Phishing During Tax Season: How to Spot SKAT Impersonation Scams and Protect Your Business

Lige nu, hvor tiden nærmer sig årsopgørelsen, bliver indbaksen fyldt med emails og SMS'er der virker helt legitime. Mange af dem handler til og med om skatter og momsbetaling. Men der er ét problem: de kommer ikke fra SKAT. De kommer fra mennesker, der ønsker at stjæle dine penge og data.

En SKAT phishing scam email kan se næsten perfekt ud. Den har rigtig logo, korrekt tekst, og den handler om noget, der bekymrer dig som virksomhedsejer. Men et enkelt klik på det forkerte link kan betyde tab af tusinder af kroner, identitetstyveri eller værs endnu: du kan blive kompromitteret på en måde, der påvirker hele din virksomhed.

I denne guide vil jeg vise dig præcis hvordan du genkender disse svindelforsøg, hvad du skal være opmærksom på, og hvad der skal ske hvis du eller dine medarbejdere modtager sådan en email. Det er vigtigere end nogensinde at være forberedt.

Hvorfor er tax season så attraktiv for svindlere?

Der er en grundlæggende grund til at svindlere intensiverer deres indsats omkring april, maj og juni: folk er bekymrede og målrettede. Du sidder ved dit bord, tænker på årsopgørelsen, og en email dukker op der siger noget skal behandles urgentligt. Du tjekker ikke dokumentet lige så grundigt, som du ville have gjort hvis det handlede om noget tilfældigt.

Svindlerne ved også præcis hvad de skal skrive for at få dig til at handle hurtigt. "Din tilbagebetaling er klar", "Der er en fejl i dine betalinger", "Din konto er låst", eller "Vigtig meddelelse om momsbetaling". Hver beskjed er designet til at skabe tilstrækkelig panik, at du ikke sætter dig ned og tænker klart.

Desuden ved svindlerne at SKAT har legitimt behov for at kontakte virksomheder på denne tid. Det betyder at du og dine medarbejdere er tilbøjelige til at acceptere emails, der kræver handlinger omkring skattemæssige emner.

Hvordan ser en typisk SKAT phishing scam email ud?

De klassiske udseender

En SKAT phishing scam email starter typisk meget professionelt. Den har et logo der ligner det rigtige, eller det er blevet ændret så lige, at det er svært at se forskel uden at zoome ind. Emnet virker troværdigt: "Vigtig meddelelse om årsopgørelse" eller "Action required: Momsopgørelse 2024".

Indholdet er kortfattet men urgentnt. Den skriver aldrig "Klik her for at bekræfte dine data" direkte. I stedet siger den "Vi har brug for at du logger ind og bekræfter dine oplysninger inden den 15. april" eller "Din bankkonto er blevet suspenderet på grund af uregelmæssigheder". Tonaliteten er professionel og låner formuleringer som "skattemyndighederne", "bekræftelse af identitet", og "omkostningsgebyr".

Der kan være et CTA-knap der lyder som "Log ind på dit SKAT-konto" eller "Bekræft dine skatteoplysninger nu". Dette knap linker til en falsk hjemmeside der ser næsten identisk ud med den rigtige.

De mindre åbenlyse forsøg

De mest sofistikerede SKAT phishing scam email'er lader som om de stammer fra din bankrevisors kontor eller en tredjepartsservice, som du måske bruger. Emnet virker helt normalt, for eksempel "Dine skatteoplysninger til gennemgang" eller "Årsopgørelse sendt til SKAT".

Disse emails har ofte bare et lille link til "revisor-portalen" eller "SKAT-systemet". De undgår at skabe panik direkte. I stedet spiller de på arbejdsrutine og tillid. Du er vant til at få emails om skattemæssige emner fra revisorer, så denne email virker ikke alarmerende på samme måde.

Røde flag der skal være øjnene på højtryk

Tjek dommænet med skeptisk blik

Den vigtigste check du kan lave er at se på emailadressen den kommer fra. Hvis emajlen påstår at være fra SKAT, skal den komme fra en SKAT-email-adresse. En email fra "skat-login@bank-services.eu" eller "skatverification@company-name-verification.dk" er 100% falsk.

Ofte ser de rigtig ud hvis du bare skummer henover dem. Men hvis du holder pauseren over feltet "Fra", vil du se den rigtige emailadresse. SKAT kommunikerer ikke med virksomheder fra privat Gmail, Yahoo, eller ukendte domæner.

Stavefejl og formuleringer der virker "af"

En rigtig email fra SKAT vil være stavefejlfri og brugt dansk sproget korrekt. Hvis emailen indeholder stavefejl, kommaer der mangler, eller formuleringer der virker akkurat lidt mærkelige, er det et tegn på uægthed.

