsselskabet.
Hvad en IT-sagkyndig kan konkludere
En teknisk undersøgelse kan ofte fastslå, hvorfra den falske mail kom, om en postkasse har haft uautoriseret adgang i en periode, og om der er oprettet regler eller tilknyttet apps. Den kan også vise, om den falske faktura er en ændret udgave af en rigtig faktura.
Grænserne er:
- Manglende logs er ikke bevis for, at intet skete. Er opbevaringstiden udløbet, kan en kompromittering hverken bekræftes eller afvises.
- En IP-adresse er sjældent en identitet. Angribere bruger ofte tjenester, der skjuler deres placering. → IP-adresser og routerlogs som bevis
- Undersøgelsen kan ikke sige, om en part burde have opdaget svindlen. Den kan beskrive, hvad der var synligt for modtageren, fx afsenderadresse og kontonummer, men vurderingen af agtpågivenhed er juridisk.
Det er derfor vigtigt, at begge parters systemer undersøges efter samme metode, så resultaterne kan sammenlignes.
Typiske fejl
- At videresende den falske mail til advokaten, så headeren ændres.
- At slette regler i postkassen uden først at dokumentere dem.
- At nulstille adgangskoder uden at sikre logs fra perioden.
- At antage, at det er modpartens konto, der var kompromitteret, uden at undersøge sin egen.
- At vente med at sikre logs, til forhandlingerne er brudt sammen.
Spørgsmål til klienten
- Hvem modtog og håndterede fakturaen?
- Har nogen kontaktet leverandøren eller kunden for at bekræfte kontonummeret?
- Er der foretaget ændringer i mailsystemet efter hændelsen?
- Er der en IT-leverandør, der administrerer systemet?
- Hvornår blev fejlen opdaget, og hvem fik besked først?
Tjekliste
- ☐ Den falske mail er sikret i original form med header
- ☐ Det er undersøgt, om afsenderdomænet er ægte eller ligner
- ☐ Logs og regler i postkassen er sikret
- ☐ Modparten er opfordret til at sikre sine logs
- ☐ Bankoplysninger om transaktionen er efterspurgt
Når det er uklart, hvis mailkonto der var kompromitteret, bør en IT-sagkyndig undersøge begge parters spor, mens de stadig findes.
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
