Phishing: Sådan genkender du falske mails og sms’er

De falske beskeder er blevet bedre. Sproget er ikke længere en pålidelig markør, afsendernummeret kan manipuleres, og en falsk sms kan lande i samme samtale som de ægte beskeder fra MitID.

Til gengæld følger næsten alle forsøg det samme mønster, og det er til at genkende, når man ved hvad man skal se efter.

Denne guide gennemgår advarselstegnene, de tre ting du kan tjekke inden du klikker, og hvad du gør, hvis det er gået galt.

Sådan genkender du en falsk besked

Det vigtigste enkeltprincip: ingen banker eller offentlige myndigheder beder uopfordret om dine betalingskortoplysninger, CPR-nummer, MitID eller login-oplysninger via mail, sms eller telefon.

Får du den type henvendelse, er svaret altså givet, uanset hvor overbevisende beskeden ser ud.

To ting, du ikke kan stole på:

Afsendernummeret. Spoofing gør det muligt at ændre, hvilket nummer der vises. Svindlerens nummer kan fremstå identisk med bankens eller politiets, og derfor er det ikke nok at søge på nummeret. Kontakt i stedet virksomheden eller myndigheden direkte på deres hovednummer.

Tråden i din telefon. En falsk sms kan lande i samme samtale som de beskeder, du normalt får fra MitID eller Digital Post. At beskeden ligger sammen med de ægte, betyder ikke, at den er ægte.

Om sproget: stavefejl og klodset dansk var tidligere det mest brugbare tegn. Det er blevet mindre pålideligt, i takt med at svindlerne bruger bedre oversættelsesværktøjer. Fraværet af fejl betyder ikke, at beskeden er ægte.

De tre ting, du kan tjekke

Før du klikker på noget, tager det tyve sekunder at tjekke tre ting.

1. Hold musen over linket uden at klikke. Destinationen vises i browserens nederste kant eller som et pop-up. Passer den ikke til afsenderen, er beskeden falsk. På mobil kan du holde fingeren nede på linket for at få adressen vist.

2. Se på afsenderadressen — hele den. Ikke det viste navn, men den faktiske mailadresse. Svindelmails bruger ofte et domæne, der ligner: et ekstra ord, et byttet bogstav eller et andet topdomæne.

3. Gå selv til hjemmesiden. Er der virkelig et problem med din pakke, din bank eller din skat, kan du se det ved selv at logge ind gennem den kanal, du normalt bruger. Brug aldrig linket i beskeden.

Et fjerde greb, der virker automatisk: en adgangskodemanager udfylder ikke dine oplysninger på et domæne, den ikke genkender. Lander du på en falsk side, og manageren ikke reagerer, er det i sig selv et signal.

De mest udbredte typer i Danmark

MitID-svindel. Beskeder om at dit MitID skal fornyes, bekræftes eller er blevet spærret. MitID beder aldrig om dine oplysninger via en besked med et link.

Pakkesvindel. “Din pakke afventer betaling af et gebyr.” Ofte små beløb, som virker harmløse — formålet er kortoplysningerne, ikke gebyret.

Falske myndighedsbeskeder. Skattestyrelsen, politiet eller kommunen som afsender. Bemærk, at offentlige myndigheder bruger Digital Post, ikke sms med links.

Bankopkald. Nogen ringer og udgiver sig for at være fra din bank, ofte med bankens rigtige nummer i displayet. Bliver du bedt om at flytte penge, oplyse koder eller holde det hemmeligt for banken, er det svindel.

“Hej mor”-beskeder. En besked fra et ukendt nummer, der udgiver sig for at være et familiemedlem med en ny telefon og et akut pengebehov. Ring til det nummer, du kender, for at bekræfte.

Investeringssvindel. Løfter om garanteret afkast, ofte med kryptovaluta eller falske platforme. Vi har gennemgået området i artiklen om kryptovaluta.

Falske webshops og konkurrencer på sociale medier.

Hvis du har klikket eller givet oplysninger

Tre ting er værd at fremhæve.

Ring til banken først, hvis der er kortoplysninger involveret. Det er den handling, der stopper skaden hurtigst.

