17 minuter som skakade börsen– kuppen mot Fingerprint Cards

Klockan 10.17.44

Attacken har inletts. Men det vet inte Fingerprint Cards vd Johan Carlström. Han har många tankar i huvudet när han tittar ut över paradgatan Avenyn från huvudkontoret på Kungsportsplatsen i Göteborg. Det är den andra dagen av en tvådagars strategikonferens med hela styrelsen och ledningsgruppen. Och det finns mycket att tala om denna fredag, den 11 oktober 2013.

Dagarna före hade kartan delvis ritats om på marknaden för fingeravtrycksläsare. Nasdaqnoterade Synaptics hade förvärvat Fingerprints värsta konkurrent, amerikanska Validity. Om vissa försäljningsmål uppnåddes till 2015 blev priset en bra bit över två miljarder kronor. Mycket, men mindre än vad Fingerprint var värt på börsen, och Fingerprintaktien hade redan tappat mer än en tredjedel av värdet sedan Apples release av den senaste versionen av Iphone. Den är utrustad med fingeravtrycksläsare. Men inte Fingerprints utan från Authentec, som Apple förvärvade förra sommaren.

Den stora frågan som stöts och blöts i biometribranschen är nu hur Samsung, den största leverantören av smarta telefoner, ska agera när det gäller fingeravtrycksläsare. Finns det redan en läsare på bolagets gigantiska utvecklingsavdelning? Eller kommer det koreanska bolaget köpa en extern leverantör? Med enorm försäljningsvolym är givetvis Samsung Fingerprints drömkund. Och självklart även drömförvärvaren. Om priset är det rätta vill säga.

Johan Carlström är väl medveten om detta. Och det är han inte ensam om.

***

Informationsförmedlingsföretaget Cision, med kontor på Linnégatan på Östermalm i Stockholm, är den dominerande förmedlaren av pressmeddelanden från svenska börsföretag, en mycket trovärdig avsändare med kanaler in i alla viktiga börssystem och stora nyhetsbyråer. Informationen går ut till alla prenumeranter exakt samtidigt. Men det finns en bakdörr.

Det återstår sexton sekunder av den 17:e minuten klockan tio på förmiddagen då Cision skickar ut en pressrelease i Fingerprint Cards namn. ”Samsung Electronics förvärvar Fingerprint Cards AB” är rubriken. I pressreleasen, som finns både på svenska och engelska, framgår att Samsung Electronics betalar 650 miljoner dollar, motsvarande 4,2 miljarder kronor. I den engelska versionen anges att beloppet är kontant. Avtalet har godkänts av styrelserna i såväl Fingerprint Cards som Samsung Electronics.

Samsungs vd Kwon Oh-hyun citeras. ”Fingeravtryckssensorer är fenomenala på alla sätt och kommer att bli älskad av miljontals människor runt om i världen.” Han avslutar med ”Tillsammans skapar vi framtiden”.

Vidare anges att Fingerprint Cards blir ett nytt affärsområde inom Samsung och att vd Johan Carlström ska rapportera direkt till Kwon Oh-Hyun. Även Johan Carlström citeras: ”Tillsammans kommer vi att kunna accelerera Samsungs planer.”

Aktiemarknaden reagerar blixtsnabbt, 15 sekunder efter att Cision skickat ut pressmeddelandet har Fingerprintaktien stigit 8 procent på Stockholmsbörsen. Den extrema kursrörelsen triggar ett automatiskt larm i handelsövervakningssystemet på Stockholmsbörsen. Bolagsövervakningen konstaterar att orsaken är ett pressmeddelande och ett bud på bolaget.

– Vi har en skyldighet enligt lag att stoppa handeln under vissa förutsättningar, men vi måste först utreda om de här förutsättningarna är uppfyllda, så det är viktigt att vi talar med bolaget, säger Annika Poutiainen, övervakningschef på Stockholmsbörsen.

Börsövervakningen börjar genast försöka få kontakt med vd Johan Carlström.

Klockan 10.18.11 Aktien har nu hunnit stiga med 12 procent, från 53,25 kronor till 59,75 kronor.

Det har gått 27 sekunder. Nyhetsbyrån Direkt, en nyhetskälla främst riktad mot finansmarknaden, går ut med den första nyhetsflashen – det som förr kallades iltelegram. ”Fingerprint: Samsung lägger bud.” Lars Östlund är chefredaktör på Nyhetsbyrån Direkt.

– Pressmeddelandet var inte uppenbart falskt. Det var visserligen summariskt och amatörmässigt utformat men det är ingenting som per automatik innebär att det var falskt. Dåliga pressmeddelanden har man ju sett många av.