Du kan også køre emails gennem dine egne øjne ved at være opmærksom på formulering som "verificer venligst" eller "aktiver straks". SKAT vil normalt være meget mere præcise og ikke opfordre til hastelyst handlinger.

Links der fører til usikre steder

Hvis du skal være sikker på et link uden at klikke, kan du lade musen hvile over knappen eller linket. Din email-klient viser så URL'en den peger på. Hvis du kan se at linket fører til en domæne der ikke er skat.dk eller en bekræftet SKAT-tjeneste, skal du ikke klikke.

En anden test er at tjekke om URL'en bruger https (sikker) eller http (usikker). SKAT bruger altid https. Hvis du ser en bekræftelse på at siden er "unsecure" eller at SSL-certificatet ikke passer, er der noget galt.

Uforklar urgency og trusler

En snak om "din konto bliver lukket", "du skylder gebyr", eller "dit momsregistrering bliver annulleret" uden præcis kontekst er ofte forklarende. SKAT kontakter dig aldrig gennem email med sådan dårlige nyheder. Hvis der er et alvorligt problem, vil du få en officiel skrivelse eller kontakt gennem deres selvbetjenings-portal.

Vær særlig vagtsom over for emails der siger "du har tre dage til at handle" eller "dette er din sidste advarsel". Det er en klassisk svindeltaktik at tvinge dig til at reagere før du tænker.

Sådan beskytter du din virksomhed

Uddannelse af medarbeidere

Dit første forsvar er dine medarbeidere. Hvis de modtager emailen først og ved hvad de skal gøre, undgår du potentielt et enormt problem.

Gennemgå denne checklist med dit team:

• Aldrig klik på links i e-mails der handler om skattemæssige emner, selv hvis emailen virker officiel

• Hvis du er usikker, ring til SKAT direkte på deres officielle nummer eller gå til skat.dk i stedet for at klikke på linket

• Fortæl øjeblikkeligt til IT-administratoren eller lederen hvis du modtager en mistænkelig email

• Spørg altid hvis noget virker underligt. Det er bedre at være forkert end at blive snydt

Mange virksomheder har god success med at sende simulerede phishing-emails til medarbeidere for at træne dem. Hvis en medarbejder "kliker" på linket i øvelsen, får de en uddannelsesbesked i stedet for at blive kompromitteret. Det koster omkring 1.500-3.000 DKK om året, men det kan spare dig for titusinder når en rigtig angreb kommer.

Tekniske foranstaltninger

Selvom uddannelse er vigtig, kan teknologi give dig ekstra beskyttelse:

• Brug en email-filter der kan genkende phishing-forsøg automatisk

• Konfigurer two-factor authentication på alle vigtige konti, især på dine skattemæssige systemer

• Brug en password manager så du ikke gør fejl ved at indtaste adgangskoder på falske sider

• Hold dit operativsystem, browser og alle programmer opdateret

• Brug antivirus- og antimalware-software

Hvis din virksomhed er lille til mellemstørrelse, kan en managed IT-service håndtere meget af dette for dig. Det koster omkring 2.000-5.000 DKK per måned, men det tager psykologien ud af det hele.

Opsætning af verifikationsprocedurer

Opret en intern procedure hvor medarbeidere aldrig logger ind på finansielle eller skattemæssige sider gennem links i emails. I stedet skal de:

Gå direkte til siden ved at skrive domænet i browserens adressefelt

Ring til revisor eller skattemyndighederne hvis de er usikre

Spørge IT-administratoren før de eingiver sensible oplysninger

Denne simple proces kan stoppe de fleste phishing-forsøg helt.

Hvad skal du gøre hvis du eller dine medarbeidere bliver nappet?

Trin for trin handlingsplan

Trin 1: Stop med at panikere og agere straks

Hvis du eller nogen har klikket på et link eller indgiver brugeroplysninger på en mistænkelig side, skal du arbejde hurtigt men systematisk. Det vigtigste er at du ikke lader det fordrage eller håber at det løser sig selv.

Trin 2: Ændrer alle adgangskoder

Hvis nogen har indtastet password på et falsk system, skal alle tilknyttede passwords ændres med det samme. Begynde med dine mest kritiske konti:

ONLINE SKAT-konto

Bankkonto

Email-konti

Forretningskonti hos revisor eller regnskabsprogram

Brug strong passwords med bogstaver, tal og tegn.

Trin 3: Kontakt din bank

Hvis der var betaling eller bankoplysninger involveret, skal du kontakte din bank med det samme for at advare dem. De kan fryse konti eller bogstaver og prøve at standse uautoriserede transaktioner.

