Smishing: Sådan genkender du falske sms’er fra svindlere
Beskeden ligger øverst på telefonen, lige under de ægte. Dit MitID udløber i morgen, pakken fra PostNord mangler 19 kroner i porto, eller banken har set et forsøg på at logge ind. Det hedder smishing – svindel på sms – og ordet er sat sammen af SMS og phishing. Beskederne rammer alle, også dem der ved bedre.
Sms’en virker troværdig, fordi vi stoler mere på en besked end på en mail, og fordi den falske besked kan lande i den samme tråd som de ægte. Vi ser på kendetegnene, de fem tegn, myndighederne peger på, og på det, du bør gøre, hvis du allerede har klikket.
Hvad er smishing?
Smishing er phishing udført på sms i stedet for på mail. Svindleren sender en lokkemad, og formålet er det samme hver gang. Du skal selv udlevere noget, der kan bruges. Det er dig, der udfører handlingen – svindleren skal bare have dig til at trykke.
- Login og adgang Brugernavn, kodeord og MitID-godkendelser til netbank, e-Boks eller en konto hos en butik, du handler med.
- Personlige oplysninger Navn, adresse, fødselsdato og cpr-nummer, der gør den næste henvendelse langt mere troværdig.
- Kort- og betalingsoplysninger Kortnummer, udløbsdato og kontrolcifre – alt hvad der skal til for at gennemføre et køb i dit navn.
Sms’en har en fordel frem for mailen. Vi stoler mere på den. Indbakken er fuld af åbenlys spam, mens sms-listen er kort og domineret af beskeder, vi selv har bedt om. Den samme tillid gælder ikke i samme grad for beskeder på Messenger, WhatsApp eller Telegram. Og forsøgene rammer bredt: 76 pct. af danskerne blev forsøgt svindlet digitalt inden for det seneste år, viser undersøgelsen Danskernes informationssikkerhed 2024.
Beskederne er samtidig blevet markant bedre skrevet. Svindlerne arbejder med tillid frem for teknik, og derfor virker den samme fremgangsmåde i andre kanaler – for eksempel falske QR-koder på parkeringsautomater, hvor koden fører til en betalingsside, der ikke er p-selskabets.
Sådan fungerer en smishing-svindel
Troværdigheden er hele svindlen. Beskeden ser ud til at komme fra en afsender, du kender – et pakkefirma, din bank eller en butik, hvor du lige har handlet – og den lander på et tidspunkt, hvor den giver mening. Har du en pakke undervejs, tjekker du jo ikke afsenderen særlig grundigt.
Linket fører til en kopi af den rigtige side, eller vedhæftningen installerer software på telefonen. Målet er dine adgangskoder eller dine kortoplysninger, og resten af svindlen sker, uden at du opdager den, før pengene er trukket.
To ord går igen, når man taler om falske sms’er. Malware er programmer, der skal skade eller overvåge din enhed. Keyloggere registrerer alt, hvad du taster – også det, du skriver i din netbank bagefter.
Afsenderen
Svindlerne kan skrive næsten hvad som helst i afsenderfeltet. Teknikken hedder spoofing og betyder, at navnet eller nummeret i displayet kan gøres identisk med bankens, politiets eller PostNords. Beskeden kan endda lande i den samme tråd som de ægte beskeder fra samme afsender.
Den første gruppe afsendere er myndigheder. Skattestyrelsen, Gældsstyrelsen, politiet eller kommunen bliver brugt, fordi de har autoritet, og fordi et krav fra det offentlige sjældent bliver ignoreret. Emnerne er restskat, ubetalte gebyrer eller en parkeringsafgift, du aldrig har fået. Bølgen af falske sms’er i APCOA’s navn, der har kørt siden foråret 2026, bruger den samme opskrift med et betalingslink direkte i beskeden.
Den anden gruppe er kendte brands og webshops. PostNord, GLS eller en butik, du har handlet hos, beder dig bekræfte en adresse, betale restporto eller rette en betalingsoplysning. Nogle varianter lokker med en gevinst eller en refusion i stedet for at stille et krav.
Den tredje gruppe rammer følelserne. Beskeden henviser til en aktuel katastrofe og beder om en donation, eller den kommer fra “mor” eller “far” med et nyt nummer og et akut pengeproblem. Der er ingen afsender at tjekke, og pengene skal typisk sendes med MobilePay.
Den fjerde gruppe handler om MitID og sociale medier. Beskeden advarer om et forsøg på at logge ind på din konto, eller om at dit MitID skal fornyes. Du bliver bedt om at bekræfte din identitet, og godkendelsen bliver brugt i samme sekund til noget helt andet.
Beskeden
Teksten er næsten altid alarmerende. Kontoen er spærret, der er registreret en mistænkelig betaling, pakken bliver returneret, gebyret stiger i morgen. Formålet er at få dig til at handle, før du tænker efter, og derfor er fristen timer frem for uger.
Og hvad er det så, beskeden vil have dig til at gøre? Uanset emnet indeholder sms’en lokkemaden, og den har fire former.
- Et link, du skal trykke på Siden er en kopi af bankens, myndighedens eller butikkens egen side.
- Et nummer, du skal ringe til I den anden ende sidder en “medarbejder”, der beder om koder og godkendelser.
