VD-bedrägeri och vishing: skydda företaget mot röstbluffar

Vishing, vd-bedrägeri och AI-klonade röster riktas mot företag. Så känner ni igen röstbluffar – och rutinerna som stoppar dem.

Oktober är cybersäkerhetsmånaden i hela EU. I Sverige drivs kampanjen Tänk säkert, i år samordnad av Nationellt cybersäkerhetscentrum tillsammans med bland andra Polisen, och den 9 oktober arrangerar Internetstiftelsen "Hela Sveriges säkerhetsevent" med fokus på bedrägerier. Tajmingen är ingen slump: de flesta angrepp mot företag börjar inte med avancerad hackning, utan med ett mejl eller ett telefonsamtal till en människa. I den här guiden går vi igenom hur röstbaserade bedrägerier mot företag fungerar, varför AI-klonade röster höjer insatserna och vilka rutiner som faktiskt skyddar.

Vad är vishing – och vad är vd-bedrägeri?

Vishing (voice phishing) är nätfiske per telefon. En bedragare ringer upp och försöker få den som svarar att lämna ut uppgifter, logga in någonstans, installera något eller genomföra en betalning. Rösten i luren kan utge sig för att komma från banken, "supporten", en myndighet – eller från någon i det egna företaget.

VD-bedrägeri är den variant som kostar företag mest per försök. Branschorganisationen Företagarna beskriver mönstret: någon som utger sig för att vara företagets vd kontaktar en medarbetare, ofta på ekonomifunktionen, med en begäran om att föra över pengar. Det rör sig typiskt om stora belopp, och överföringen ska ske snabbt. Historiskt har kontakten oftast skett via mejl, men telefonsamtal och röstmeddelanden används allt mer – just för att en röst känns svårare att ifrågasätta än en avsändaradress.

AI-röstkloning gör bluffen svårare att avslöja

Redan i maj 2023 varnade polisens nationella bedrägericentrum för att bedragerier med AI-klonade röster förekommer i Sverige. Principen är obehagligt enkel: det räcker med en kort bit inspelat tal – från sociala medier, poddar, föredrag eller till och med röstbesked i en telefonväxel – för att skapa en röst som låter förvillande lik originalet.

I mars 2026 gick även Finansinspektionen ut och varnade för AI-bedrägerier, bland annat scenariot där någon som låter som en närstående ringer och behöver pengar akut. Enligt FI:s undersökning är sex av tio svenskar oroliga för AI-baserade bedrägerier – och FI:s viktigaste råd gäller även på jobbet: agera aldrig under tidspress, kontrollera alltid källan via en oberoende kanal och kom överens om kodord eller kontrollfrågor i förväg.

Slutsatsen för företag är krass men nyttig: en välbekant röst är inte längre ett bevis på vem som ringer. Rutinerna måste utgå från det.

Varningssignalerna i samtalet

Röstbluffar mot företag känns ofta igen på samma mönster, oavsett om rösten är äkta eller klonad:

Brådska. – Beslutet måste fattas nu – innan någon hinner tänka efter eller fråga en kollega.

Sekretess. – "Berätta inte för någon, affären är känslig." Isolering är bedragarens bästa verktyg.

Avsteg från rutiner. – Betalning utanför ordinarie attestflöde, nytt bankgironummer, en "ny leverantör" som ingen hört talas om.

Ovanlig kanal eller tid. – Vd ringer från okänt nummer, sent på dagen eller mitt i semestern.

Känslotryck. – Smicker ("jag litar på att du fixar det här") eller hot om konsekvenser.

Säkerhetskollen, som drivs av SSF Stöldskyddsföreningen, pekar ut just den konstruerade brådskan som en klassisk varningssignal – och rådet att aldrig genomföra en överföring utan verifiering gäller oavsett hur övertygande samtalet låter.

Rutiner som stoppar röstbluffar

1.Tvåpersonsprincip för betalningar. Företagarnas grundråd mot vd-bedrägerier är tydliga rutiner för attestering och hantering av betalningar. Ingen enskild person ska kunna genomföra en stor överföring på en muntlig begäran – oavsett vem som ber om den.

2.Ring alltid tillbaka via ett känt nummer. Lägg på och ring upp personen på det nummer ni redan har i växeln eller kontaktlistan – aldrig på ett nummer som uppges i samtalet. Det är Säkerhetskollens enskilt enklaste råd, och det biter även på klonade röster.

