En faktura eller ett sms från Fortnox Finans kan se helt äkta ut och ändå vara ett försök till bedrägeri. Samtidigt är en betalningsbegäran med Fortnox som avsändare inte automatiskt falsk, eftersom Fortnox Finans faktiskt används som fakturapartner av svenska företag. Här går jag igenom hur du skiljer en legitim betalning från en bluff, vad du ska göra innan du betalar och hur du agerar om du redan har lämnat uppgifter eller fört över pengar.
Det viktigaste att kontrollera innan du betalar
- Fortnox-namnet räcker inte som bevis på att meddelandet är äkta.
- Klicka inte på länkar i oväntade sms eller mejl.
- Kontrollera om det finns en verklig beställning eller skuld bakom fakturan.
- Bestrid en felaktig faktura skriftligt och så snabbt som möjligt.
- Har du betalat eller använt BankID ska du kontakta banken direkt och polisanmäla.
Är det en bluff eller en riktig betalningsförfrågan
Det korta svaret är att det beror på vem som har skickat fakturan och varför. Fortnox Finans kan hantera fakturor, påminnelser och andra betalningsflöden för företag som använder Fortnox tjänster. Därför kan en riktig faktura komma från Fortnox Finans även om du egentligen har köpt något från ett annat företag.
Problemet är att bedragare kan använda ett känt varumärke för att skapa förtroende. De kan kopiera logotyper, formuleringar och färger, eller skicka ett meddelande som ser ut att komma från en legitim avsändare. Min grundregel är enkel: kontrollera själva affären först och avsändaren därefter.
Fråga dig om du faktiskt har beställt varan eller tjänsten. Kontrollera också om företagsnamnet på fakturan är en leverantör du känner igen, om beloppet stämmer med avtalet och om fakturan passar in i företagets vanliga betalningsflöde. En oväntad påminnelse är inte automatiskt ett bevis på bedrägeri, men den ska inte betalas utan kontroll.
Fortnox som fakturapartner
En legitim faktura kan vara utställd av ett företag du känner igen men ange Fortnox Finans som betalningsmottagare. Det kan hända när leverantören använder fakturaservice eller har överlåtit fakturahanteringen. Fortnox beskriver själv att företaget hanterar stora mängder betalningar som ursprungligen gäller andra företag.
Det betyder samtidigt inte att en faktura är äkta bara för att den innehåller ett Fortnox-namn eller ett korrekt organisationsnummer. Avsändarfält, logotyp och bankgiro kan kopieras. Kontrollera därför alltid uppgifterna från en oberoende väg, exempelvis genom att logga in i den tjänst du redan använder eller kontakta leverantören via tidigare kända kontaktuppgifter.
Tecken på falsk faktura, sms eller e-post
Bedragare försöker ofta få dig att agera innan du hinner tänka. Det kan handla om en förfallen faktura, ett hot om inkasso eller ett påstående om att ditt konto stängs samma dag. Tidspress är en av de tydligaste varningssignalerna, särskilt när meddelandet samtidigt kräver BankID, kortuppgifter eller inloggning.
- Du får ett krav för en vara eller tjänst som ingen i företaget har beställt.
- Beloppet är ovanligt högt, mycket lågt eller avrundat på ett märkligt sätt.
- Språket innehåller fel, konstiga formuleringar eller en ovanlig blandning av svenska och engelska.
- Mejladressen liknar en riktig adress men har en extra bokstav, ett annat domännamn eller en ovanlig ändelse.
- Meddelandet uppmanar dig att klicka på en länk för att “bekräfta”, “stoppa” eller “låsa upp” en betalning.
- Du får instruktioner att ringa ett telefonnummer i sms:et i stället för att använda företagets vanliga kontaktväg.
- En person ber dig lämna ut koder, signera en BankID-begäran eller installera fjärrstyrningsprogram.
Falska meddelanden behöver inte vara dåligt skrivna. Med hjälp av automatiserade verktyg kan bedragare numera skapa övertygande texter på svenska. Därför är språk och design bara svaga ledtrådar. Det som väger tyngre är om betalningen kan kopplas till ett verkligt avtal och en faktisk leverans.
| Signal | Vad den kan betyda | Vad du bör göra |
|---|---|---|
| Oväntad faktura | Obeställd tjänst eller fel mottagare | Kontrollera beställning, avtal och leverantör |
| Akut hot om inkasso | Försök att stressa fram betalning | Betala inte från länken och verifiera kravet separat |
| BankID-begäran i samtal | Risk för konto- eller identitetsbedrägeri | Avsluta samtalet och signera ingenting |
| Äkta fakturapartner | Fakturahanteringen kan vara utlagd | Bekräfta skulden hos den ursprungliga leverantören |
Kontrollera uppgifterna utan att öka risken
Det säkraste sättet är att gå runt meddelandet i stället för att följa dess instruktioner. Skriv själv in adressen till tjänsten i webbläsaren, öppna företagets tidigare sparade kontaktuppgifter eller ring leverantören på ett nummer som du redan haft kontakt med. Använd aldrig länken eller telefonnumret i ett misstänkt meddelande.
