Deepfake‑stemme i telefonopkald: hvad kan sikres bagefter

Forside › Sporsikring ved digital stalking · Gennemgået oktober 2026 · Af John Nielsen

Når en medarbejder har handlet på et opkald fra en stemme, der lød som direktørens, er det første tekniske spørgsmål sjældent, om stemmen var kunstig. Det er, hvor opkaldet kom fra, og hvad der kan dokumenteres om det. Selve lyden er som regel ikke optaget, og selv hvis den er, er det vanskeligt at afgøre sikkert, om en stemme er klonet. Sporene ligger i stedet i telefonens opkaldsliste, i virksomhedens telefonanlæg eller VoIP-platform, hos teleoperatøren og i den kommunikation, der fulgte med opkaldet.

Ledelsens første timer efter et sådant opkald er beskrevet på bevissikring-digitalt.dk. Her gennemgås de tekniske kilder og grænserne for, hvad de kan vise.

Hvor opkaldet efterlader spor

Modtagerens telefon · Opkaldsliste med viste nummer, tidspunkt og varighed; eventuelt optagelse eller voicemail
Beskedapps · Opkaldslog for app-opkald med kontonavn og nummer
Virksomhedens telefonanlæg · Opkaldsposter med indgående nummer, linje, tidspunkt og varighed; evt. optagelse
VoIP- og SIP-platform · Signaleringsdata med de nummeroplysninger, der blev sendt med opkaldet
Teleoperatøren · Trafikdata om opkaldet, som kun kan udleveres ad lovlig vej
Samarbejdsplatforme · Opkaldsposter i fx Teams-telefoni, hvis opkaldet gik den vej

Den grundlæggende forklaring af telefonlogfiler og VoIP som bevis findes på digitalbevissikring.dk, og forskellen på data på telefonen og hos operatøren er beskrevet i telefonen eller teleoperatøren.

Det viste nummer er en påstand

Det nummer, der vises hos modtageren, sendes med opkaldet af den, der ringer, eller af dennes udbyder. Ved opkald via internettelefoni kan afsenderen i mange tilfælde selv angive, hvilket nummer der skal vises. At direktørens nummer stod i displayet, viser derfor ikke, at opkaldet kom fra direktørens telefon. Danske teleselskaber filtrerer allerede en del opkald fra udlandet, der viser danske numre, og på tidspunktet for gennemgangen (oktober 2026) var regler om obligatorisk blokering sendt i høring med forventet virkning fra 2027. Filtreringen fanger ikke alle tilfælde, og den gælder telenettet, ikke opkald i beskedapps.

Kontrollen er enkel og stærk: Direktørens egen telefon og operatørens data for direktørens nummer viser, om der blev ringet ud på det tidspunkt. Var der intet udgående opkald, peger det på forfalsket nummervisning.

I et SIP-baseret telefonanlæg kan signaleringen indeholde flere nummerfelter end det, der vises, og oplysninger om, hvilken forbindelse opkaldet kom ind ad. De kan vise, at et opkald kom ind fra en ekstern udbyder, selvom det viste nummer var et internt nummer. Hvor detaljeret signaleringen logges, afhænger af anlægget.

Opkald via beskedapps

Mange opkald foregår i dag via beskedapps frem for det almindelige telefonnet. Her er billedet et andet. Afsenderen er en konto i appen, ikke et telefonnummer i telenettet, og kontoen kan være oprettet med et hvilket som helst nummer, et virtuelt nummer eller et nummer, der er overtaget. Profilbillede og navn vælges frit af kontoens ejer og kan være kopieret fra den person, der efterlignes.

Sporene ligger i appens database på modtagerens telefon: opkaldsloggen med kontoens id og nummer, tidspunkt og varighed, samt eventuelle beskeder i samme samtale. Kontoens nummer kan sammenlignes med det nummer, den rigtige person bruger. Appudbyderen har som regel kun begrænsede metadata, og de kan kun skaffes ad lovlig vej. Fordi opkaldet går krypteret mellem enhederne, har virksomhedens telefonanlæg og netværk ingen indsigt i indholdet, men en firewall eller proxy kan i nogle tilfælde vise, at telefonen havde forbindelse til appens servere i tidsrummet.

Sikringen sker derfor primært ved et udtræk af modtagerens telefon, suppleret med skærmbilleder af samtalen og kontoens profil, før kontoen forsvinder.

