Utviklingen av nettkriminelle og påstander om sosial manipulering

En australier rapporterer om nettkriminalitet hvert sjette minutt. Bare i 2024 utgjorde rapporterte svindeltap svimlende 2,74 milliarder AUD. Blant disse sto Business Email Compromise (BEC), også kjent som sosial manipulering, for 91,6 millioner AUD. Disse tallene fremhever både det økende omfanget og kompleksiteten til nettkriminalitet – og de økende utfordringene det utgjør for både forsikringsselskaper, bedrifter og enkeltpersoner.

Fra hettegensere til bedriftsstrukturer

Når vi ser for oss en nettkriminell, kommer bildet ofte fra filmer: en enslig skikkelse i hettegenser som jobber i mørket med en lysende skjerm. Selv om disse skurkene fortsatt eksisterer, ser den moderne nettkriminelle veldig annerledes ut.

I dag opererer mange innenfor strukturerte organisasjoner som speiler legitime virksomheter. Kriminelle rekrutteres, får utbetalt lønn og mottar til og med bonuser og ferier. Rekrutteringsprosesser skjer på det mørke nettet, hvor nettkriminelle må fremlegge referanser og bestå ferdighetstester, omtrent som i næringslivet. 

Statsstøttede grupper, mest kjent i Nord-Korea og Russland, tar dette til et nytt nivå og investerer tungt i teknologi og forskning for å forbedre sine evner. Denne utviklingen har gjort det mulig for dem å lansere stadig mer komplekse og overbevisende svindelforsøk i stor skala.

Fremveksten av sofistikert sosial manipulering

For et tiår siden involverte påstander om sosial manipulering vanligvis klønete e-poster fulle av stavefeil, vage instruksjoner og uoverensstemmelser i e-postadresser. Disse svindelforsøkene var relativt enkle å oppdage.

I dag bruker nettkriminelle datautvinning, åpen kildekode-forskning og stjålet forretningsinformasjon for å lage langt mer overbevisende angrep. Ved å gjennomsøke plattformer som LinkedIn identifiserer kriminelle finansfolk med myndighet til å flytte penger og skreddersyr kommunikasjon deretter. Disse e-postene speiler nå legitim korrespondanse, og bruker riktig tone, språk og til og med kallenavn som brukes i virksomheten.

I noen tilfeller tilbringer kriminelle uker inne i et kompromittert nettverk, hvor de studerer arbeidsflyter, leverandørforhold og kommende fakturaer for å lage svært målrettede svindelforsøk. Resultatet: færre røde flagg og større sjanse for å lykkes.

Rollen til kunstig intelligens og deepfakes

Kunstig intelligens har akselerert utviklingen av sosial manipulering dramatisk. Deepfake-teknologi lar nå kriminelle overbevisende gjenskape stemmer og til og med ansikter til ledere.

I en høyprofilert sak autoriserte en ansatt i et multinasjonalt selskap i Hong Kong en betaling på 200 millioner HKD (omtrent 39,5 millioner AUD) etter å ha deltatt i en Zoom-samtale med det som så ut til å være toppledelsen. Det eneste problemet? Ledelsen var AI-genererte deepfakes.

Deepfakes er ikke lenger de klumpete, robotiske forfalskningene fra for noen få år siden. I dag er de svært realistiske, noe som gjør det vanskelig – selv for trente fagfolk – å se forskjellen. Kombinert med stjålne stemmeopptak og videoklipp som kan være samlet fra internett, kan kriminelle nå lage svært overbevisende etterligninger.

Fra et kravperspektiv byr dette på betydelige utfordringer. Tale- og videosvindel etterlater lite papirspor, noe som gjør verifisering vanskelig. Videre kan det hende at ofrene ikke innser at de har blitt lurt før mye senere, noe som reduserer sannsynligheten for å lykkes med å inndrive midler gjennom banker.

Fremvoksende trusler: AI-agenter

Den neste grensen innen nettkriminalitet forventes å være AI-agenter – autonome systemer som er i stand til å resonnere, lære og ta avgjørelser uten menneskelig inngripen. I motsetning til dagens AI-assistenter, som krever instruksjoner, kan AI-agenter handle uavhengig.

