Nätfiske (phishing): så känner du igen och skyddar dig

Kort svar: Nätfiske (engelska phishing) är bedrägeriförsök där en angripare utger sig för att vara någon du litar på – din bank, ett företag, en myndighet eller en kollega – för att lura dig att lämna ut lösenord, kortuppgifter eller pengar, eller att klicka på en skadlig länk. Det sker via e-post, sms (smishing), telefon (vishing) och chatt. Det bästa skyddet är att aldrig lämna uppgifter eller klicka på länkar på uppmaning, utan istället själv gå till tjänsten på ett sätt du vet är äkta – samt att ha tvåfaktorsautentisering påslaget.

Vad är nätfiske?

Nätfiske bygger på social manipulation snarare än teknisk hacking. Angriparen “fiskar” efter dina uppgifter genom att skapa ett meddelande som ser äkta ut och trycker på en känsla: stress, rädsla, nyfikenhet eller girighet. Klassiska exempel:

• “Ditt paket kunde inte levereras – betala tullavgift här.”
• “Ovanlig inloggning upptäckt – verifiera ditt konto direkt annars stängs det.”
• “Din faktura är förfallen, klicka för att undvika inkasso.”
• Ett mejl som ser ut att komma från chefen: “Kan du snabbt köpa presentkort åt mig?”

Målet är alltid att få dig att agera snabbt utan att tänka efter.

De vanligaste typerna av nätfiske

• E-postfiske – det klassiska: ett mejl med en länk till en falsk inloggningssida eller en skadlig bilaga.
• Smishing – nätfiske via sms, ofta med korta budskap om paket, bank eller BankID.
• Vishing – nätfiske via telefonsamtal, där någon utger sig för att vara från banken, Microsofts support eller en myndighet.
• Spjutfiske (spear phishing) – riktade attacker mot en specifik person, ofta med personlig information som gör dem svårare att genomskåda.
• Vd-bedrägeri (BEC) – angriparen utger sig för att vara chefen eller en leverantör och begär en brådskande betalning eller ändrat kontonummer.

Så känner du igen ett nätfiskeförsök

Var extra vaksam när ett meddelande gör något av följande:

• Skapar brådska eller hot – “agera inom 24 timmar annars…”.
• Ber dig lämna känsliga uppgifter – lösenord, koder, kortnummer, BankID.
• Har en avvikande avsändaradress – kolla den fullständiga adressen, inte bara visningsnamnet.
• Länkar till en adress som inte stämmer – håll muspekaren över länken (utan att klicka) och läs den riktiga adressen. Se upp för snarlika domäner som bank-id.se eller postnord-betala.com.
• Innehåller oväntade bilagor – särskilt filer du inte bett om.
• Har språkfel eller konstig ton – men var medveten: moderna nätfiskemeddelanden, ofta skrivna med AI, kan vara helt felfria. Frånvaro av stavfel är alltså inget kvitto på att det är äkta.
• Ber om betalning i presentkort eller kryptovaluta – ett nästan säkert bedrägeritecken.

En gyllene regel

Banker, myndigheter och seriösa företag ber dig aldrig att lämna ut lösenord, koder eller BankID-legitimering via en länk i ett mejl eller sms. Blir du ombedd det – utgå från att det är bedrägeri.

Så skyddar du dig

1. Klicka inte på länkar på uppmaning. Gå istället själv till tjänsten – skriv adressen manuellt eller använd ditt eget sparade bokmärke/app.
2. Verifiera via en annan kanal. Fick du ett konstigt meddelande från banken eller chefen? Ring upp på ett nummer du redan har, inte det i meddelandet.
3. Slå på tvåfaktorsautentisering. Även om ditt lösenord fiskas kommer angriparen sällan in utan den andra faktorn. Säkerhetsnycklar och passkeys skyddar dessutom även mot att själva koden fiskas.
4. Använd en lösenordshanterare. Den fyller bara i lösenordet på den äkta domänen – gör den det inte på en sida är det en varningssignal.
5. Lämna aldrig ut engångskoder. Ingen seriös aktör ringer och ber om koden du just fått.
6. Håll program uppdaterade så att skadliga bilagor och länkar har svårare att utnyttja sårbarheter.

Vad gör du om du redan klickat eller lämnat uppgifter?

Det händer även de mest vaksamma. Agera snabbt:

• Byt lösenord direkt på det drabbade kontot – och på andra konton där du använt samma lösenord.
• Kontakta banken och spärra kort om du lämnat kortuppgifter eller legitimerat dig.
• Slå på tvåfaktorsautentisering om det inte redan var på.
• Anmäl till polisen (bedrägeri) och varna kollegor om det skedde i jobbet.
• Rör det personuppgifter i en verksamhet kan det vara en anmälningspliktig incident – se vår guide om personuppgiftsincident.

Nätfiske i företag

Nätfiske är den vanligaste vägen in för både ransomware och dataintrång. För ett företag är det därför avgörande att:

• Utbilda personalen löpande och göra det tillåtet att fråga och att rapportera misstänkta meddelanden utan skam.
• Ha en tydlig rutin för att verifiera betalningar och ändrade kontonummer (skydd mot vd-bedrägeri).
• Kräva tvåfaktorsautentisering på alla konton, särskilt e-post.

En enda anställd som klickar räcker – men en organisation som är tränad att pausa och verifiera stoppar de flesta försök.

Vanliga frågor

Vad är skillnaden mellan phishing, smishing och vishing? Det är samma sorts bedrägeri via olika kanaler. Phishing sker via e-post, smishing via sms och vishing via telefonsamtal. Alla utger sig för att vara en betrodd avsändare för att lura dig.

Kan man bli lurad även om man är försiktig? Ja. Riktade attacker (spjutfiske) kan vara mycket övertygande och innehålla korrekt personlig information. Därför är tekniska skydd som tvåfaktorsautentisering viktiga – de skyddar även när en människa gör fel.

Är det farligt att bara öppna ett mejl? Att öppna själva mejlet är oftast ofarligt. Faran ligger i att klicka på länkar, öppna bilagor eller svara med uppgifter. Låt bli det så har du kommit långt.

Hur vet jag om en länk är säker? Håll muspekaren över länken och läs den fullständiga adressen. Litar du inte till 100 % – klicka inte, utan gå själv till tjänsten via app eller ett bokmärke du vet är äkta.

Vart anmäler jag nätfiske? Bedrägeriförsök anmäls till Polisen. Misstänkta mejl kan ofta även rapporteras till din e-postleverantör och, i jobbet, till er IT-ansvarige. CERT-SE tar emot rapporter om it-incidenter.

Vill du höja säkerheten på hela din webbplats? Testa vårt verktyg 14 dagar gratis och läs vår guide om ransomware.

Källor

• Polisen om nätfiske och bedrägerier
• CERT-SE – Sveriges nationella CSIRT
• Myndigheten för samhällsskydd och beredskap (MSB) om informationssäkerhet