Fakturabedrägeri: bestrid bluffakturan och stoppa nästa

När ni bestrider en faktura blir fordran tvistig, och avsändaren bör då inte ansöka om betalningsföreläggande. Vill avsändaren ändå driva kravet får tingsrätten pröva om ni är betalningsskyldiga. Det här skriver Företagarna i sin juridiska FAQ.

För ett företag syns en ansökan om betalningsföreläggande vid en kreditupplysning. Har avsändaren ansökt trots att ni bestridit i tid kan ni ansöka om rättelse hos Kronofogdens rättelseteam. Då behöver ni kunna visa att ni bestred fakturan innan ansökan gjordes, vilket är ett skäl att alltid bestrida skriftligt.

Fortsätter påtryckningarna efter bestridandet hänvisar Företagarna till sin juridiska rådgivning för medlemmar. Svensk Handel har en varningslista över oseriösa företag, men bluffbolagen byter ofta namn, så en lista räcker inte som enda kontroll.

Fakturabedrägeri är samlingsnamnet för bedrägerier där ett företag betalar pengar det inte är skyldigt, eller betalar en riktig skuld till fel konto. Formerna skiljer sig i allt utom målet, och de kräver olika skydd.

Den mittersta kolumnen är den farligaste. På engelska kallas den vendor email compromise: en form av business email compromise (BEC) där angriparen agerar från eller som er leverantör i stället för er vd. FBI rapporterar att anmälda BEC-offer förlorade 3,05 miljarder dollar under 2025.

Mönstren nedan beskrivs av Polisen, Företagarna och Skatteverket. De är typexempel, inte enskilda fall.

• Annons- och katalogbluffen. En blankett som ser ut som en faktura men som i liten text visar sig vara ett erbjudande, eller annonsering i en katalog som aldrig ges ut. Företagarna beskriver dessa som särskilt vanliga.
• Telefonförsäljaren. Polisen beskriver hur ett fakturabedrägeri kan börja med ett samtal där säljaren ber dig bekräfta ditt eller företagets namn, som sedan används som “beställning”. Ingå aldrig avtal per telefon och be alltid om en skriftlig offert.
• Den falska gratisannonsen. Ett erbjudande som först verkar vara gratis, där kostnaden står i det finstilta.
• Myndighetsavgiften. Brev eller mejl som kräver en avgift för att ändra eller avregistrera företagsuppgifter. Skatteverket skriver att myndigheten aldrig tar betalt för att ändra eller avregistrera uppgifter om företag.
• Det nya bankgirot. Ett betalnummer som inte stämmer med det leverantören brukar använda. Företagarna råder att föra en leverantörslista med plus- och bankgironummer och stämma av den varje månad.

Vd-bedrägeri är när en bedragare utger sig för att vara vd, ekonomichef eller en annan chef och beordrar någon på ekonomi att göra en brådskande betalning, ofta med instruktionen att hålla det hemligt. Mejlet kommer från en förfalskad adress, en adress där bara visningsnamnet stämmer eller ett kapat konto, och det innehåller sällan en länk eller bilaga. Varianter är att be om ändrat lönekonto för en anställd, eller att lägga en chefsorder ovanpå ett leverantörsbedrägeri: “prioritera betalningen till leverantörens nya konto”.

Skyddet är detsamma som för leverantörsbedrägeri: en betalningsrutin som inte har undantag för brådska eller rang, och en e-postanalys som reagerar på avvikelsen, inte på en känd skadlig länk. Mer på engelska om mönstret finns på sidan om CEO fraud.

Skickas begäran från leverantörens egen brevlåda är SPF, DKIM och DMARC giltiga, eftersom autentisering bevisar vilken brevlåda som skickade mejlet, inte vem som använder den. Använder angriparen en liknande domän kan den domänen också autentiseras korrekt. Därför måste signalen komma från relationen själv.

Sentaros Message-vektor läser varje inkommande och internt mejl som en analytiker skulle göra, innan någon agerar på det. För fakturabedrägeri väger den samman tre grupper av signaler, alla live i dag.

Relation och tråd

Återanvända svarstrådar, injicerade svar och leverantörer som plötsligt byter bankuppgifter. Sentaro bygger relationsbaslinjer från befintlig e-posthistorik i stället för att kräva en lång inlärningsperiod, så ett kontobyte i en relation vars historik aldrig innehållit ett sådant sticker ut från första dagen.

Avsikt och språk

Omdirigerade betalningar, krav på sekretess och konstgjorda tidsfrister, tolkade som avsikt i stället för att matchas mot nyckelordslistor. Sentaro känner igen mönstret brådskande, konfidentiell betalning och dess varianter på alla språk, vilket spelar roll i nordiska leverantörskedjor där mejlen växlar mellan svenska och engelska.

Avsändare och infrastruktur

Visningsnamn som inte stämmer, nyregistrerade och liknande domäner, och hur SPF, DKIM och DMARC är uppsatta. Nyregistrerade domäner som liknar en leverantörs upptäcks vid första kontakten, och liknande domäner riktade mot ekonomi och HR kan blockeras för hela organisationen.

Bedömningen märks i brevlådan, så den som sköter leverantörsreskontran ser varningen där mejlet syns. Skadliga mejl tas bort eller sätts i karantän automatiskt, liknande mejl i alla brevlådor kan åtgärdas i ett steg, och varje bedömning visar sitt resonemang i administrationskonsolen, så ekonomichefen ser varför ett mejl flaggades i stället för att lita på en poäng.

• Återuppringning och dubbel attest. Det är kontrollen som fungerar oavsett vad som landar i inkorgen. Behåll den, utan undantag för brådska.
• Beställnings- och attestkontroll. Bluffakturor är ett rent reskontraproblem, och lösningen finns i ekonomi, inte i e-posten. Bestrid, betala inte, polisanmäl.
• DMARC på era egna domäner. Det stoppar exakt förfalskning av er domän mot era kunder och leverantörer; Sentaro täcker liknande domäner och kapade riktiga konton.
• Filtreringen i Microsoft eller Google. Sentaro är byggt för att köras tillsammans med den, inte ersätta den.
• Telefonsamtal. Sentaro kan inte granska ett telefonsamtal, och påstår inte heller det. Bluffsamtal från telefonförsäljare stoppas av rutinen att aldrig ingå avtal per telefon.

Inget verktyg kan lova att fånga varje försök, och Sentaros villkor säger det rakt ut. Det Sentaro gör är att fånga de omdirigeringsförsök som ser perfekta ut för en människa, så att er rutin inte är den enda kontrollen mellan en angripare och ert bankkonto.