- En opfordring til at svare med oplysninger Kortnummer, cpr-nummer eller kodeord sendt retur i en sms.
- En vedhæftning, du skal hente Filen installerer software, der læser med på telefonen.
Nogle gange er sms’en kun optakten. Kort efter ringer en person, der bekræfter beskeden og tilbyder at “sikre” kontoen – og beder om engangskoden fra din bank. Det er samme fremgangsmåde som ved telefonsvindel, og kombinationen af sms og opkald er den mest effektive af dem alle.
Fem tegn på en falsk sms
Beskederne er blevet for velskrevne til, at sproget afslører dem. Mønsteret gør. Digitaliseringsstyrelsen peger på fem tegn, du kan bruge som tjekliste – og ét enkelt af dem er nok til at lade være med at trykke.
- Du bliver bedt om personlige oplysninger Kontonummer, cpr-nummer, kodeord og kortoplysninger hører ikke hjemme i en sms. Bliver du bedt om dem, er beskeden falsk.
- Der er sprog- eller stavefejl Mærkelige formuleringer og direkte oversættelser røber, at teksten ikke er skrevet af den virksomhed eller myndighed, den påstår at komme fra.
- Linket passer ikke til afsenderen Et bogstav for lidt i domænet, underlige tegn eller en endelse, du ikke kender. Myndigheder linker til hovedsider som borger.dk og politi.dk, ikke direkte til en login-side.
- Du bliver presset til at handle nu Abonnementet lukker, kontoen spærres, gebyret stiger inden for 24 timer. Truslen er opdigtet for at fjerne din betænkningstid.
- Afsenderen er et firma, du ikke er kunde hos En besked om kontobevægelser fra en bank, du ikke bruger, eller en gevinst i en konkurrence, du aldrig har deltaget i.
Ét tegn virker til gengæld ikke, og det er afsenderens nummer. Et telefonnummer kan forfalskes, og en falsk besked kan ligge i samme tråd som de ægte. At tråden ser bekendt ud, er derfor ikke noget bevis.
Sådan beskytter du dig mod smishing
Der er en enkel måde at tænke det på. Alt, hvad svindleren styrer, ligger inde i beskeden, altså linket, nummeret, teksten og tidspresset.
Alt, hvad du styrer, ligger uden for den. Så brug din egen indgang. Åbn bankens app, MitID-appen eller e-Boks selv, eller skriv adressen i browseren, og find selv telefonnummeret, hvis noget skal bekræftes. Er der hold i beskeden, er der også hold i den, når du kommer den vej rundt.
Det er også værd at holde øje med MitID og være pragmatisk med din brug af det. Du skal kun godkende det, du selv har sat i gang – for det tæller som en digital underskrift. Sæt notifikationer til i banken, så du ser en betaling med det samme i stedet for ved månedens kontoudtog. Og følg med i, hvad der cirkulerer – Forbrugerrådet Tænk og TrygFonden holder appen “Mit digitale selvforsvar” opdateret, se taenk.dk.
Hent aldrig en vedhæftning fra en afsender, du ikke kender. Filen behøver ikke se farlig ud for at være det, og på en telefon er der jo sjældent noget, der advarer dig, før softwaren er installeret.
Du har klikket eller betalt – hvad gør du nu?
De første timer afgør det meste, men rækkefølgen betyder mere end farten. Tag det i den her rækkefølge.
- 1. Spær kortet Bankappen er den hurtigste vej, under kortindstillinger. Har du den ikke ved hånden, står bankens døgnåbne spærringsnummer på deres hjemmeside.
- 2. Spær MitID, hvis du har godkendt noget Spærringen sker på mitid.dk. Bestil et nyt med det samme bagefter.
- 3. Afvis de godkendelser, der popper op Forsøget på at trække pengene kommer typisk inden for få minutter. Sig nej til alt, og læs hvad banken skriver.
- 4. Gem dokumentationen Tag screenshots af sms’en, af den falske side og af posteringen på kontoen, før du sletter noget. Både banken og politiet skal bruge det.
- 5. Anmeld det til politiet Digital kriminalitet anmeldes online hos politiet. Uden en anmeldelse kommer du sjældent videre hos banken.
Betalingsmåden afgør, hvor gode dine muligheder er bagefter. Ved kortbetalinger kan du gøre indsigelse over for banken og har en reel chance for at få pengene tilbage. Ved en bankoverførsel eller MobilePay til en privat modtager findes den ret ikke – der kan banken kun forsøge at kalde beløbet tilbage.
Afviser banken din indsigelse, er sagen ikke nødvendigvis slut. Du kan klage til Det finansielle ankenævn, som behandler klager over pengeinstitutter. Meld det også til den afsender, der bliver misbrugt, så den falske side kan blive lukket ned.
Smishing, phishing og vishing – hvad er forskellen?
Det er den samme svindel i tre kanaler. Phishing foregår på mail, smishing på sms, og vishing over telefonen. Fremgangsmåden er identisk. En afsender, du har tillid til, et påskud, der haster, og en handling, du selv skal udføre.
I praksis bliver de tre brugt i kombination. Kanalen ændrer ikke på, hvad du skal gøre. Tjek selv, og brug aldrig linket eller nummeret fra henvendelsen. De øvrige typer finder du i oversigten over svindel og bedrageri på nettet – de falske opkald i gennemgangen af telefonsvindel.