Nyhetsflashen följs sedan av ytterligare tre flashar inom samma minut med information om att budet är värt 650 miljoner dollar kontant och att styrelsen rekommenderar budet.

Nyhetsbyråer mäter och tävlar ständigt om förstaplatsen, att vara den som är snabbast ut med informationen till sina kunder. På aktiemarknaden är en sekund ibland en hel evighet. För en trader kan det vara skillnaden mellan framgång och förlust. Internt på nyhetsbyråerna kommer varje dag listor på vilka nyheter man vann och förlorade jämfört med andra byråer.

Hela systemet är alltså riggat för att det ska gå fort och att pressmeddelanden i grunden är korrekta från början.

Lars Östlund på Direkt konstaterar att när ett pressmeddelande har släpps så finns det aktörer som kan se det direkt och därmed kan handla på nyheten. Det är därför viktigt att snabbt informera marknaden och minska på den så kallade informationsasymmetrin.

– Vår roll är att vara en snabb förmedlare av nyheter. Det är klart att vi har ett ansvar att informationen som går ut från oss är korrekt. När vi gör det så måste vi förlita oss på vissa inkanaler som betraktas som säkra, i det här fallet Cision. Det har ju fungerat alldeles utmärkt under väldigt många år, det har faktiskt gått 18 år sedan vi såg något liknande.

Samtidigt kunde Direkt-redaktionens journalister se att det fanns detaljer i pressreleasen som var udda. Dels var informationen väldigt summarisk med tanke på nyhetens karaktär. Dels saknades helt enkelt en mängd olika uppgifter som brukar vara standardinformation vid ett bud.

Redaktionen tyckte också att det var konstigt att pressutskicket kom från budobjektet Fingerprint Cards, inte från Samsung. Men eftersom det inte hade konstaterats falskt så jobbade redaktionen vidare med två olika spår. Även Direkt började jaga Johan Carlström.

Klockan 10.25.49 Aktien har nu stigit till 78,5 kronor eller 47 procent högre jämfört med före pressreleasen åtta minuter tidigare.

Dagens Industri lägger ut första artikeln på sajten di.se ”Samsung lägger bud på Fingerprint”. Källa: ett pressmeddelande från bolagen.

Några minuter senare publicerar även Svenska Dagbladet sin första artikel, med rubriken ”Samsung köper Fingerprint”.

Klockan 10.30.08 Nyhetsbyrån Direkt går ut med ett tillägg till tidigare telegram, där det konstateras att budet uppgår till cirka 81,7 kronor per aktie. Det stämmer inte. Redaktionen har missat det stora antalet teckningsoptioner som är i spel och en korrekt beräkning hade landat på 75,3 kronor. Men aktien påverkas inte i någon större omfattning.

Fingerprints vd Johan Carlström är fortfarande fullt upptagen på sin strategikonferens. Men nu plockar han upp sin mobiltelefon och upptäcker sju missade samtal plus en rad email. I telefonen fanns inget samtal från Cision, enligt Johan Carlström. I så fall har informationsförmedlingsföretaget ringt från dolt nummer och inte lämnat meddelande.

Han öppnar sin dator och ser toppnyheten på di.se. En överraskad Johan Carlström avbryter omedelbart strategimötet och rusar ut för att ringa till Stockholmsbörsen och bolagsövervakningen.

Klockan 10.31.33 Affärsvärldens sajt har nu också publicerat en artikel om budet. Redaktionen har tidigare granskat Fingerprint Cards, vilket lett till starka reaktioner från den ovanligt hängivna kretsen aktieägare i bolaget. Nu kommer skadeglädjen hos dem som nu tycker sig ha bevis på att Affärsvärlden har haft fel. ”Din jäääävla soooopa!!!” står det i ett mejl.

Inte minst signaturen Crowhater öser invektiv över Affärsvärlden och dess skribenter. Crowhater är den mest aktiva och framträdande av alla på banken Avanzas aktieforum. Bara under det senaste året har han publicerat en bra bit över 3 000 inlägg om Fingerprint Cards där. Vissa inlägg är så långa som 20 000 tecken, ungefär som den här artikeln. Utöver det skriver han på flera andra aktieforum och i flera tidningars kommentarsfält, inklusive Affärsvärldens.

