Falske e-poster i bedriftens navn

Hva som skjer

Svindlere sender e-post som ser ut til å komme fra en bedrift eller en leder. Meldingen ber om en betaling, et nytt kontonummer eller en rask overføring. Nettvett beskriver direktørsvindel slik: svindlerne finner nøkkelpersoner i bedriften, registrerer et domene som ligner bedriftens navn, og skriver overbevisende norsk. Svarene går til svindleren, ikke til den ekte lederen.

For dere som bedrift har det to sider. Dere kan bli brukt som avsender mot kundene deres. Og dere kan selv bli mottaker av falske fakturaer som ser ut til å komme fra en leverandør.

Hva DMARC reject stopper

Når domenet har DMARC på p=reject, ber dere mottakeren om å avvise meldinger som later som de kommer fra nøyaktig deres domene, men som ikke består SPF eller DKIM med passende domene. Meldinger som feiler, skal da avvises, i stedet for å havne hos kunden.

Mottakeren avgjør selv hva som skjer, så beskyttelsen er ikke hundre prosent. Microsoft skriver at meldingen vanligvis blir forkastet ved p=reject, og at det avhenger av mottakerens system. Microsoft 365 har en innstilling for å følge avsenderdomenets DMARC-policy, og Microsoft anbefaler at den står på.

Ifølge egen måling 6. oktober 2026 av 928 norske e-postdomener hadde 14 % av domenene reject, 22 % quarantine, 37 % none og 28 % ingen DMARC. De fleste norske bedriftsdomener er altså åpne for denne typen forfalskning.

Rapportene (rua) viser dessuten hvem som forsøker. Microsoft beskriver at ukjente IP-adresser med mange meldinger som alle feiler, tyder på forfalskning, og at policyen da beskytter mottakerne.

Hva DMARC ikke stopper

DMARC verner bare det eksakte domenet dere eier. Det stopper ikke et lignende domene, for eksempel firma-no.com i stedet for firma.no. Det domenet eier svindleren, og svindleren kan sette opp sin egen SPF, DKIM og DMARC som består.

Det stopper heller ikke at svindleren bruker et visningsnavn med deres navn fra en gratis e-postadresse, eller at en medarbeiders ekte konto blir kapret. Da kommer meldingen fra en ekte server med gyldig oppsett, og alt består.

Derfor er DMARC ett lag. Det beskytter domenet mot direkte forfalskning. Rutiner og forsiktighet hos den som mottar meldingen, må komme i tillegg.

Domener dere ikke bruker

Eier dere domener som ikke brukes til e-post, bør de si det tydelig. Microsoft anbefaler en SPF-oppføring med v=spf1 -all og en DMARC-oppføring med v=DMARC1; p=reject. Dere skal ikke publisere DKIM-nøkler på slike domener. Da er det ingen som kan sende i deres navn derfra.

Vurder også å registrere de mest åpenbare variantene av domenenavnet, for eksempel med .com. Det stenger ikke alle varianter, og det er ikke noe krav, men det gjør de enkleste forfalskningene vanskeligere.

Slik kommer dere dit

Gå til p=reject i flere trinn, ikke på dag én. Hvis en tjeneste dere har glemt, sender i deres navn, vil den bli avvist.

1. Sett opp SPF og DKIM for alle som sender i deres navn.
2. Publiser DMARC med p=none og rua, og les rapportene i noen uker.
3. Rett det som feiler, og gå til quarantine.
4. Gå til reject når rapportene er rene.
5. Registrer SPF -all og DMARC reject på domener dere ikke bruker.

Hva dere sier til kundene

Selv med reject kan kundene få falske meldinger fra lignende domener. Fortell dem derfor på forhånd hva dere gjør og ikke gjør. Legg det på nettsiden og nederst på fakturaer.

Et forslag til tekst: «Vi sender aldri beskjed om endret kontonummer på e-post. Får du en slik melding, ring oss på det nummeret du har fra før eller fra nettsiden vår, og bruk ikke nummeret i meldingen.»

Nettvett gir samme råd til dem som mottar slike meldinger: les en e-post som ber om pengeoverføring to ganger, se etter uvanlige avsender- eller svaradresser eller et annet domene enn forventet, og bekreft forespørselen på en annen måte enn ved å svare på e-posten. Bruk ikke et telefonnummer som står i meldingen.

Hvis en overføring er gjort, ring banken umiddelbart, og anmeld saken til politiet. Sjekk domenet deres på forsiden for å se hvilken DMARC-policy dere har publisert.

Vanlige spørsmål