Procedurer i en AI-tid: Mennesket er den sidste forsvarsskanse

Telefonen ringer fredag klokken 15.40. Det er direktøren. Stemmen er hans, tonefaldet er hans, og han har travlt: "Jeg står midt i en handel, der skal lukkes i dag. Overfør 240.000 til denne konto nu, og hold det mellem os indtil mandag."

For fem år siden krævede det svindelnummer en dygtig skuespiller og en god portion held. I dag kræver det tre sekunders lydoptagelse fra et webinar og et AI-værktøj, der kan lejes for få hundrede kroner.

Svindlen er blevet fejlfri

I mange år var der et pålideligt alarmsignal: sproget. Svindelmails skrevet på knudret google-oversat dansk afslørede sig selv, og en mærkelig formulering var nok til at vække mistanken.

Det signal er væk. AI skriver i dag fejlfrit, naturligt dansk, i præcis den tone, din virksomhed selv bruger. Den kan læse din hjemmeside, dine LinkedIn-opslag og dine medarbejderes titler og skræddersy en mail, der rammer den rigtige person med den rigtige kontekst på det rigtige tidspunkt. Stemmer kan klones fra få sekunders lyd. Video kan forfalskes godt nok til et hurtigt Teams-opkald med dårlig forbindelse.

Sagt lige ud: Du kan ikke længere høre, læse eller se forskel. Og det kan din mest erfarne bogholder heller ikke.

Teknikken tager de 99 procent. Mennesket tager resten.

Moderne mailsikkerhed og endpoint-beskyttelse fanger langt hovedparten af angrebene, før nogen ser dem, og den del skal være på plads. Men de mest målrettede angreb er designet til at gå uden om teknikken, fordi de ikke indeholder virus eller farlige links. De indeholder bare en overbevisende besked og en hastende instruks.

Dér står mennesket som sidste forsvarsskanse. Og her begår mange virksomheder den afgørende fejl: De beder medarbejderne om at "være vagtsomme" og "bruge sund fornuft".

Det lyder rigtigt, men det virker ikke. For sund fornuft er præcis det, angrebet er bygget til at omgå. Autoritet ("det er direktøren"), tidspres ("det skal ske nu") og fortrolighed ("hold det mellem os") er psykologiske håndtag, der slår mavefornemmelsen fra hos selv den bedste medarbejder. Ingen kan mærke, at en perfekt klonet stemme er falsk.

Derfor må forsvaret ikke afhænge af, hvad medarbejderen fornemmer. Det skal afhænge af, hvad medarbejderen gør. Hver gang. Uden undtagelse.

Procedurerne, der virker

1. Kodeord ved betalinger. Aftal et hemmeligt kodeord mellem de personer, der kan anmode om og godkende overførsler. Det aftales mundtligt, ansigt til ansigt, og står aldrig i en mail eller en chat. En AI kan klone direktørens stemme, men den kender ikke ordet.

2. Ring tilbage på det kendte nummer. Enhver anmodning om betaling eller ændring af kontooplysninger bekræftes ved at ringe op på det nummer, I har i forvejen. Aldrig på nummeret i mailen, og aldrig ved at svare på beskeden.

3. To personer på alle overførsler over en fast grænse. Ingen enkeltperson skal kunne sende et større beløb af sted alene, uanset hvor travlt der er, og uanset hvem der beder om det.

4. Kontoændringer hos leverandører behandles som nye betalinger. "Vi er skiftet bank, brug venligst denne konto fremover" er et af de mest indbringende svindelnumre overhovedet. Bekræft altid ændringen telefonisk hos en kendt kontaktperson.

5. Hastværk og hemmelighed udløser proceduren, de omgår den ikke. Vend logikken på hovedet i hele organisationen: Jo mere en henvendelse presser på og beder om diskretion, desto mere sikkert skal den håndteres. Netop de to signaler ER alarmen.

6. Gør det legitimt at følge proceduren, også over for chefen. Den vigtigste sætning, en direktør kan sige til sine medarbejdere: "Hvis jeg en dag ringer og beder dig springe proceduren over, så er det ikke mig." Medarbejderen, der insisterer på at ringe tilbage, skal roses, aldrig irettesættes, heller ikke når det viser sig at være et ægte opkald.

Ledelsens tjekliste

Kan I svare ja til alle fem, står forsvaret. Kan I ikke, ved I, hvor I skal starte:

• Der findes en nedskrevet procedure for betalinger og kontoændringer, og den er kendt af alle relevante medarbejdere

• Der er aftalt et kodeord, og det står ingen steder på skrift

• Ingen enkeltperson kan gennemføre en større overførsel alene

• Procedurerne er øvet, fx med en simuleret direktørmail, ikke kun beskrevet

• Ledelsen har selv, højt og tydeligt, givet medarbejderne ret til at sige "jeg følger lige proceduren"

Det ærlige perspektiv

Teknikken skal være i orden: mailfiltrering, endpoint-beskyttelse og overvågning fjerner støjen, så mennesket kun skal stå imod de få angreb, der slipper igennem. Men det sidste led i kæden er og bliver et menneske med en procedure, det tør følge.

Vi hjælper gerne med begge dele: teknikken der fanger de 99 procent, og procedurerne der stopper den sidste. Det starter med en snak om, hvordan jeres betalingsgange ser ud i dag, helt uforpligtende.

Denne artikel er generel vejledning. Procedurer skal altid tilpasses virksomhedens størrelse, betalingsgange og risiko.