Klockan 10.32.10 Dagens toppkurs nås. 79,75 kronor. Det betyder att börsvärdet på Fingerprint är uppe i 4,5 miljarder kronor, inklusive de generösa teckningsoptionsprogrammen. En och en halv miljard kronor mer än femton minuter tidigare. Fingerprint Cards har rusat med 50 procent och sektorkollegan Precise Biometrics har hängt med upp. Aktien har där stigit 40 procent. Även den norska biometrikollegan Idex har stigit 10 procent på börsen.

Patrik Norberg är finanschef och ansvarig för investerarrelationer på Precise Biometrics.

– Det var spänning i luften hos oss också under den här perioden. Sen blev det dramatiskt när jag i min roll som ansvarig för investerarrelationer, förstod att det faktiskt gick att lura systemet med att skicka ut pressreleaser.

Men att det var ett falskt meddelande visste han inte då.

Klockan 10.33.00 Johan Carlström får äntligen tag på bolagsövervakningen på Stockholmsbörsen och ber dem att omeddelbart stoppa handeln i aktien. Börsen motringer, för att vara säkra på att det denna gång faktiskt är en äkta vd.

– Vi ringde vd Johan Carlström och dubbelkollade även genom att ringa växeln. Det var en väldigt otäck och en extrem situation, säger Annika Poutiainen.

Fingerprints ekonomichef Jens Reckman ringer samtidigt Cision. Johan Carlström fortsätter med att ringa Finansinspektionen, som har tillsynsansvar för den svenska finansmarknaden.

Samtidigt försöker Martin Hävner på Direkt oförtrutet att ringa numret i pressreleasen men det tutar upptaget hela tiden. Han kollar även om han hade ett annat nummer till Johan Carlström, vilket han hade. Det skilde sig från det i pressreleasen och det var det numret som Johan Carlström svarade på. Han svarade då att han också hade ett annat samtal i en annan telefon. Följande korta dialog utväxlades, där Martin Hävner frågar:

– Stämmer det här?

– Nej, det är fel.

– Är pressmeddelandet falskt?

– Det är falskt. Det kommer inte från oss.

– Herregud, utbrister Hävner. Vem kan ha skickat det?

– Hur ska jag kunna veta det? svarar en samlad, bestämd och defintivt inte uppjagad Carlström.

Nyhetsbyrån Direkt blev därmed första mediet som fick bekräftelse på att det var fråga om ett falskt pressmeddelande. Det finns inget bud från Samsung.

Hur kunde ett falskt pressmeddelande passera genom alla kontrollinstanser? Magnus Thell, vd för Cision, vill inte gå in på några detaljer med hänvisning till säkerhetsaspekten och den polisutredning som nu pågår.

– I det här fallet var det en bedragare och Fingerprint Cards har inget med detta att göra, säger Magnus Thell.

Affärsvärlden har dock talat med en rad andra företag som nyttjar Cisions tjänster. Och det blir då tydligt hur förödande enkelt det var att lura systemet.

Kunder hos Cision kan själva skicka ut pressreleaser via Cisions onlinegränssnitt ”Cisionpoint”. Ett fåtal personer på varje företag, ofta de ansvariga för information och kommunikation, har användarnamn och lösenord, som måste bytas med jämna mellanrum. Systemet håller en hög säkerhetsnivå.

Men det finns en bakdörr. Utöver Cisionpoint kunde kunderna, fram till den ödesdigra fredagen den 11 oktober, använda sig av ”assistans”. Det är tänkt för situationer när en brådskande pressrelease måste ut, och de ansvariga inte har tillgång till Cisionpoint, av ett eller annat skäl. Pressreleasen mejlas då in och – är det tänkt – så kontrollringer Cisionpoint till den listade kontaktpersonen hos kunden.

Bedragarna kände alltså till detta. Tillvägagångssättet är lika enkelt som klassiskt. En person med en identitet stulen av en dömd och fängslad pedofil, registrerade domänen fingerprint-cards.se på torsdagen, dagen före kuppen.

Bedragarna mejlar sedan in de två pressreleaserna (på svenska och engelska). Som kontaktperson anges vd Johan Carlström, ett kontantkortsnummer och mejladressen.

Cisions ledning hävdar att bolaget följde rutinerna och kontrollringde till den verifierade kontakten, vd Johan Carlström, men utan framgång. Johan Carlström uppger till Affärsvärlden att han inte sett att någon ringt från Cision under fredagsmorgonen. I så fall var det med dolt nummer utan lämnat meddelande. Ord står alltså mot ord.

Affärsvärldens källor med erfarenhet av att anlita Cision uppger att de aldrig har fått kontrollsamtal när en pressrelease skickats ut med mejl­assistans.

