Läs mer om händelsekedjan och isbergsmodellen
Ett sätt att förstå det synliga brottet, det som föregår det och det som händer efteråt.
Bedrägerier och internetrelaterad brottslighet är sällan enstaka händelser. Det som syns för brottsoffret kan vara en faktura, ett sms, en falsk webbplats, ett telefonsamtal, en annons eller en transaktion. Men bakom den synliga händelsen finns ofta förberedelser, roller, teknisk infrastruktur, betalflöden och andra samband som inte syns direkt.
Jag använder därför ofta en förenklad isbergsmodell för att beskriva hur brottet kan förstås. Det synliga brottet finns ovanför ytan. Under ytan finns det som gjorde brottet möjligt före händelsen, och det som händer efteråt när pengar, värden eller ansvar flyttas vidare.
Syftet är inte att göra modellen till ett bevis i sig. Syftet är att skapa ett sätt att tänka, sortera och ställa bättre kontrollfrågor.
Brottet är ofta mitten av kedjan
När ett bedrägeri upptäcks börjar man lätt i det som syns: webbplatsen, fakturan, meddelandet, annonsen eller transaktionen. Det är naturligt, eftersom det är där brottsoffret möter upplägget.
Men i många fall har brottet förberetts långt innan dess. Domäner kan ha registrerats, bolag kan ha använts, bankkonton kan ha öppnats, annonser kan ha köpts, identiteter kan ha skapats eller missbrukats och teknisk infrastruktur kan ha satts upp.
Efter den synliga händelsen fortsätter kedjan ofta vidare. Pengar kan flyttas mellan konton, delas upp, växlas, användas för inköp, föras utomlands eller återinvesteras i nya upplägg.
Isbergsmodellen
Ovanför ytan finns det som ofta är lättast att se: bluffakturan, webbsidan, meddelandet, annonsen eller transaktionen. Det är viktigt, men det är sällan hela bilden.
Under ytan finns sådant som kan vara minst lika viktigt för att förstå upplägget: domännamn och DNS, webbhotell och e-postinfrastruktur, bolag och konton, telefonnummer och kontaktvägar, identiteter och målvakter, betalningsmottagare och vidareföring samt personer eller funktioner som planerar, möjliggör eller tjänar på upplägget.
Roller och funktioner
En viktig del av modellen är att skilja mellan person, roll och funktion. En person, ett bolag, ett konto eller en domän kan förekomma i ett material utan att det automatiskt betyder att den delen bär hela ansvaret för upplägget.
Det kan handla om någon som registrerar eller tillhandahåller infrastruktur, används som målvakt eller bulvan, tar emot pengar, för vidare pengar eller värden, säljer, annonserar, kommunicerar med brottsoffer eller planerar och styr upplägget.
Frågan bör ofta vara: Vilken funktion verkar denna del ha i händelsekedjan?
Kortmodellen - ett pussel av observationer
För att hantera många uppgifter använder jag ofta tanken om kort. Ett kort är en avgränsad analysbit. Det kan beskriva exempelvis en domän, ett bolag, ett telefonnummer, ett bankkonto, ett dokument, en faktura, en personroll, en metod, en indikator eller en hypotes.
Ett kort ska inte läsas som ett färdigt bevis. Det är snarare en pusselbit. Ett större upplägg kan liknas vid ett pussel där varje kort behöver placeras på rätt plats.
Poängen är inte att varje pusselbit bevisar hela bilden. Poängen är att varje bit kan hjälpa till att förstå var i kedjan uppgiften hör hemma, vilken funktion den verkar ha, vilka andra kort den hänger ihop med, vilka källor som stöder observationen och vilka frågor som fortfarande behöver kontrolleras.
Varför modellen behövs
Utan en modell blir det lätt att fastna i det som råkar synas först. Då riskerar man att bara prata om den falska webbsidan, den enskilda fakturan eller den sista transaktionen.
- Vad hände före det synliga brottet?
- Vilken infrastruktur användes?
- Vilka bolag, konton, domäner eller kontaktvägar förekommer?
- Vilka delar kan vara målvakter, verktyg eller mellanled?
- Hur rörde sig pengar eller värden efter brottet?
- Finns återanvända mönster från andra upplägg?
- Vad vet vi, vad antar vi och vad behöver kontrolleras?
Modellen hjälper alltså till att skilja mellan observation, hypotes, indikator och starkare samband.
Koppling till ekosystemet
Den här synen ligger bakom flera delar av arbetet runt Internetsweden. Internetsweden används för att förklara metoder, samband, brottsupplägg och digital risk. Varningskollen används för att varna och ge snabbare orientering. Varningsdatabasen kan samla observationer, indikatorer och strukturerade kort. Domänrisk fokuserar på domäner, DNS, registreringar, namnservrar och andra tekniska indikatorer. PRALIN och Permafrosten används som lokala analysmiljöer där kort, relationer, hypoteser och händelsekedjor kan bearbetas mer strukturerat.
Tillsammans ska delarna inte ersätta källkritik, juridisk prövning eller myndigheters utredningar. De ska hjälpa till att förstå sammanhang, hitta kontrollfrågor och göra det lättare att beskriva komplexa upplägg utan att förenkla bort det viktiga.
Fördjupad modell
Den förenklade modellen ovan visar grundtanken: det synliga brottet är ofta bara en mindre del av en längre kedja. Den mer detaljerade bilden nedan visar hur fler roller, funktioner, förberedelser, synliga brottshändelser och efterföljande värdeflöden kan placeras in i samma isbergsmodell.
Bilden ska inte läsas som en exakt mall för varje ärende. Den är ett sätt att förstå hur olika delar kan samverka i ett större upplägg - och varför det sällan räcker att bara titta på den del som syns ovanför ytan.
Ju fler delar som kan placeras i rätt del av kedjan, desto lättare blir det att skilja mellan enstaka observationer, möjliga samband och starkare mönster.
Kort sagt
Det synliga brottet är ofta bara en del av bilden.
För att förstå ett bedrägeri eller ett internetrelaterat upplägg behöver man också titta på vad som hände före, vad som händer efteråt och vilka roller, funktioner och samband som gör kedjan möjlig.
Isbergsmodellen visar att mycket finns under ytan. Händelsekedjan visar hur delarna hänger ihop över tid. Kortmodellen hjälper oss att placera observationer som pusselbitar i ett större sammanhang.