Gem dokumentationen, før du sletter. Skærmbilleder af beskeden, afsenderen og eventuelle sider du har været på. Politiet beder om det, og det er svært at rekonstruere bagefter.

Der findes gratis hjælp. Cyberhotline for digital sikkerhed kan kontaktes på 33 37 00 37, og har du brug for at tale med nogen anonymt om oplevelsen, har Offerrådgivningen en døgntelefon på 116 006.

Har du behov for at tjekke, om dine oplysninger allerede er lækket ved et tidligere brud, har vi gennemgået det i artiklen om datalæk og identitetsmisbrug.

Forebyggelse

De fire ting, der betyder mest — og som alle er gratis:

Tofaktorgodkendelse overalt. Selv hvis en adgangskode bliver oplyst, forhindrer det, at svindleren kan logge ind.

Unikke adgangskoder til hver tjeneste, styret af en adgangskodemanager. Genbrug er den hyppigste årsag til, at ét brud rammer flere konti.

Hent apps fra App Store eller Google Play, aldrig via et link i en besked.

Hold styresystem og programmer opdateret. De fleste angreb udnytter sårbarheder, der allerede er lukket.

Om antivirus: det kan blokere kendte falske sider, men det fanger ikke det hele. Phishing rammer mennesket frem for maskinen, og derfor er det din egen skepsis, der er den vigtigste beskyttelse. Vi har gennemgået, hvad antivirus kan og ikke kan, i artiklen om antivirus.

En sidste bemærkning: svindel rammer også mennesker, der ved en masse om det. Beskederne er designet til at ramme, når man har travlt og er optaget af noget andet. Det er ikke et udtryk for dumhed at falde i — og der er ingen grund til at være flov over at bede om hjælp.

Ofte stillede spørgsmål

Hvordan ved jeg, om en besked er falsk?
Se efter tidspres, anmodning om personlige oplysninger, et link du skal klikke på, og om henvendelsen er uventet. Banker og myndigheder beder aldrig uopfordret om MitID, CPR-nummer eller kortoplysninger via mail, sms eller telefon.

Kan jeg stole på afsendernummeret?
Nej. Spoofing gør det muligt at vise et andet nummer, end der reelt sendes fra — også bankens eller politiets rigtige nummer. Kontakt i stedet virksomheden på deres hovednummer.

Betyder god stavning, at beskeden er ægte?
Nej. Svindlerne bruger i dag bedre oversættelsesværktøjer, så sproglige fejl er blevet et mindre pålideligt tegn. Fraværet af fejl siger ikke noget.

Hvordan tjekker jeg et link uden at klikke?
Hold musen over linket, så vises destinationen i browserens nederste kant. På mobil holder du fingeren nede på linket. Passer adressen ikke til afsenderen, er beskeden falsk.

Jeg har klikket på et link — hvad nu?
Har du kun klikket uden at indtaste noget, luk siden, kør en scanning og hold øje med kontoen. Har du oplyst kortoplysninger, ring til banken straks. Har du brugt dit MitID, spær det.

Hvor anmelder jeg phishing?
Til politiet på politi.dk eller telefon 114. Gem dokumentationen — også efter anmeldelsen. Gratis vejledning fås hos Cyberhotline på 33 37 00 37.

Beskytter antivirus mod phishing?
Delvist. Programmer kan blokere kendte falske sider, men de fanger ikke det hele. Phishing er rettet mod mennesket, ikke maskinen.

Denne artikel er informativ og faktabaseret og bygger på vejledninger fra Borger.dk, Sikker Digital, politiet, Forbrugerrådet Tænk og Forbrug.dk. Den er ikke juridisk eller it-sikkerhedsfaglig rådgivning og anbefaler ingen produkter eller udbydere. Svindelmetoder ændrer sig løbende, og de beskrevne typer er eksempler, ikke en fuldstændig liste — se de aktuelle advarsler på Sikker Digital. Er du blevet udsat for svindel, bør du kontakte din bank og anmelde forholdet til politiet på politi.dk eller telefon 114 — denne artikel erstatter ikke den vejledning, du får dér. Gratis vejledning om digital sikkerhed fås hos Cyberhotline på 33 37 00 37. Har du brug for at tale anonymt med nogen om en oplevelse med svindel, har Offerrådgivningen døgntelefon 116 006.