När Johan Carlström inte svarar på sitt vanliga nummer ringer Cision i stället numret som anges i pressreleasen. En man svarar att han är Johan Carlström på Fingerprint. Med den bekräftelsen går pressreleasen i väg. Affärsvärlden har prövat att ringa numret, utan svar.

Det är börsbolagen som har det yttersta ansvaret för att få ut korrekt informationen till marknaden, via distributörer eller egna utskick. Bolagen måste själva säkerställa att de har ordentliga rutiner och processer.

– Vår uppgift är inte att granska innehåll. Det måste vara klarlagt och tillrättalagt av kunderna. Det är så vår uppgift ser ut i denna värdekedja, säger Magnus Thell på Cision.

I dag har Cision stängt av möjligheten att mejla in pressreleaser.

– Redan tidigare innan vi gjorde denna förändring så har 90–95 procent av våra pressmeddelanden gått via vårt onlinegränssnitt. Det är endast en bråkdel som har kommit in via mejl tidigare, säger Magnus Thell.

I ett mejl till Affärsvärlden skriver Johan Carlström att han litade på att Cisions tjänster var tillräckligt bra och säkra. Uppenbarligen var så inte fallet. Enligt Carlström har Cision grovt misskött det uppdrag som Fingerprint Cards har anlitat dem för och de har inte genomfört rimliga kontroller utan visat grov vårdslöshet. Fingerprint Cards tänker byta leverantör så fort som möjligt.

Klockan 10.34.06 Sista avslutet i Fingerprint-aktien innan Nasdaq OMX stoppar handeln på Stockholmsbörsen. Nyhetsbyrån Direkt går minuten efter ut med en nyhetsflash att handeln är stoppad. Ännu vet bara några få personer att allt är en gigantisk bluff. Men nyheten om budet har nu hunnit spridas internationellt. Nyhetsbyrån Reuters publicerar ett telegram med rubriken ”Samsung buys Sweden’s Fingerprint Cards for 650 MUSD”

Det dröjde alltså 17 minuter innan Nasdaq OMX stoppade handeln i aktien, vilket börsoperatören senare skulle få mycket kritik för. Men börsen får inte genomföra ett regulatoriskt handelsstopp enbart baserat på en kursrörelse. Den vanligaste orsaken till ett handelsstopp är att det finns en läcka i marknaden. Det här var något annat.

– Det är ingen onormalt lång tid. Vi måste alltid ta reda på vad som är orsaken till handelsstoppet, för att det är en så pass genomgripande åtgärd att genomföra det, säger Annika Poutiainen på Stockholmsbörsens bolagsbevakning.

Vissa kritiker hävdar att Nasdaq OMX har monterat ner börsbevakningen. Att det tog 17 minuter att stoppa handeln i aktien skulle vara ett bevis på det.

– Den kritiken är helt obefogad. Vi är fler anställda i dag än för fem år sedan, säger Annika Poutiainen.

Det finns olika handelsstopp på börsen. Sedan tre år tillbaka finns automatiska larm, volatility guards, som slår till om kursen rör sig snabbt i jämförelse med föregående avslut eller dagens öppningspris. Vid ett stopp stannar handeln i upp till tre minuter och sedan inleds den med ett auktionsförfarande, det vill säga då nya order läggs in manuellt. Det är till för att skydda marknaden från att en felaktigt lagd order ska skapa följdeffekter och turbulens som utlöser algoritmstyrda köp eller säljbeslut, det vill säga flashcrash-liknande scenarier. Handeln stoppas helt enkelt och får en chans att lugna ner sig för att sedan öppnas igen under ordnade former.

Ett regulatoriskt handelsstopp är ett manuellt stopp som börsen beslutar om på regulatoriska grunder och som gäller tills de fattar beslut att starta handeln igen. När och hur Nasdaq OMX får göra det är reglerat av lagar och regler. Ett vanligt skäl är att det finns anledning att misstänka informationsasymmetri.

I Fingerprint Cards fall var det extrema kursrörelser, men orsaken var information som publicerats enligt konstens alla regler.

Samtidigt fortsätter handeln i Precise Biometrics. Precise hade stigit som mest med 44 procent under budet. Flera högljudda röster rasar över börsbevakningens långsamma beslutsprocess.

Först efter nästan två timmar handelsstoppas även sektorkollegan Precise Biometrics som stigit med nästan lika mycket som Fingerprint Cards. Precise fungerar nästan som ett derivat på handeln i Fingerprint och för utomstående är korrelationen och kopplingen mellan bolagen ganska uppenbar.

