Stemmen i telefonen var ikke sjefen, og fondene ble ringt opp samme dag

Bloomberg meldte 5. august 2026 at flere av de største fondene på Wall Street ble forsøkt angrepet gjennom stemmesvindel, der KI-genererte stemmer etterligner kjente personer på telefon. Two Sigma, Citadel og Point72 er navngitt i omtalen, og InvestmentNews oppgir at også Millennium Management var blant målene. Flere oppkjøpsfond skal ha vært utsatt for det samme. Two Sigma oppgir at sikkerhetsmiljøet reagerte raskt, og at ingenting tyder på at data eller systemer ble berørt, mens Point72 ifølge InvestmentNews har informert investorene sine og oppgir at en første gjennomgang ikke fant stjålne kundeopplysninger. Citadel og Millennium har ikke villet kommentere.

Hva som skjer teknisk

Stemmesvindel er ikke nytt. Det nye er kostnaden. Å etterligne en bestemt person krevde tidligere enten skuespill eller teknisk håndverk, og begge deler begrenset hvor mange samtaler én angriper kunne føre. Med syntetiske stemmer faller den begrensningen bort. Stemmekloning bygger som regel på lydopptak som allerede finnes offentlig, for eksempel et intervju, et webinar eller en podkast. Dette er en alminnelig beskrivelse av teknikken, ikke en påstand om hvordan disse konkrete samtalene ble laget. Det er likevel denne endringen som forklarer mønsteret i saken. Flere fond ble kontaktet samme dag, i stedet for at ett mål ble bearbeidet over uker.

Målet i slike kampanjer er sjelden en teknisk sårbarhet. Målet er et menneske med myndighet til å gjøre et unntak. Ifølge omtalen forsøkte angriperne å få ansatte til å gi fra seg opplysninger eller tilgang. Det typiske forløpet i denne angrepstypen er at en ansatt blir bedt om å lese opp en engangskode, tilbakestille et passord eller godkjenne en pålogging som allerede pågår. Da er tofaktor ikke lenger et hinder, fordi den andre faktoren blir levert frivillig av den som skulle beskyttes. Det siste er en generell beskrivelse av angrepstypen. Kildene sier ikke hva som konkret ble forsøkt hos hvert enkelt fond.

Hva som faktisk skjedde, står delvis ubesvart. Two Sigma oppgir at forsøket ble stanset. Point72 oppgir at en første gjennomgang ikke fant stjålne kundeopplysninger, og at saken fortsatt gjennomgås. Citadel og Millennium har ikke kommentert. Ingen av kildene melder om et bekreftet innbrudd. Fravær av bekreftelse er ikke det samme som fravær av hendelse, og de to bør holdes fra hverandre. FINRA, tilsynsorganet for verdipapirforetak i USA, tok ifølge InvestmentNews kontakt med medlemsforetakene om forsøkene. FINRA åpnet i mars 2026 et senter for deling av trusselinformasjon mellom medlemmene, og denne saken er blant de første anledningene det er brukt.

Hva det betyr for deg som har ansatte på telefonen

Fondene som er nevnt, hører til blant de best beskyttede virksomhetene som finnes. De har budsjett, folk og verktøy langt utover det du rår over. Likevel er angrepsflaten deres den samme som din, fordi den går gjennom en telefon og et menneske som gjerne vil hjelpe. Det er dette som gjør saken relevant langt utenfor finansbransjen. Har du brukerstøtte, regnskapsavdeling eller vakttelefon, har du nøyaktig samme flate. Berigo har tidligere omtalt hvordan phishing-verktøy utvides for å komme forbi tofaktor. Vi har også omtalt pågripelsene knyttet til plattformen Tycoon2FA. Retningen er tydelig nok. Angrepene flytter seg fra teknologien til prosessen rundt teknologien.

Slik vi ser det, er forsvaret her organisatorisk før det er teknisk. En stemme kan ikke lenger brukes som bevis på hvem som ringer, og det bør stå skrevet ned et sted alle hos deg kan finne det. Det som virker, er å flytte bekreftelsen over i en kanal angriperen ikke kontrollerer. Ring tilbake på et nummer fra katalogen, ikke på nummeret som ringte. Avtal en fast kanal for hastesaker fra ledelsen, slik at et avvik fra kanalen i seg selv er varselet. Aller viktigst er at du fjerner straffen for å si nei. De fleste vellykkede angrep av denne typen lykkes fordi den ansatte ikke ville være vanskelig mot noen som hørtes ut som en leder. Etter NIS2 artikkel 21 hører dette til opplæring og hendelseshåndtering, men den reelle kontrollen er kulturen som gjør det trygt å legge på og ringe tilbake.

Berigo anbefaler

• Innfør en fast regel om tilbakeringing til kjent nummer ved enhver forespørsel om tilgang, koder eller betalinger.
• Fjern muligheten for at brukerstøtte kan tilbakestille sterk autentisering på grunnlag av en telefonsamtale alene.
• Avtal en fast kanal for hastesaker fra ledelsen, slik at avvik fra kanalen i seg selv utløser mistanke.
• Øv på scenarioet med en stemme som høres helt riktig ut, og la ansatte erfare at det er lov å legge på.
• Logg og varsle når noen ber om unntak fra rutinen, slik at gjentatte forsøk blir synlige på tvers av avdelinger.