Phishing är inte teknik. Det är psykologi. Tekniken är bara verktyget som levererar lögnen — den som ska gå på den är du, inte din dator.
01Vad phishing är, kort sagt
Någon låtsas vara en sajt eller person du litar på (banken, Postnord, Microsoft, din chef) och ber dig om något: ditt lösenord, en BankID-signering, en överföring, en klick på en länk. Inramningen är gjord för att du ska agera utan att tänka.
02De tre psykologiska tricken
- Brådska. "Logga in inom 24 timmar annars stängs ditt konto." När du är stressad slår du inte på reflexen att kolla saker.
- Auktoritet. "Skatteverket", "din chef", "Polisen". Vi är uppfostrade att lyssna på myndigheter — phishing utnyttjar det.
- Rädsla eller girighet. "Du har fått en återbetalning på 4 380 kr" / "Det finns en obetald skuld på ditt namn". Båda får dig att klicka snabbt.
03Vanliga former i Sverige (2024-2026)
- Bank-imitation: "Misstänkt aktivitet på ditt konto — bekräfta identitet med BankID."
- Leverans-imitation: "Postnord/DHL: ditt paket väntar på tullavgift." Klassiker.
- Skatteverket: "Du har 8 426 kr att hämta. Klicka för att överföra." Skatteverket skickar inte SMS.
- Microsoft/Google: "Ditt konto är upplåst" eller "ovanlig inloggning". Riktade mot Office-konton.
- BankID-bedrägeri: någon ringer, låtsas vara polisen/banken, och övertalar dig att signera med BankID "för att skydda dig". Du signerar i själva verket en överföring.
04Träna ögat — spotta dem nedan
Här är fyra exempel. Klicka på phishing eller äkta innan du läser förklaringen. Det är bättre att gissa fel här än i mejlinkorgen.
Från: Postnord Sverige <notice@postnord-sverige.com>
Ditt paket väntar — betala tullavgift 49 kr
Hej,
Vi har försökt leverera ditt paket men det finns en obetald tullavgift på 49 kr. Klicka på länken nedan inom 24 timmar annars returneras paketet.
Med vänliga hälsningar,
Postnord
- Domän är
postnord-sverige.com— Postnord ägerpostnord.se. "-sverige.com" finns inte hos dem. - Brådska: "inom 24 timmar".
- Pengar in i bilden: 49 kr är medvetet lågt för att kännas "inte värt att stoppa".
- Postnord skickar oftast spårningsmail, inte tullkrav. Tullavgifter går via tullverket.
Avsändare: Skatteverket
Hej! Vi har granskat din deklaration och fastslagit att du har 8 426 kr att få tillbaka. Bekräfta dina kontouppgifter inom 48 timmar:
- Skatteverket skickar inte SMS med länk. Aldrig. Återbetalningar går till det konto du angett, inte via "bekräfta".
- Domän är
skatteverket-aterbetalning.se— Skatteverket ägerskatteverket.se. Bindestreck-fusk är ett klassiskt tecken. - Brådska + pengar = standardrecept.
- Avsändarnamnet "Skatteverket" är trivialt att förfalska i SMS (SMS-sender-spoofing kräver inte myndighetsbehörighet).
Från: Spotify <no-reply@spotify.com>
Din kvittans för Spotify Premium
Hej Ari!
Tack för din månadsbetalning. Här är din kvittans:
Spotify Premium — 119 kr
Faktureringsperiod: 1 maj – 31 maj 2026
Du kan se alla dina kvittanser i ditt konto: spotify.com/account/order-history
Frågor? Svara på det här mejlet eller besök support.spotify.com.
- Domän är
spotify.com— den faktiska. Inte spotify-billing.com eller spotify-se.com. - Ingen brådska, inga hot, ingen "klicka här".
- Länkar går till officiella undersidor på samma domän.
- Det är en kvittans efter en betalning du faktiskt gjorde — inte ett "bekräfta din identitet"-meddelande.
- Caveat: mejl som ser ut såhär kan förfalskas. Är du osäker — logga in själv via spotify.com, inte via mejl-länken.
Telefonen ringer. På andra änden:
"Hej, jag ringer från Swedbanks bedrägeriavdelning. Vi har upptäckt försök att överföra 18 000 kr från ditt konto. För att stoppa det behöver jag att du signerar med BankID nu — bara klicka Identifiering så stoppar vi överföringen."
- Bank ringer inte och ber dig signera BankID. Aldrig. När du signerar "för att stoppa en överföring" så godkänner du i själva verket en överföring till bedragaren.
- Brådska + auktoritet ("Swedbanks bedrägeriavdelning") + rädsla ("18 000 kr försvinner") — alla tre samtidigt.
- Lägg på. Ring banken på numret som står på deras officiella sajt, inte ett nummer som ringt dig.
- 2024-2026 är det här Sveriges vanligaste bedrägeriform. Brottsskadeersättning betalas inte ut om du själv signerat med BankID.
05Regler som faktiskt funkar
- Klicka aldrig på länkar i mejl/SMS — gå dit själv. Skriv banken.se i webbläsaren manuellt.
- Tre sekunders paus innan BankID. Stanna upp. Fråga: varför signerar jag det här just nu?
- Avsändarnamn är inte adress. Mejl kan visa "Skatteverket" men komma från vad som helst.
- Banker, Skatteverket, Polisen, Försäkringskassan — ringer aldrig och ber om signering eller lösenord. Aldrig.
- Använd 2FA via app, inte SMS (lektion 8). Phishing-sajter kan ofta fånga SMS-koder live.