I en nettkriminell kontekst betyr dette at en AI-agent kan:

• Søk på internett etter mål
• Bygg CRM-databaser for finansmedarbeidere
• Utkast til overbevisende korrespondanse
• Sender ut tusenvis av svindel-e-poster i stor skala

Og alt uten menneskelig tilsyn. Kostnaden er minimal, rekkevidden er enorm, og selv om bare ett forsøk lykkes, kan avkastningen være betydelig.

Lovgivende og bankmessige tiltak

Myndigheter og finansinstitusjoner reagerer. I februar 2025 ble svindelforebyggingsloven vedtatt i Australia, som krever at banker implementerer strengere kontroller for å oppdage, forhindre og forstyrre svindel.

Utviklingen inkluderer etableringen av Scam-Safe-avtalen til den australske bankforeningen (Australian Banking Association), inkludert en investering på 100 millioner dollar i teknologi for navnekontroll, som bekrefter om kontonavnet samsvarer med bankkontonummeret og kontonummeret som er oppgitt. Andre initiativer inkluderer økte advarsler, tilbakeholdelse av betalinger til nye bankkontoer og ytterligere sikkerhetsspørsmål.

Vi forventer at disse kontrollene kan medføre driftsmessige utfordringer for små og mellomstore bedrifter som bør vurderes og, om mulig, planlegges på forhånd. Eventuelle forsinkelser i betalinger kan for eksempel forstyrre leverandørenes kontantstrøm.  

Implikasjoner for forsikringskrav

Fra et forsikringsperspektiv har også formuleringen av polisene utviklet seg. Mange poliser inkluderer nå unntak eller høyere egenandeler dersom visse verifiseringskontroller ikke er på plass eller ikke følges. For eksempel kan forsikringsselskaper kreve:

• Telefonverifisering av eventuelle endringer i leverandørens bankkontodetaljer
• Funksjonsdeling i fakturabehandling
• Dokumenterte prosedyrer for godkjenning av betalinger

Domstolene har gjentatt denne holdningen. I 2025 holdt en domstol i Vest-Australia en bedrift ansvarlig for å ha betalt en falsk faktura etter at verifiseringsmetodene deres ble ansett som utilstrekkelige. Forventningen er klar: bedrifter må ta rimelige skritt for å beskytte seg selv.

Hva organisasjoner kan gjøre

Til tross for hvor sofistikerte angrepene er, kan bedrifter redusere risikoen betydelig med de riktige prosessene på plass:

• Verifiseringsprotokoller: Bekreft alltid endringer i bankopplysninger via telefon, ved å bruke uavhengig innhentede telefonnumre.
• Styrkelse av ansatte: Oppmuntre ansatte til å stille spørsmål ved uvanlige forespørsler, selv fra «ledende ansatte».
• Opplæring: Oppdater de ansatte regelmessig om nye trusler og røde flagg.
• IT-kontroller: Implementer flerfaktorautentisering, begrens administratorrettigheter og håndhev regelmessige passordendringer.

Til syvende og sist er årvåkenhet på individ- og organisasjonsnivå fortsatt det sterkeste forsvaret.

Hvordan Sedgwick kan hjelpe

Fremveksten av sofistikert nettkriminalitet fremhever den økende kompleksiteten ved å håndtere krav. Hver sak krever nøye analyse – ikke bare av økonomisk tap, men også av samsvar med policyteksten, verifiseringsprosesser og inndrivelsesmuligheter.

Hos Sedgwick har vårt rettsmedisinske regnskapsteam ekspertisen til å navigere disse utfordringene. Som en av Australias største grupper av rettsmedisinske regnskapsførere støtter vi forsikringsselskaper, bedrifter og juridiske klienter med nøyaktig og omfattende kvantifisering og løsning av cyber- og sosial manipuleringskrav. Utover nettkriminalitet jobber spesialistene våre med et bredt spekter av spesialkrav, og sikrer klarhet, nøyaktighet og pålitelige resultater i komplekse situasjoner.

Hvis du vil vite mer om hvordan Sedgwick kan støtte deg med cyber-, sosial manipulerings- eller spesialkrav, kan du kontakte Beth Fieldhouse [email protected] , Lucy Tang [email protected] eller Emma Levett [email protected]