Phishing og svindel på SMS

Phishing på SMS har sluttet å være dårlig oversatt. Meldingene er korte, korrekt skrevet og handler om noe du faktisk kan vente deg. Derfor holder det ikke lenger å se etter skrivefeil. Du må se etter hva meldingen ber deg gjøre.

Én regel dekker det meste: en melding som ber deg logge inn, betale et lite beløp eller oppgi kortopplysninger, er svindel til det motsatte er bevist — og du beviser det ved å gå til tjenesten selv, ikke via lenken.

De fire som går igjen

Pakken som ligger på tollageret

«Pakken din kan ikke leveres. Betal tollgebyr på 39 kroner.» Beløpet er lavt med vilje, for det er ikke gebyret de er ute etter — det er kortopplysningene du taster inn på betalingssiden. Ekte transportører krever ikke kortopplysninger på SMS for å levere en pakke, og du kan alltid sjekke sporingsnummeret i transportørens egen app.

Boten eller parkeringsgebyret

«Ubetalt kontrollsanksjon. Beløpet øker etter 24 timer.» Ekte kontrollsanksjoner legges på bilruten eller sendes som brev, og du kan alltid finne saken hos den som ilagt den. Er du i tvil om et parkeringskrav i det hele tatt er gyldig, sjekk reglene hos parkeringsguiden før du betaler noe som helst.

Strømstøtten og andre utbetalinger

«Du har krav på etterbetaling av strømstøtte. Bekreft kontonummer.» Strømstøtten trekkes fra på nettleiefakturaen din automatisk — du søker ikke om den, og du oppgir ikke kontonummer for å få den. Hvordan ordningen faktisk virker står i artikkelen om strømpriser og strømstøtte.

Skatten

«Du har til gode 4 812 kroner. Klikk for å motta.» Skatteetaten sender ikke penger etter at du har klikket på en lenke i en SMS. Tilgodebeløp utbetales til kontonummeret du har registrert, og du endrer det i Skatteetatens egne løsninger. Når pengene faktisk kommer, står i arkivartikkelen om når skattepengene kommer.

Avsendernavnet betyr ingenting

Dette er det punktet folk flest ikke vet: navnet som vises som avsender på en SMS kan settes nesten fritt. Det betyr to ting som er verdt å ta inn over seg.

For det første kan en svindelmelding vise «Posten», «Skatteetaten» eller navnet på banken din. For det andre kan meldingen havne i samme meldingstråd som de ekte meldingene fra samme avsender, fordi telefonen sorterer etter navn. At en melding ligger rett under en ekte melding fra banken, er derfor ikke noe bevis på at den er ekte.

Lenker som ligner

Adressen i meldingen er ofte det eneste konkrete du har, og den er samtidig det svindleren har minst kontroll over. Han kan skrive hva som helst i teksten, men domenet må han faktisk eie. Slik leser du den:

• Se på det siste ordet før første skråstrek. I «posten.levering-no.com/spor» er domenet levering-no.com, ikke posten. Alt til venstre er pynt.
• Bindestrek og ekstra ord er et vanlig grep: «bank-sikkerhet.no», «skatteetaten-refusjon.com».
• Feil toppdomene. Norske etater bruker .no. En .com- eller .info-adresse for Skatteetaten eller NAV er falsk.
• Forkortede lenker skjuler hele adressen. Ikke klikk for å «se hvor den går».
• Tegn som ligner. Bokstaver fra andre alfabeter kan gjøre at et domene ser identisk ut i displayet, men peker et helt annet sted.

Den praktiske løsningen er å ikke lese adresser i det hele tatt: skriv inn nettadressen selv, eller bruk appen du allerede har installert.

Kommer meldingen fra et utenlandsk nummer, sier det lite i seg selv — mange ekte tjenester sender fra utlandet, og svindel sendes ofte fra norske numre. Landkoden er altså verken et frikort eller et bevis.

QR-koder i det offentlige rom

En klistrelapp med QR-kode på en parkeringsautomat, en ladestasjon eller et oppslag i en oppgang koster ingenting å produsere og kan limes rett over den ekte. Koden tar deg til en betalingsside som ser riktig ut. Bruk parkerings- og ladeappene du allerede har, og vær skeptisk til QR-koder som er limt på i ettertid, sitter skjevt eller dekker trykt tekst.

