Ændret kontonummer i PDF‑fakturaen: teknisk sammenligning med originalen

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Når en kunde har betalt til et forkert kontonummer, er et centralt spørgsmål, om PDF-fakturaen er en ændret udgave af leverandørens rigtige faktura, og i så fald hvor og hvordan den blev ændret. Det afgøres bedst ved at sammenligne den modtagne fil med leverandørens original, som den kom ud af faktureringssystemet. Forskelle i producer-felter, skrifttyper, antal opdateringer og den måde, kontonummeret er placeret på, kan typisk vise, at filen er bearbejdet efter at have forladt leverandørens system. Hashværdier af vedhæftningen i begge parters postkasser kan vise, hvor ændringen skete.

De generelle tekniske tegn på ændrede PDF-filer, som Info-ordbog, XMP og inkrementelle opdateringer, er gennemgået i Dokumentforfalskning: tekniske tegn i Office og PDF. Her handler det om den konkrete sammenligning i en fakturasag. Hvilken parts mail der var kompromitteret, undersøges efter Fakturasvindel: hvilken af parterne var kompromitteret?.

Skaf en ægte reference

Sammenligningen står og falder med referencen. Brug, i prioriteret rækkefølge:

Vedhæftningen i leverandørens sendte post, eksporteret med mailen, hvis fakturaen blev sendt manuelt.
Filen fra faktureringssystemet, enten den gemte kopi eller en ny generering af samme faktura, med en beskrivelse af, hvordan den er fremstillet.
Andre fakturaer fra samme system og periode, som viser, hvordan systemets filer normalt ser ud.

En ny generering er ikke byte for byte identisk med den oprindelige, fordi tidsstempler og id’er skifter. Den er alligevel nyttig, fordi den viser systemets normale producer, skrifttyper og struktur. Notér for hver referencefil, hvor den kommer fra, hvem der har hentet den, og dens hashværdi. → Hashalgoritmer: MD5, SHA-1 og SHA-256

Hvor blev filen ændret? Hash i begge postkasser

Det mest direkte spor er at sammenligne vedhæftningens hashværdi tre steder:

Faktureringssystemet eller sendt post hos leverandøren · Referencen for, hvad leverandøren sendte
Mailen i leverandørens message trace eller arkiv · Viser, om den sendte fil er den samme
Mailen i kundens indbakke · Viser, hvad kunden modtog

Er filen i leverandørens sendte post allerede ændret, skete ændringen på leverandørens side. Er den ens hos leverandøren, men anderledes hos kunden, skete ændringen undervejs eller i kundens postkasse. Kom den ændrede faktura i en helt anden mail end den rigtige, fx fra et lookalike-domæne, er der to forskellige mails, og spørgsmålet bliver, hvem der leverede den rigtige faktura til angriberen. → Fakturasvindel: hvilken af parterne var kompromitteret?

Sammenligning af filerne

Metadata og producer

Sammenlign Creator- og Producer-felterne i Info-ordbogen og XMP-metadata. Et faktureringssystem skriver typisk den samme producer i alle sine filer. En ændret faktura bærer ofte et andet programs navn, fx et PDF-redigeringsprogram eller en onlinekonverter, eller en uoverensstemmelse mellem de to metadatasæt. Sammenlign også oprettelses- og ændringstidspunkt og XMP’s dokument- og instans-id.

Opdateringer og struktur

Tæl filens revisioner, dvs. antallet af afsluttende EOF-markeringer og krydsreferencesektioner. Leverandørens filer har typisk én revision. En ekstra revision i slutningen af den modtagne fil viser, at noget er tilføjet bagefter, og den tidligere revision kan ofte trækkes ud og vises. Er hele filen derimod gemt på ny af et andet program, er strukturen typisk ændret overalt, fx objektnumre, komprimering og rækkefølge.

Skrifttyper og tekst

Faktureringssystemer indlejrer ofte delmængder af skrifttyper med et præfiks på seks bogstaver foran skriftnavnet. Står kontonummeret i en anden skrifttype eller en anden delmængde end resten af fakturaen, er det et tydeligt tegn på, at netop den tekst er sat ind af et andet program. Kig også efter:

tekst lagt oven på et hvidt felt, der dækker den oprindelige tekst, så den rigtige tekst stadig findes i filen,
kontonummeret som en kommentar eller et formularfelt frem for almindelig sidetekst,
forskydninger i tegnafstand eller grundlinje omkring kontonummeret,
en side, der er konverteret til et billede, så teksten ikke længere kan markeres, selvom systemets originaler har tekst.