Trin 4: Rapporter til SKAT og Politiet

Du skal rapportere svindelen til både SKAT og dansk politi. SKAT har en side med information om hvordan du rapporterer phishing-forsøg. Politiet modtager anmeldelser gennem Anmeld Forbrydelse Online.

Gem alle emails, skærmbilleder af falske sider og anden relevant dokumentation. Du skal bruge disse når du rapporterer.

Trin 5: Overvåg dine konti

I ukerne efter angrepet skal du overvåge dine bankkonti, kreditkort og SKAT-konto for uautoriseret aktivitet. Opsætter advarsler hvis muligt.

Sådan rapporterer du SKAT phishing scam email

Rapportering til SKAT direkte

SKAT modtager rapporter om phishing-forsøg og bruger disse til at advare andre. Stransfer phishing-emailen som vedhæftning til skat.dk's kontakt-side. Medtag kontekst: hvornår du modtog det, hvad det handlede om, og hvad du gjorde.

Rapportering til Politiet

Hvis der var økonomisk tab eller hvis du tror dine personlige data blev stjålet, skal du anmelde til politiet. Det kan gøres online, og du får en sagsnumre som du kan referere til.

Advarsel dine kontakter

Hvis svindlerne fik adgang til din email eller dine kontakter, kan de bruge dine emailadresse til at sende phishing-mails til dine forretningspartnere som om de kom fra dig. Overvej at sende en advarsel til dine vigtigste kontakter.

Praktisk checkliste til tax season 2024

Print eller bookmarks denne checklist og gør det til en rutine hver sæson:

• □ Holdpersonalemøde omkring phishing og phishing-emails før april

• □ Opsætter automatiske phishing-test eller tager ud til købe email-filter hvis du ikke allerede har det

• □ Sikre at alle medarbeidere har strong passwords og two-factor authentication

• □ Opsætter en intern procedure: "Hvis du modtager en mistænkelig email om skatter eller SKAT, skal du"

• □ Opdaterer alle systemer og software

• □ Dokumenterer dine vigtigste accounts sådan at du kan få adgang hvis nogen prøver at låse dig ude

• □ Kontroller dine revisor eller regnskabsprogram for sikkerhedsopdateringer

• □ Tester login til dit SKAT-konto direkte fra skat.dk uden at klikke links i emails

Frequently Asked Questions

Hvad er forskellen på en rigtig SKAT-email og en falsk?

En rigtig SKAT-email kommer fra en @skat.dk-adresse, indeholder en kontakt til den konkrete sag, og inviterer aldrig til hastet handling uden kontekst. Falske emails kommer fra tilfældige emailadresser, indeholder stavefejl eller formulering der virker "af", og bruger urgency som værktøj til at få dig til at klikke før du tænker.

Kan jeg blive strafet hvis jeg klikker på et phishing-link ved uheld?

Nej. Hvis du klikker på et link ved uheld er det ikke lovbrud. Du skal bare handler hurtigt ved at ændre passwords og kontakte din bank. Det vigtige er at du ikke indtaster personlige oplysninger på den falske side.

Hvor meget kan jeg tabe hvis jeg bliver snydt af en SKAT phishing scam email?

Det varierer enormt. Hvis svindlerne bare får emailadresse og navn kan skaden være minimal. Hvis de får adgang til din bankkonto kan de tage alt hvad der er der. Hvis de får adgang til dit SKAT-konto kan de prøve at ændre betaling eller tvangskilder. Hvis de skaffer sig adgang til hele dit IT-system kan skaden være tusindfold dårere.

Hvad hvis min medarbejder allerede har givet sine login-oplysninger til en falsk side?

Handl straks. Skift den medarbeideres password med det samme. Kontroller de vigtigste konti for uautoriseret aktivitet. Advarer dine systemer hvis muligt om potentiel uautoriseret adgang. Hvis der var bankoplysninger involveret, kontakt banken. Overvej at skifte alle virksomhedsadgangskoder hvis systemerne er forbundne.

Conclusion

En SKAT phishing scam email kan virke skræmmende fordi svindlerne er gode til hvad de gør. De kopierer logoer, de bruger korrekt dansk, og de vælger tidspunktet perfekt omkring årsopgørelse når du er under tidspress.

Men du har værktøjerne til at beskytte dig selv. Ved at være opmærksom på røde flag, ved at træne dine medarbeidere, og ved at have en plan for hvad der skal ske hvis det værste sker, kan du reducere risikoen dramatisk.

Vigtigste take-away: Tro ikke på links i emails omkring skatter eller SKAT. Gå altid direkte til skat.dk eller ring til myndighederne hvis du er usikker. Det tager 30 sekunder og kan spare dig for titusinder af kroner og en masse stress.

For hver sæson du modtager disse emails uden at blive snydt, er det en sejr. Hold dine øjne åbne og held på der skal gå godt.