– Det var en svår gränsdragningsproblematik. Det handlar ju om att en pressrelease rörde kursen i Fingerprint Cards. Har vi grund att stoppa handel i andra aktier överhuvudtaget? Vi kom sedan fram till att handeln i Precise var så pass påverkad av handeln i Fingerprint att det var skäl till att stoppa handeln och makulera affärer, säger Annika Poutiainen.

Precise Biometrics finanschef och IR-chef Patrik Norberg tycker inte att två timmar responstid är acceptabelt.

– Det hade varit mer rättvist att handelsstoppa Precise samtidigt med Fingerprint. Jag tror att de var så tagna på sängen och inte såg kopplingen mellan våra bolag.

Klockan 10.53.16 Cision går ut med en rättelse på det felaktiga pressmeddelandet. Börsen beslutar 44 sekunder senare att all handel i Fingerprint under de 17 minuterna ska makuleras. Ingen ska kunna tjäna pengar på det falska pressmeddelandet. Senare på dagen beslutar börsen att även all handel i Precise-aktien ska makuleras.

Klockan 13.30.00 Handeln i Precise och Fingerprint återupptas. Aktierna balanserar överraskande väl kring oförändrad kurs och Fingerprint slutar dagen så.

***

Det är lätt att vara efterklok när bedragare är i farten. Cision – med anor från 1800-talet – får med all rätt bära hundhuvudet för att bluffbudet överhuvudtaget gick att genomföra. Uppenbart undermåliga rutiner för att säkerställa såväl innehåll som avsändare måste nu stramas åt, vilket delvis redan har skett. Ord står mot ord huruvida Cision kontrollringde till Fingerprint Cards.

Nasdaq OMX börsövervakning stoppade handeln i Fingerprint först efter 17 minuter och efter över två timmar i Precise Biometrics, vilket också är under all kritik. Att Samsung, ett av världens största bolag, skulle ha missat att informera börsen där det tilltänkta förvärvet handlas, är knappast sannolikt. Men Annika Poutiainen är ändå nöjd.

– Vi makulerade affärerna i Fingerprint liksom i Precise Biometrics. Ingen har kunnat göra en otillbörlig vinst och övervakningen har uppfyllt sin skyldighet att skydda marknaden i det här fallet.

Det är också oundvikligt att förtroendet är skadat för Fingerprint Cards, även om bolaget i denna specifika händelse till synes är helt oskyldigt. Samtidigt är vissa bolag mer utsatta för risken att bluffnyheter får effekt än genomsnittet. Med en hög volatilitet, stor likviditet i aktien och en ryktesdriven handel var Fingerprint en perfekt kandidat för en kriminell manipulation.

– Det är onekligen ett tacksamt bolag eftersom det har varit mycket surr kring Fingerprint. Men denna händelse hade kunnat hända i Precise Biometrics också, säger Patrik Norberg.

Fingerprint Cards är ett mindre bolag och därmed är förväntningarna lägre på fullt formella rutiner kring informationsgivningen.

– Om det hade gällt Volvo eller Sandvik så hade det varit mer förvånande och mer osannolikt att ett bud skulle ha kunnat presenteras på det sätt som nu skedde, säger Lars Östlund.

Och så återstår förstås frågan vem eller vilka som är bedragare och vilka deras motiv är. Samtliga Affärsvärlden har varit i kontakt med hävdar att det inte har gått att tjäna pengar på manövern. All handel har makulerats, inklusive den på Burgundy, som sedan förra hösten är en del av Oslobörsen.

Möjligen kan någon aktör dagarna före ha tagit en negativ position i aktien, så kall­ad blankning, med förhoppningen att det falska beskedet skulle skada Fingerprint och att aktien skulle rasa efter att sanningen kommit fram. Aktien stängde som sagt oförändrat under fredagen och men föll sedan med 17 procent de tre följande dagarna.

Ytterligare teorier handlar om att hela bluffbudet är en klassisk hackerattack med ett företag inom säkerhetsbranschen som måltavla. Fingerprint uppger sig tidigare ha blivit utsatta för såväl hackerattack på hemsidan som kursmanipulationer från blankare. Bolaget har flera gånger anmält misstänkta kursmanipulationer till Finansinspektionen.

Och Fingerprints hängivna aktieägare har förstås inte glömt. På aktieforumen går budskandalen under benämningen Cision Impossible, med anspelning på actionfilmen Mission Impossible med Tom Cruise i huvudrollen. Smartcard, en av de mest framträdande signaturerna, har utlyst en kontant belöning på 50 000 kronor till den som tipsar om vem eller vilka som låg bakom det falska pressmeddelandet.