Jämför fakturans uppgifter med bokföringen, inköpsordern och leveransunderlaget. Kontrollera särskilt organisationsnummer, fakturanummer, förfallodatum, moms och vilken tjänst som ska ha levererats. För små företag är det ofta effektivt att låta en annan person godkänna alla oväntade betalningar över en bestämd beloppsgräns.
Om du använder Fortnox i verksamheten kan du även kontrollera om fakturan eller betalningsinformationen finns i den ordinarie fakturaporten. Fortnox har dessutom funktioner som kan varna när en leverantör förekommer på Svensk Handels varningslista. En sådan varning är inte ett slutligt bevis, men den är en tydlig anledning att pausa betalningen.
Bankgirot är inte hela kontrollen
Det är frestande att bara jämföra ett bankgironummer med tidigare fakturor. Det kan ge en ledtråd, men det räcker inte. Ett kapat leverantörskonto, en manipulerad faktura eller ett falskt krav kan fortfarande se trovärdigt ut. Kontrollera alltid både mottagare, avtal och betalningsorsak.
Jag skulle också vara försiktig med att ringa upp någon som redan känner till ditt företags namn, fakturanummer eller förfallodatum. Sådana detaljer kan ha hämtats från läckta register eller tidigare mejl. Att personen låter professionell säger därför mindre än många tror.
Om du redan har betalat eller lämnat uppgifter
Agera snabbt, även om du är osäker på om något faktiskt har gått fel. Kontakta banken via dess officiella kundtjänst och be dem försöka stoppa eller återkalla betalningen. Har du lämnat kortuppgifter ska kortet spärras, och har du använt BankID ska du berätta exakt vad du godkände och när.
Har du installerat ett program på bedragarens uppmaning bör datorn kopplas bort från nätverket tills den har kontrollerats. Byt lösenord från en annan, betrodd enhet och börja med e-postkontot, eftersom det ofta kan användas för att återställa andra konton. Spara skärmbilder, mejl, sms, telefonnummer och transaktionsuppgifter innan något raderas.
Polisen rekommenderar att fakturabedrägerier både bestrids och polisanmäls. Vid pågående brott eller om någon fortfarande har tillgång till dina konton ska du agera akut. I andra fall kan du göra en polisanmälan via 114 14 eller på en polisstation.
Så bestrider du ett felaktigt krav
Om du inte har beställt tjänsten eller anser att kravet är fel ska du bestrida betalningsansvaret skriftligt. Skriv vilket fakturanummer det gäller, att du bestrider kravet och den konkreta orsaken. Exempelvis kan du skriva att tjänsten inte har beställts eller att något avtal inte har ingåtts.
Skicka bestridandet till den adress eller e-post som anges för fakturafrågor, men spara bevis på när det skickades. Om du använder e-post kan du begära läskvitto. Betala inte bara för att slippa påminnelser om du verkligen anser att kravet är fel, eftersom en betalning kan göra det svårare att förklara din invändning.
Om ett inkassokrav kommer ska du bestrida även det och bifoga eller hänvisa till ditt tidigare bestridande. Ignorera inte brev från inkassoföretag eller Kronofogden. Ett felaktigt krav blir inte automatiskt giltigt bara för att det har skickats vidare, men du måste svara inom de tidsfrister som anges.
Läs också: Skatteverket bluffmejl - Så skyddar du dig effektivt
Dokumentera händelsen som ett säkerhetsärende
För företag bör incidenten registreras internt på samma sätt som ett annat säkerhetsproblem. Notera vem som tog emot meddelandet, vilken kanal som användes, vilket belopp det gällde och vilka åtgärder som redan har vidtagits. Den dokumentationen hjälper både banken, polisen och den egna redovisningen.
Om någon har fått tillgång till företagets Fortnox-konto bör administratören omedelbart kontrollera användare, behörigheter, ändrade bankuppgifter och nya leverantörer. Jag brukar rekommendera att man granskar de senaste dagarnas ändringar först, eftersom bedragare ofta försöker skapa en ny betalningsväg eller ändra mottagarkontot.
Gör nästa betalning svårare att lura fram
Den bästa åtgärden är en enkel rutin som fungerar även när arbetsdagen är stressig. Bestäm att nya leverantörer alltid verifieras genom ett separat telefonsamtal, att kontoändringar kräver dubbel kontroll och att ingen signerar BankID på uppmaning av en oväntad kontakt.
Se också till att medarbetarna vet skillnaden mellan en vanlig faktura, en påminnelse och ett misstänkt betalningskrav. En kort utbildning på 15 minuter per kvartal kan räcka för att gå igenom aktuella exempel och repetera vem som ska kontaktas vid osäkerhet.
Min slutsats är att en faktura från Fortnox Finans ska behandlas sakligt, inte reflexmässigt som äkta eller falsk. Kontrollera den bakomliggande affären, använd en oberoende kontaktväg och agera snabbt om pengar eller inloggningsuppgifter redan har hamnat fel. Då minskar du risken både för en dyr betalning och för att ett litet misstag utvecklas till ett större företagsintrång.