Udtræk teksten fra begge filer, og sammenlign den. Ofte er kontonummeret det eneste, der adskiller sig, og dét i sig selv er et resultat. Gennemgå også sidens indholdsstrøm: Rækkefølgen af tekstobjekter afspejler typisk den rækkefølge, programmet tegnede siden i, og et kontonummer, der tegnes til sidst, efter alt andet, er et tegn på, at det er tilføjet.

Visuel sammenligning

Gengiv begge filer som billeder i samme opløsning, og lav en forskel pixel for pixel. Forskellen viser præcist, hvilke områder der er ændret. Vær opmærksom på, at en ny generering kan have andre datoer og numre, og at det skal fremgå af sammenligningen.

Betalingslinjer og QR-koder

Mange fakturaer har betalingsoplysninger flere steder: i teksten, i en indbetalingslinje og i en QR-kode til betaling. En hurtig ændring retter ofte kun ét sted. Afkod QR-koden og læs indbetalingslinjen, og sammenlign med kontonummeret i teksten.

Sikring af den modtagne fil

Hent den modtagne faktura direkte fra mailen i kundens postkasse, helst som en administrativ eksport af hele mailen, så vedhæftningen kan føres tilbage til en bestemt mail med header og tidspunkt. Beregn hashværdien med det samme, og arbejd kun på kopier. Åbn ikke originalfilen i et PDF-program med gemmefunktion, fordi nogle programmer tilbyder at gemme ændringer automatisk eller tilføjer oplysninger ved lukning. Er filen også gemt i et bogholderisystem eller sendt videre til godkendelse, så sikr også de kopier, og sammenlign deres hashværdier. Afvigelser mellem kopierne skal forklares, før analysen går videre.

Digitale signaturer og e-fakturaer

Er fakturaen digitalt signeret, kan signaturen valideres, og en ændring efter signering vil typisk få valideringen til at fejle eller vise en senere revision. → Digitale signaturer i PDF Er en aftale om nyt kontonummer underskrevet via en e-signaturplatform, viser platformens audit trail, hvem der underskrev og hvornår. Sendes fakturaen også som elektronisk faktura i et struktureret format via et netværk, er den elektroniske udgave en uafhængig reference til det korrekte kontonummer.

Fejlkilder

Videresendt eller downloadet kopi. Kundens fil skal komme fra den oprindelige mail, ikke en kopi, der er åbnet og gemt igen i et PDF-program.
Mailsystemers behandling. Sikkerhedsfiltre kan i sjældne tilfælde omskrive eller rense vedhæftninger. Nogle løsninger har en funktion, der genskaber vedhæftede filer i en renset udgave, og et malwarefilter kan erstatte en vedhæftning helt. I Exchange Online står filterets handlinger i de udvidede message trace-rapporter. Sammenlign med message trace og eventuelle oplysninger om behandling hos begge parter.
Normale variationer. Systemopdateringer hos leverandøren kan ændre producer og skrifttyper mellem perioder. Brug referencer fra samme periode.
Gemt igen af modtageren. Har nogen hos kunden åbnet og gemt filen, fx for at tilføje en godkendelse, kan der være ændringer, som ikke har noget med svindlen at gøre.

Hvad sammenligningen kan og ikke kan vise

Sammenligningen kan vise, at filen er ændret, hvilke områder der er ændret, og ofte med hvilket program. Sammen med hashværdier fra begge postkasser kan den vise, i hvilket led ændringen skete. Den kan ikke vise, hvem der foretog ændringen. Grundlæggende om PDF som bevis findes på digitalbevissikring.dk.

Dokumentation

Rapporten bør indeholde hashværdier af alle filer, en tabel med metadata side om side, en beskrivelse af revisioner og skrifttyper, den visuelle forskel og de værktøjer og versioner, der er brugt. Vis kontonummeret i begge filer i udsnit, så forskellen kan ses uden teknisk forhåndsviden.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Er mailen hacket? Tegn i loginlog, regler og sendt post

Del af: Undersøgelse efter et hackerangreb

Læs også: CEO-svindel: analyse af mailtråden · Phishing-analyse: sikring af mail, link og landingsside

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik