De vd-bedrägerier där offret förlorade över en miljon kronor gav bedragarna 161 miljoner kronor i fjol, mot 19 miljoner 2023. Det visar Polisens analys av brottsvinsterna från bedrägerier.
Miljonförluster från vd-bedrägerier har åttadubblats på två år
I ett vd-bedrägeri utger sig bedragaren för att vara vd eller ordförande och får någon i bolaget att föra över pengar. År 2025 förlorade 21 målsägande mer än en miljon kronor på det sättet, mot fyra 2023. Ett av de 21 fallen gällde mellan 30 och 100 miljoner kronor.
Vd-bedrägerierna som helhet krymper däremot, och Polisen räknar brottsvinsten för dem till 214 miljoner kronor, 12 procent mindre än 2024. Antalet anmälda försök sjönk från 707 till 536, så att färre försök gav större summor. Enligt rapportens tabeller stod miljonfallen för 75 procent av pengarna i fjol mot 6 procent 2023, och snittförlusten i dem steg från 4,8 till 7,7 miljoner kronor.
Polisen anger inte vad som ligger bakom de större förlusterna. Försäkringsbolaget Trygg-Hansa varnade i juni sina 31 000 företagskunder i Sverige för en ny sorts vd-bedrägeri, efter att säkerhetsbolaget Truesec hade sett flera fall där anställda kontaktats av en röst och en bild som liknade chefens men var skapade med AI.
”Den här typen av AI-bedrägeri, som vi för ett år sedan bara läste om i amerikanska rapporter, hanterar vi nu i nordiska ärenden”, säger Morten von Seelen på Truesec Danmark i Trygg-Hansas pressmeddelande.
”Bara för att du hör din chef i telefon betyder det inte att det faktiskt är personen i andra änden”, säger Caroline Oldmark, ansvarig för cyberförsäkringar på Trygg-Hansa. Bolagets undersökning visade att hälften av småföretagsledarna tror att AI ökar risken för bedrägerier.
Videomötet som lurade Arup
Zacharia Baldwin, som leder en grupp för komplex finansbrottslighet vid FBI i Miami, beskriver i Harvard Business Review den 28 oktober hur sådana bedrägerier tar sig igenom företagens kontroller. Anställda har enligt honom i årtionden litat på signaler som ingen har kontrollerat, till exempel en kollegas röst eller att en kund alltid betalar samma vecka, och generativ AI har gjort det billigt att förfalska varje sådan signal.
Hans huvudexempel är det brittiska ingenjörsbolaget Arup, där en ekonomianställd i Hongkong 2024 blev misstänksam mot ett mejl från finanschefen i London och begärde en kontroll. Bedragarna ordnade då ett videomöte där finanschefen och flera kolleger syntes och hördes, alla skapade med AI ur filmer som låg öppet på nätet. Den anställde gjorde 15 överföringar på sammanlagt omkring 250 miljoner kronor.
Inget av Arups system hade hackats. Mejlen, videotjänsten och betalsystemet fungerade som de skulle, och betalsystemet flyttade pengarna på order av en behörig anställd.
Baldwin pekar på skarvarna mellan stegen när en betalning går från mejl till attest, betalplattform, bank och bokföring. ”Varje system för sig kan vara helt tätt, men övergångarna mellan dem är det inte”, skriver han.
Kontrollen gick genom bedragarnas egen kanal
Arups kontroll misslyckades eftersom videomötet var bedragarnas eget. ”Det som hade fungerat var ett samtal han själv ringde till ett nummer ur företagets katalog”, skriver Baldwin. Att numret i telefonen ser rätt ut räcker inte heller.
När ett spanskt bolag lurades på 900 000 euro, omkring 10 miljoner kronor, såg samtalet från den klonade ledningen ut att komma från koncernens eget växelnummer, enligt affärstidningen Cinco Días.
Baldwin vill också att bolagen inför en extra kontroll i det steg där pengarna lämnar företaget och inte går att få tillbaka, och att en namngiven person med rätt att stoppa betalningen ansvarar för varje sådan skarv. Den personen får enligt Baldwin aldrig själv begära, attestera eller genomföra betalningen.
