nis2sjekk.no
Hender på tastaturet til en bærbar PC, sett ovenfra, med mobil ved siden
Foto: Vitaly Gariev / Unsplash

Direktørsvindel: hvorfor manglende DMARC gjør det enkelt

· oppdatert 27. oktober 2026

Direktørsvindel er når svindlere utgir seg for å være noen i ledelsen og ber en ansatt betale en faktura eller sende opplysninger. Det skjer oftest på e-post. Har bedriftens domene ikke DMARC med en policy som avviser falske e-poster, kan svindleren sende fra nøyaktig samme adresse som daglig leder bruker, og mottakeren har ingen teknisk måte å se forskjell på.

Et sammensatt eksempel, ikke en ekte sak:

Fra: Kari Nordmann kari@eksempelbedrift.no Emne: Haster, betaling i dag

Hei. Jeg sitter i møte med en ny leverandør og trenger at en forskuddsbetaling går ut før kl. 14. Kontonummer i vedlegget. Ikke ring, jeg er opptatt hele dagen. Kari

Adressen er riktig. Signaturen ligner. Det som mangler, er en sjekk av om e-posten faktisk kom fra eksempelbedrift.no sine servere.

Hvordan direktørsvindel fungerer

Mann ved et skrivebord med bærbar PC på et kontor
Foto: Vitaly Gariev / Unsplash

Store norske leksikon beskriver direktørsvindel som svindel der bakmennene kontakter ansatte og utgir seg for å være noen i ledelsen, oftest gjennom e-post eller SMS. Målet er en betaling eller opplysninger. Svindelen hviler på sosial manipulering: det haster, og saken må løses utenom vanlige rutiner.

SNL peker også på at angrepene blir mer målrettet. Svindlerne velger tidspunkt når lederen er på reise, eller når en vikar sitter med innboksen fordi økonomiansvarlig har ferie.

Omfanget i Norge finnes det ikke gode offentlige tall på som vi har kunnet bekrefte. I USA registrerte FBI 21 442 klager om business email compromise i 2024, med rapportert tap på 2,77 milliarder dollar, ifølge IC3-rapporten for 2024. Det er amerikanske tall, men metoden er den samme her.

Slik forfalskes avsenderen

Ikke all direktørsvindel er like lett å stoppe. Det er tre hovedvarianter, og DMARC hjelper bare mot én av dem.

1. Nøyaktig samme domene. Svindleren skriver kari@eksempelbedrift.no i avsenderfeltet. E-post-protokollen hindrer ikke dette i seg selv. Det er denne varianten DMARC er laget for å stoppe.

2. Et domene som ligner. eksempelbedrlft.no, med l i stedet for i, eller eksempelbedrift-no.com. Svindleren eier domenet og kan sette opp DMARC selv. Her hjelper ditt eget DMARC-oppsett ingenting. Det som hjelper, er at e-postsystemet merker e-post fra eksterne avsendere, og at de ansatte ser på adressen.

3. Ekte konto, feil person. Svindleren har fått tak i passordet til en ekte e-postkonto, eller skriver fra en gratiskonto med «Kari Nordmann» som visningsnavn. Det første stoppes av flerfaktorautentisering, det andre av at noen ser på adressen bak navnet.

Den første varianten er den eneste som kan måles utenfra, og den eneste som kan stoppes med en DNS-innstilling, så lenge mottakeren håndhever den.

SPF, DKIM og DMARC i klarspråk

Alle tre er tekstoppføringer i DNS for domenet. De koster ingenting å sette opp, men må stemme med hvilke tjenester som faktisk sender e-post for dere.

SPF er en liste over hvilke servere som har lov til å sende e-post for domenet. Mottakeren slår opp listen og ser om avsenderserveren står der.

DKIM er en digital signatur på hver e-post. Avsenderserveren signerer, og mottakeren sjekker signaturen mot en offentlig nøkkel i DNS. Er e-posten endret underveis, eller ikke signert av dere, stemmer det ikke.

DMARC binder de to sammen med adressen mottakeren faktisk ser. RFC 9989, som erstattet den eldre DMARC-standarden RFC 7489, sier at domenet i From-feltet må stemme med et domene som er bekreftet av SPF eller DKIM. Det er den koblingen som mangler uten DMARC. En svindler kan bestå SPF med sitt eget domene i bakgrunnen og likevel vise ditt domene øverst i e-posten.

DMARC gjør i tillegg en ting til: den sier hva mottakeren skal gjøre med e-post som ikke består.

Hvorfor p=none ikke beskytter

DMARC-oppføringen har en policy, p=, med tre mulige verdier:

Policy Hva domeneeieren ber om Beskytter mot forfalskning?
p=none Ingenting. Bare rapporter Nei
p=quarantine Behandle e-post som feiler som mistenkelig, typisk spam-mappen Delvis
p=reject Avvis e-post som feiler Ja, der mottakeren følger policyen

RFC 9989 er tydelig på p=none: domeneeieren gir ikke uttrykk for noen preferanse, og en slik policy skal ikke endre hvordan e-posten håndteres. Med andre ord leveres den falske e-posten fra «Kari» akkurat som før. Det eneste dere får, er rapporter om at det skjedde.

p=none er et fornuftig første steg. Rapportene viser hvilke tjenester som sender på vegne av domenet, for eksempel nyhetsbrevverktøyet eller regnskapssystemet, slik at de kan legges inn i SPF og DKIM. Det er lett å bli stående der. Et domene med p=none ser beskyttet ut i en rask sjekk, fordi DMARC «finnes». Det er det ikke.

To forbehold. p=reject virker bare hos mottakere som håndhever DMARC, og ikke alle e-postsystemer gjør det for innkommende e-post. NSMs grunnprinsipper anbefaler i tiltak 2.8.1 at virksomheter sjekker innkommende e-post mot DMARC, DKIM og SPF. Og når dere strammer inn, kan videresendt e-post og tjenester dere har glemt å legge inn, havne i spam. Gå via p=quarantine og les rapportene først.

Slik leser du en DMARC-oppføring

DMARC ligger som en TXT-oppføring på _dmarc. foran domenet. En oppføring som beskytter, kan se slik ut:

v=DMARC1; p=reject; rua=mailto:dmarc@eksempelbedrift.no

v=DMARC1 sier at det er DMARC. p=reject er policyen. rua= er adressen som mottar de daglige rapportene. Står det p=none i stedet, er det bare rapportene dere får, og e-post fra falske «Kari» går fortsatt gjennom. Mangler oppføringen helt, finnes det ingen policy i det hele tatt.

Det tekniske er bare halve jobben

DMARC stopper den ene varianten. De to andre stoppes av rutiner:

E-postautentisering er også en del av det NIS2 kaller grunnleggende cyberhygiene. Det er en av få ting i regelverket som kan sjekkes fra utsiden.

Sjekk domenet gratis for å se om det har SPF, DKIM og DMARC, og hvilken policy DMARC faktisk står på.

Claude AI hjalp meg med formuleringer og korrektur i denne artikkelen.

Kilder

Gjelder dette dere?

Svar på spørsmålene fra loven og få et skann av domenet. Gratis, uten konto.

Start egenvurderingenBare skann nettstedet