akademin körs anonymt — inget sparas
skapa kontonummer →
Akademin / Nivå II / Lektion 05
lektion 05 · attackerna

Phishing & social engineering.

Det enklaste sättet att få ditt lösenord är inte att knäcka det — det är att fråga dig om det, så att du tror att du borde berätta. Den här lektionen visar hur det fungerar och hur du spotter det.

Välj spår Hur tekniskt vill du ha det?

Phishing är inte teknik. Det är psykologi. Tekniken är bara verktyget som levererar lögnen — den som ska gå på den är du, inte din dator.

01Vad phishing är, kort sagt

Någon låtsas vara en sajt eller person du litar på (banken, Postnord, Microsoft, din chef) och ber dig om något: ditt lösenord, en BankID-signering, en överföring, en klick på en länk. Inramningen är gjord för att du ska agera utan att tänka.

02De tre psykologiska tricken

03Vanliga former i Sverige (2024-2026)

04Träna ögat — spotta dem nedan

Här är fyra exempel. Klicka på phishing eller äkta innan du läser förklaringen. Det är bättre att gissa fel här än i mejlinkorgen.

📧 mejl-inkorg 1 av 4

Från: Postnord Sverige <notice@postnord-sverige.com>

Ditt paket väntar — betala tullavgift 49 kr

Hej,

Vi har försökt leverera ditt paket men det finns en obetald tullavgift på 49 kr. Klicka på länken nedan inom 24 timmar annars returneras paketet.

https://postnord-sverige.com/leverans/betala?id=4f2a

Med vänliga hälsningar,
Postnord

vad är det?
Phishing. Markerna:
  • Domän är postnord-sverige.com — Postnord äger postnord.se. "-sverige.com" finns inte hos dem.
  • Brådska: "inom 24 timmar".
  • Pengar in i bilden: 49 kr är medvetet lågt för att kännas "inte värt att stoppa".
  • Postnord skickar oftast spårningsmail, inte tullkrav. Tullavgifter går via tullverket.
📱 SMS 2 av 4

Avsändare: Skatteverket

Hej! Vi har granskat din deklaration och fastslagit att du har 8 426 kr att få tillbaka. Bekräfta dina kontouppgifter inom 48 timmar:

skatteverket-aterbetalning.se/bankid
vad är det?
Phishing. Markerna:
  • Skatteverket skickar inte SMS med länk. Aldrig. Återbetalningar går till det konto du angett, inte via "bekräfta".
  • Domän är skatteverket-aterbetalning.se — Skatteverket äger skatteverket.se. Bindestreck-fusk är ett klassiskt tecken.
  • Brådska + pengar = standardrecept.
  • Avsändarnamnet "Skatteverket" är trivialt att förfalska i SMS (SMS-sender-spoofing kräver inte myndighetsbehörighet).
📧 mejl-inkorg 3 av 4

Från: Spotify <no-reply@spotify.com>

Din kvittans för Spotify Premium

Hej Ari!

Tack för din månadsbetalning. Här är din kvittans:

Spotify Premium — 119 kr
Faktureringsperiod: 1 maj – 31 maj 2026

Du kan se alla dina kvittanser i ditt konto: spotify.com/account/order-history

Frågor? Svara på det här mejlet eller besök support.spotify.com.

vad är det?
Äkta. Tecknen som tyder på det:
  • Domän är spotify.com — den faktiska. Inte spotify-billing.com eller spotify-se.com.
  • Ingen brådska, inga hot, ingen "klicka här".
  • Länkar går till officiella undersidor på samma domän.
  • Det är en kvittans efter en betalning du faktiskt gjorde — inte ett "bekräfta din identitet"-meddelande.
  • Caveat: mejl som ser ut såhär kan förfalskas. Är du osäker — logga in själv via spotify.com, inte via mejl-länken.
📞 telefonsamtal 4 av 4

Telefonen ringer. På andra änden:

"Hej, jag ringer från Swedbanks bedrägeriavdelning. Vi har upptäckt försök att överföra 18 000 kr från ditt konto. För att stoppa det behöver jag att du signerar med BankID nu — bara klicka Identifiering så stoppar vi överföringen."