Optagelser

Mange virksomheder optager ikke opkald, og private telefoner gør det sjældent. Findes der en optagelse, fx i et kundeservicesystem, et anlæg med optagelse eller en voicemail, skal den sikres i det oprindelige format direkte fra systemet, ikke som en kopi afspillet og genoptaget. Notér format, samplingsfrekvens og hashværdi, og bevar systemets metadata om opkaldet.

Hvis en medarbejder har optaget samtalen på sin telefon, sikres filen med telefonens metadata, helst som en del af et udtræk eller en dokumenteret kopi.

Kan man høre, at stemmen er kunstig?

Ikke sikkert. Stemmekloning er blevet god nok til, at korte samtaler over en telefonlinje er svære at skelne fra en ægte stemme, både for mennesker og for detektionsværktøjer. Telefonlinjen begrænser selv lyden og fjerner mange af de detaljer, en analyse kunne bruge. En teknisk vurdering kan se på overgange, baggrundsstøj, rumklang, betoning og pauser, men resultatet vil typisk være en vurdering med betydelig usikkerhed.

Metoderne og deres grænser er beskrevet i AI-genereret indhold: teknisk vurdering. Den praktiske konsekvens er, at sagen sjældent bør bygges på lydanalysen. Den bygges på, at opkaldet ikke kom fra den person, det udgav sig for at være, og det dokumenteres bedre med opkaldsdata.

Opkaldet er sjældent alene

Et stemmeopkald er ofte et led i et forløb: en mail eller besked før opkaldet, der gjorde det troværdigt, og en mail eller besked efter, der gav betalingsoplysninger. Disse spor er ofte de stærkeste, fordi de har headere, afsenderadresser og domæner, der kan analyseres. Analysen af mailtråden er beskrevet i CEO-svindel: analyse af mailtråden.

Undersøg også, hvordan den, der ringede, kendte detaljer om virksomheden. Offentlige opslag, LinkedIn, pressemeddelelser og tidligere lækager kan forklare det. En kompromitteret postkasse kan også, og så er opkaldet et symptom på et større problem.

Sikring

Fotografér eller skærmoptag opkaldslisten på modtagerens telefon, med nummer, tidspunkt og varighed, før den rulles ud af listen.
Sikr modtagerens telefon med et udtræk, hvis opkaldet, beskeder eller optagelser kan være relevante.
Eksportér opkaldsposter fra virksomhedens telefonanlæg eller VoIP-platform for perioden, med alle tilgængelige felter.
Sikr signaleringslogs fra anlægget, hvis de findes, før de roterer. Opbevaringen er ofte kort.
Sikr optagelser i oprindeligt format med hashværdi.
Dokumentér den påståede afsenders telefon: opkaldsliste for samme tidsrum.
Sikr mails, beskeder og betalingsspor omkring opkaldet.
Bed operatøren om bevarelse via de rette kanaler, fordi trafikdata kun opbevares i en begrænset periode.

Virksomhedens eget telefonanlæg hos en udbyder er beskrevet fra ledelsens side på bevissikring-digitalt.dk.

Tid

Telefonens opkaldsliste, telefonanlægget og operatøren har hver sit ur, og tidsstemplerne kan angive start på opringning, besvarelse eller afslutning. Sammenlign de tre kilder, og notér forskelle. Varighed kan være målt fra opringning eller fra besvarelse.

Fejlkilder

Det viste nummer tages som bevis for, hvem der ringede.
En genoptaget kopi af en optagelse analyseres i stedet for originalen.
Et detektionsværktøjs procentsats fremstilles som konklusion.
Opkaldslister på telefonen tolkes uden at tage højde for, at de kan være slettet eller begrænset i antal.
Opkaldet analyseres isoleret fra mails og beskeder, der indgik i samme forløb.

Hvad der kan og ikke kan bevises

Opkaldsdata kan med god sikkerhed vise, at der var et opkald på et bestemt tidspunkt med en bestemt varighed og et bestemt vist nummer, og ofte, at opkaldet ikke kom fra den påståede afsenders telefon. De kan sjældent vise, hvem der faktisk ringede. En lydanalyse kan i bedste fald pege på tegn, der taler for eller imod en syntetisk stemme. Rapporten bør skelne tydeligt mellem det, opkaldsdata viser, og vurderingen af lyden.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sporsikring ved digital stalking

Læs også: Bil, router og smart home: overvågning uden for telefonen · Deepfake i videomødet: mødelogs, deltagere og optagelser

→ Mobilforensik i civile sager · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik