Når svindleren bruker kunstig intelligens

Rådene om å se etter stavefeil, rar formatering og «Kjære kunde» har vært gode i femten år. De virker dårligere nå, og grunnen er ikke at svindlerne er blitt flinkere til norsk. Feilene var aldri et kjennetegn på svindel — de var et kjennetegn på at teksten var laget billig, av noen som ikke kunne språket. Den kostnaden er borte.

Det som ikke er borte, er selve strukturen i en svindel. Noen tar kontakt med deg, ikke omvendt. Du blir bedt om å gjøre noe med penger eller innlogging. Og det haster. De tre tingene lar seg ikke generere bort, for de er svindelens forretningsmodell. Kontrollen din må derfor flyttes fra innholdet til rammen rundt henvendelsen.

Hva som faktisk har endret seg

Tre ting, og de treffer hver sin sans.

Teksten. En e-post eller SMS på feilfritt norsk, med riktig tiltaleform og et innhold som passer til noe du faktisk har på gang, koster nå like lite å lage som en dårlig oversettelse gjorde før. Nkom holder likevel fast ved at «ved skrivefeil og dårlig språk er det ekstra grunn til å være på vakt». Det er fortsatt riktig — feil er et faresignal når de er der. Feilen er å tro at fravær av feil er et friskhetstegn.

Stemmen. Talesyntese som ligner på en bestemt person, er blitt allment tilgjengelig. En stemme i telefonen kan ikke lenger brukes som identifikasjon av den som snakker, like lite som nummeret på skjermen kan det. Vi går ikke inn på hvordan slikt lages; det du trenger å vite, er at du ikke kan høre forskjell, og at du derfor må bekrefte på en annen måte.

Bildet. Annonser med kjente ansikter som anbefaler en investeringsplattform, dukker opp i sosiale medier i jevn strøm. Ansiktet, stemmen og logoen til en avis kan alle være satt sammen uten at noen av dem har gitt samtykke til noe som helst. Et bilde av et menneske du kjenner igjen, er ikke dokumentasjon for at mennesket har sagt noe.

Nkom har også en observasjon om den andre veien: virker svaret du får «ulogisk og forhåndskrevet, kan det hende at du kommuniserer til en AI-styrt chatbot». Det gjelder særlig i lange samtaleforløp på nett, der en automatisert motpart kan holde kontakten gående i ukevis. Mekanismen i den typen forløp er beskrevet i artikkelen om kjærlighetssvindel, og den er den samme enten det sitter et menneske eller et program i den andre enden.

Stemmen i telefonen

Den varianten folk spør mest om, er anropet fra et familiemedlem i knipe. Historien er alltid den samme i grove trekk: noe har skjedd, telefonen er borte, det trengs penger nå, og du må ikke ringe noen andre.

Legg merke til den siste setningen. Alle instruksjoner som skal hindre deg i å kontakte noen andre, er et faresignal i seg selv — de har ingen legitim funksjon. En ekte nødsituasjon tåler at du legger på og ringer tilbake på nummeret du har lagret fra før, eller ringer en annen i familien.

Nkom foreslår en enkel prøve når noen utgir seg for å være en du kjenner: still et par spørsmål bare den riktige personen kan svare på. «Hva heter katten vår? Hva slags bil har vi? Hvor var vi forrige sommer?» Spørsmålene skal handle om noe som ikke ligger på nett. Et fødselsår eller navnet på arbeidsgiveren duger ikke.

Et avtalt kodeord er bedre enn en prøve

Kontrollspørsmål fungerer, men de er vanskelige å finne på når man er redd. Et ord familien har avtalt på forhånd, er enklere. Bli enige om ett ord som ikke står noe sted digitalt, som ikke er navnet på hunden eller hytta, og som alle voksne i familien kan huske. Regelen er at ingen ber om penger over telefon uten å si ordet.

Dette koster ti minutter rundt et kjøkkenbord og løser problemet for hele familien på én gang. Det er også et av de få tiltakene som fungerer like godt for en 19-åring som for en 85-åring — se artikkelen om hvordan du beskytter foreldrene dine mot svindel for de øvrige trinnene.

Kjendisannonsene for investering

Mønsteret er velkjent: en annonse med et ansikt du stoler på, en påstand om at vedkommende har tjent penger på en plattform, og et skjema der du legger igjen telefonnummeret ditt. Deretter blir du ringt opp, ofte i mange uker. Selve forløpet fra annonse til uttaksgebyr er beskrevet steg for steg i artikkelen om hvordan investeringsbedrageri virker.

Det nye er bare at annonsen er billigere å lage og ser bedre ut. Kontrollen er den samme som før, og den handler ikke om annonsen i det hele tatt, men om foretaket bak:

• Finanstilsynets virksomhetsregister viser hvem som har tillatelse i Norge.
• Finanstilsynets liste over uautoriserte tilbydere og markedsadvarsler viser hvem tilsynet allerede har advart mot.
• For kryptoeiendeler finnes i tillegg ESMA-registeret over foretak med tillatelse i EØS.

Finanstilsynet minner om et forbehold som er lett å overse: «enkelte aktører kan ha tillatelse for kun deler av virksomheten». At et navn dukker opp i et register, er altså ikke det samme som at akkurat den tjenesten du blir tilbudt, er omfattet.

Hva som fortsatt avslører forsøket

Tre forhold overlever alt som kan genereres, fordi de handler om hva som skal skje, ikke om hvordan henvendelsen ser ut.