vad är det?
Phishing — varianten heter vishing (voice-phishing). Markerna:
  • Bank ringer inte och ber dig signera BankID. Aldrig. När du signerar "för att stoppa en överföring" så godkänner du i själva verket en överföring till bedragaren.
  • Brådska + auktoritet ("Swedbanks bedrägeriavdelning") + rädsla ("18 000 kr försvinner") — alla tre samtidigt.
  • Lägg på. Ring banken på numret som står på deras officiella sajt, inte ett nummer som ringt dig.
  • 2024-2026 är det här Sveriges vanligaste bedrägeriform. Brottsskadeersättning betalas inte ut om du själv signerat med BankID.

05Regler som faktiskt funkar

Den klassiska phishing-sajten — statisk kopia + formulär — är 2010-tals teknik. Moderna phishing-kits är realtidsproxy som vidarebefordrar varje steg till äkta site, fångar både lösenord och session cookies, och kringgår de flesta 2FA-implementationer.

01Klassisk vs modern phishing-arkitektur

Klassisk: en statisk kopia av login-sidan. Användaren skriver in lösenord, formuläret postas till anfallarens server, sidan visar "fel lösenord, försök igen" och redirectar till äkta sajt. Anfallaren får lösenordet, användaren märker inget — men 2FA stoppar attacken.

Adversary-in-the-middle (AiTM): phishing-sajten är en realtidsproxy. Användaren skriver lösenord → proxy vidarebefordrar till äkta sajt → äkta sajt skickar 2FA-prompt → användaren svarar → proxy fångar både svaret OCH den autentiserade session-cookien. Resultat: anfallaren kan logga in som användaren även med 2FA aktiverat.

Populära kit: evilginx2, Modlishka, Muraena. Standardverktyg i röda teamet 2022+, vanligt även i kriminella aktioner.

02Domän-tricks

03Browser-in-the-browser (BITB)

2022-teknik publicerad av mr.d0x. En phishing-sajt renderar ett falskt webbläsarfönster som ser ut att vara ett popup-fönster med URL-fältet "accounts.google.com". I själva verket är allt HTML/CSS — användaren ser en URL men det är text på en sida, inte ett riktigt webbläsarfönster.

Effektivt mot "logga in med Google/Facebook"-flöden. Användaren tror sig se en äkta OAuth-popup men den är ritad i HTML på phishing-sidan.

Försvar: titta efter äkta webbläsar-chrome — fönstret går att dra ut ur den nuvarande sidan om det är riktigt. Falska BITB-fönster är fångade i sidan.

04Spear phishing & BEC

Spear phishing: riktad attack mot specifik person eller organisation. Anfallaren har OSINT — vet titel, kollegor, projekt. Mejl ser ut att komma från CEO till CFO med specifik faktura.

Business Email Compromise (BEC): spear phishing med fokus på att lura ekonomi-personal att betala fakturor till bedragar-konton. FBI rapporterar ~$50 miljarder globalt 2024. Vanligaste vektorn: kompromettera en e-postkedja och svara med "ny" bankuppgifter i en pågående konversation.

Försvar i organisationer: DMARC/SPF/DKIM på e-postdomäner (förhindrar enklast spoofing), verbal verifiering (ringa, inte mejla) för stora utbetalningar, segregation av attest-roller.

05Psykologin (kort)

Cialdini's Influence (1984) listar sju påverkansprinciper. Phishing utnyttjar oftast tre av dem:

Den fjärde är likability — mejl från "kollegan Anna" eller LinkedIn-meddelande från en "rekryterare" som verkar känna dig. Den fungerar specifikt mot mer erfarna mottagare som genomskådar de andra tre.

06Försvar med teknik

Snabb-koll — tre frågor

lektion 05 · klarad ✓ Nästa upp

Lektion 06 — Credential stuffing — varför återanvändning dödar

När en sajt faller — varför faller alla andra med samma lösenord också?

Nästa lektion