Telefonen der bankens nummer vises

Nummeret i displayet kan forfalskes på samme måte som avsendernavnet på SMS. Ringer «banken» og ber deg bekrefte en transaksjon, godkjenne noe i appen eller lese opp en kode, legg på uten å diskutere. Ring tilbake på nummeret på baksiden av kortet ditt. Er henvendelsen ekte, tar det deg tretti sekunder å få det bekreftet.

E-post: samme grep, mer plass

I e-post er det rom for logo, vedlegg og en lengre forklaring, og derfor ser den ofte mer overbevisende ut enn en SMS. Fire varianter dominerer:

• Falsk faktura som vedlegg. Ofte for et abonnement eller en tjeneste med et gjenkjennelig navn. Vedlegget kan i tillegg inneholde skadevare.
• «Uvanlig innlogging oppdaget». Et varsel som ber deg bekrefte kontoen din via en lenke. Gå til tjenesten selv i stedet, og sjekk innloggingshistorikken der.
• Sjefssvindel mot bedrifter. En e-post som ser ut til å komme fra daglig leder ber om en hastebetaling, gjerne mens vedkommende «er i møte og ikke kan snakke». Motgiften er en fast regel om at betalinger over et visst beløp skal bekreftes muntlig med en person du kjenner stemmen til.
• Endret kontonummer fra en leverandør. En e-post opplyser at fakturaer heretter skal betales til en ny konto. Ring leverandøren på det nummeret du hadde fra før, aldri på nummeret i e-posten.

«Hei mamma» og hackede kontoer

En melding fra et ukjent nummer: barnet ditt har mistet telefonen, dette er det nye nummeret, og en regning må betales i dag. Eller en melding fra en venn på et sosialt nettverk som ber om en rask overføring, fordi kontoen hans faktisk er kapret.

Testen er alltid den samme: ring personen på det gamle nummeret. Er telefonen virkelig borte, får du høre det av noen andre i familien. Still eventuelt et spørsmål bare den ekte personen kan svare på — ikke noe som står på Facebook.

Slik sjekker du en melding på 30 sekunder

1. Hva ber den meg gjøre? Logge inn, betale, oppgi kode. Alle tre er varselsignal.
2. Haster det? Frister på timer er et grep, ikke en realitet.
3. Ventet jeg på dette? En pakke du ikke har bestilt, en bot du ikke har fått, en refusjon du ikke har søkt om.
4. Kan jeg sjekke det et annet sted? I appen, på nettsiden du skriver inn selv, eller ved å ringe et nummer du finner selv.

Er svaret på det siste ja — og det er det nesten alltid — bruk den veien og glem meldingen.

Hva du gjør etterpå

Har du bare mottatt meldingen: ikke klikk, ikke svar, og slett den. Å svare bekrefter at nummeret er i bruk.

Et par tilleggsgrep er verdt bryet hvis du får mange slike meldinger. Meld deg av lister og konkurranser du ikke husker å ha meldt deg på, og vær tilbakeholden med å oppgi mobilnummeret i skjemaer på nett. Nummeret ditt havner i de samme listene som e-postadressen din, og det er derfra bølgene kommer.

Har du klikket, men ikke oppgitt noe: lukk siden. Har du tastet inn kortopplysninger, ring banken og sperr kortet med én gang. Har du oppgitt BankID-kode eller godkjent en forespørsel, ring banken umiddelbart og be om at BankID sperres — se BankID-svindel for rekkefølgen, og hva du gjør når du er blitt svindlet for resten av dagen. Har du tapt penger, anmeld forholdet til politiet.

Et forhold folk overser: hvis du oppga et passord du bruker flere steder, må du bytte det overalt, ikke bare på tjenesten som ble etterlignet. Gjenbruk av passord er grunnen til at ett tap ofte blir til flere i løpet av noen uker. Start med e-posten, som er nøkkelen til å tilbakestille alt annet.

Meldingen selv kan videresendes til operatørens svindelnummer, og falske nettsider kan meldes til den etaten som misbrukes. Det gir sjelden pengene tilbake, men det er slik disse sidene blir stengt raskere for de neste.