Retningen. Det er motparten som har tatt kontakt, valgt tidspunktet og satt tempoet. Snur du retningen — legger på og tar kontakt selv, gjennom en kanal du finner fram til uten hjelp fra meldingen — faller de aller fleste forsøk sammen med det samme. Dette er det samme grepet som beskrives i artikkelen om telefonsvindel og forfalskede numre, og det virker like godt mot en perfekt generert e-post som mot et forfalsket nummer.

Det som bes om. Nkom er utvetydig: «Bank, politi, Økokrim eller myndigheter vil ALDRI be deg om å oppgi» BankID, passord eller koder. Ingen legitim henvendelse ender heller med at du installerer et program for at den som ringer skal kunne hjelpe deg, eller logger inn med BankID via en lenke i en SMS.

Betalingsmåten. Overføring til en «sikker konto», gavekort, kryptovaluta eller kontant utlevering til en person som kommer hjem til deg — alle fire har det til felles at pengene er praktisk talt umulige å hente tilbake. Betalingsmåten avslører hensikten uansett hvor troverdig innpakningen er.

Hva som ikke lenger duger som bevis

Mye av det folk bruker for å bekrefte at noe er ekte, er blitt verdiløst. Det er verdt å sortere det eksplisitt, for de fleste av oss bruker fortsatt den venstre kolonnen uten å tenke over det.

Duger ikke som bekreftelse	Duger
Nummeret som vises på skjermen	Et nummer du selv har funnet på kortet, i nettbanken eller på etatens nettside
Stemmen til en du kjenner	Et avtalt kodeord, eller et spørsmål bare vedkommende kan svare på
Logo, layout og korrekt norsk i en e-post	Meldingen ligger der når du logger inn i tjenesten selv, uten å følge noen lenke
Et bilde eller en video av en kjent person	Foretaket står i Finanstilsynets virksomhetsregister
At avsenderen vet adressen, arbeidsgiveren eller navnet på barna dine	Ingenting — dette er ofte offentlig tilgjengelig informasjon

Den samme sorteringen gjelder i nettbutikk. Produktbilder, kundeomtaler og «om oss»-tekster er akkurat den typen innhold som er billigst å produsere maskinelt, mens organisasjonsnummer, faktisk postadresse og et selskap som lar seg slå opp i Brønnøysundregistrene ikke er det. Kontrollene som fortsatt virker, står i artikkelen om hvordan du avslører falske nettbutikker.

Jobbtilbudet som ser profesjonelt ut

En variant som er verdt å nevne særskilt, er rekrutteringen til det som ser ut som en enkel deltidsjobb: du skal ta imot penger på egen konto og sende dem videre mot en andel. Slike henvendelser kom tidligere i et språk som avslørte dem på tre sekunder. Nå kommer de med selskapsnavn, stillingstittel og en arbeidsavtale i PDF.

Innholdet i tilbudet er likevel det samme, og det er ulovlig: å videreformidle utbytte av straffbare handlinger rammes av straffeloven, også når du ikke visste hvor pengene kom fra. Dette er alvorlig nok til å ha sin egen artikkel — les om hva det innebærer å bli brukt som pengemuldyr før du svarer på et slikt tilbud, ikke etter.

Teknikken som faktisk stopper det

På ett punkt hjelper teknologi mot teknologi. Nasjonal sikkerhetsmyndighet anbefaler virksomheter å gå over til passnøkler og andre FIDO2-løsninger, med den begrunnelsen at «aktører i økende grad tar seg forbi tradisjonell flerfaktorautentisering». Poenget er at en passnøkkel er bundet til nettadressen den ble laget for. Blir du lurt til en kopi av innloggingssiden, har du ingen kode å taste inn — det finnes ingenting å videreformidle.

En engangskode på SMS eller i en autentiseringsapp gir ikke den beskyttelsen, og det er den viktigste misforståelsen på området. Hva som beskytter mot hva, står i artikkelen om passord, tofaktor og passnøkler. Anbefalingen fra NSM er rettet mot virksomheter, ikke mot deg som privatperson — men der tjenesten du bruker tilbyr passnøkkel, er det verdt å slå den på.

Hvis du allerede har svart

Ring banken først og be om å få stanset overføringen og sperret kort og BankID. Deretter anmelder du forholdet — politiet nås på 02800, og svindel og ID-tyveri kan anmeldes digitalt. Gjør så en gjennomgang av kontoene dine: bytt passord der du har brukt det samme flere steder, og slå på totrinnsbekreftelse der du ikke har det.

Har du oppgitt kortopplysninger eller BankID, gjelder de vanlige reglene om uautoriserte transaksjoner. At svindelen var teknisk avansert, er ikke i seg selv avgjørende for ansvaret ditt — vurderingen gjelder om du har opptrådt uaktsomt eller grovt uaktsomt, og den er individuell. Beløpsgrensene og bevisbyrden er gjennomgått i artikkelen om uautoriserte transaksjoner og egenandelen.

Ingen av delene forutsetter at du forstår hva som traff deg. Det er heller ikke noe å skamme seg over å ha svart på en henvendelse som var laget for å være umulig å skille fra en ekte. Det som er verdt å endre, er vanen: ingen beslutning om penger tas i den kanalen henvendelsen kom i. Avtal kodeordet i kveld, mens ingen er stresset, og si det høyt til dem som ikke bor hjemme lenger.