3.Inför kodord eller kontrollfrågor. FI rekommenderar kodord inom familjer – samma princip fungerar utmärkt i en ledningsgrupp eller på en ekonomiavdelning för att verifiera känsliga ärenden.

4.Utbilda och öva. Gå igenom scenarierna med alla som hanterar betalningar eller känsliga uppgifter. Företag som omfattas av nya cybersäkerhetslagen arbetar redan systematiskt med riskhantering – läs mer i vår guide om cybersäkerhetslagen och NIS2.

5.Låt rutinen gälla utan undantag. Hela poängen med en verifieringsrutin är att den inte går att prata bort – inte ens av "vd:n" själv. En äkta vd kommer att tacka er efteråt.

Telefonins roll i skyddet

Er telefonilösning är en del av försvaret:

Svarservice som första filter. – En bemannad svarservice tar emot samtal, dokumenterar ärenden och släpper inte igenom påstridiga uppringare direkt till medarbetare.

Växelns struktur. – Svarsgrupper, röstmenyer och hänvisning gör att oväntade samtal till "fel" person blir ovanligare – och därmed mer iögonfallande när de sker.

Operatörernas bedrägerifilter. – Sedan den 1 augusti 2026 är operatörer skyldiga att stoppa samtal och meddelanden som kan antas användas för bedrägeri, och PTS tar fram närmare föreskrifter som väntas i början av 2027. Vi har skrivit mer om detta i vår genomgång av de nya reglerna mot bedrägerisamtal. Men lagen tar sikte på massutskick och manipulerade nummer – ett välriktat samtal med klonad röst kan fortfarande ta sig igenom. Tekniken minskar bruset; rutinerna tar resten.

Skydda era egna nummer och röster. – Tänk på att även ert företags utgående nummer kan missbrukas eller felmarkeras – det har vi skrivit om i guiden när företagsnumret visas som spam. Och om ni använder AI i er egen telefoni, till exempel en AI-receptionist, ska det framgå att det är en AI – märkningskravet i AI-förordningen gäller fullt ut från den 2 december 2026, vilket vi går igenom i vår AI Act-guide.

Om skadan redan är skedd

Kontakta banken omedelbart – ju snabbare, desto större chans att betalningen kan stoppas eller spåras. Polisanmäl händelsen, även om beloppet är litet eller försöket misslyckades. Informera internt så att fler inte går på samma bluff, och spara allt underlag: nummer, tidpunkter, röstmeddelanden och mejl. Gå därefter igenom vilka uppgifter bedragaren hade och täpp till källan.

Vill ni gå igenom hur växel, svarservice och säkerhetsrutiner hänger ihop hos er? Boka en kostnadsfri konsultation så hjälper vi er att täppa till luckorna.

Vanliga frågor

Vad är vishing?

Vishing är nätfiske via telefon: en bedragare ringer och försöker lura den som svarar att lämna ut uppgifter eller genomföra betalningar. Namnet kommer från "voice phishing".

Vad är ett vd-bedrägeri?

En bedragare utger sig för att vara vd eller annan chef och ber en medarbetare, ofta på ekonomiavdelningen, att snabbt föra över pengar. Kontakten sker via mejl, telefon eller röstmeddelande, och bygger på brådska och auktoritet.

Kan man höra om en röst är AI-klonad?

Ofta inte. Moderna röstkloner kan vara mycket lika originalet, särskilt i korta samtal med dålig ljudkvalitet. Verifiera därför alltid via en annan kanal – ring tillbaka på ett nummer ni redan har – i stället för att lita på örat.

Vilken är den enskilt viktigaste rutinen?

Tvåpersonsprincip för betalningar i kombination med att alltid ringa tillbaka via ett känt nummer. Ingen av dem kan pratas bort av en övertygande röst.

Stoppar inte operatörerna bedrägerisamtal numera?

Sedan 1 augusti 2026 måste operatörer stoppa trafik som kan antas användas för bedrägeri, vilket minskar mängden bluffsamtal. Men riktade samtal med äkta eller klonade röster kan ta sig igenom – interna verifieringsrutiner behövs fortfarande.

Vill du veta mer?

Utforska vår tjänst: Svarservice

Läs mer om Svarservice