Vad är nätfiske (phishing)? Så känner du igen och undviker bluffen

Nätfiske är en av de vanligaste formerna av bedrägeri på internet – och ett av de enklaste sätten för kriminella att komma åt dina pengar, konton och personuppgifter. Varje dag skickas stora mängder falska mejl, sms och samtal där någon utger sig för att vara din bank, ett paketombud, en myndighet eller ett företag du känner igen. Den här guiden förklarar i klartext vad nätfiske är, hur de vanligaste knepen fungerar, hur du känner igen varningstecknen – och exakt vad du gör om du redan har klickat.

Nätfiske förklarat – så fungerar bluffen

Nätfiske, som på engelska kallas phishing, är när bedragare på olika sätt "fiskar" efter dina uppgifter. Ordet är en lek med engelskans fishing (fiske): bedragaren kastar ut ett bete i form av ett meddelande och hoppas att du ska nappa.

Målet är nästan alltid detsamma – att lura dig att lämna ifrån dig något värdefullt. Det kan vara lösenord, kort- och bankuppgifter, koder från din bankdosa eller att du legitimerar dig med BankID åt bedragaren. Med de uppgifterna kan de sedan logga in på dina konton, föra över pengar eller handla i ditt namn.

Enligt Polisen skickar inga seriösa banker eller företag den här typen av meddelanden. En äkta bank ber dig aldrig klicka på en länk för att "verifiera" ditt konto eller lämna ut koder. Det är en grundregel som ensam stoppar en stor del av alla bluffförsök.

Så går ett nätfiskeangrepp till – steg för steg

De flesta angrepp följer samma enkla mönster, oavsett om de kommer via mejl, sms eller telefon:

1. Kontakt. Du får ett meddelande som ser ut att komma från en känd avsändare – banken, Postnord, Skatteverket, en streamingtjänst eller en myndighet.
2. En anledning att agera. Meddelandet skapar en känsla av brådska eller oro: ett paket har fastnat, ett konto spärras, en betalning har stoppats eller så väntar en återbäring eller vinst.
3. Uppmaning att klicka. Du uppmanas att klicka på en länk, öppna en bilaga, ringa ett nummer eller skanna en QR-kod.
4. Den falska sidan. Länken leder till en sida som ser nästan exakt ut som den äkta inloggningen. Här fyller du i dina uppgifter – rakt i händerna på bedragaren.
5. Kapningen. Uppgifterna används direkt för att logga in, föra över pengar eller övertala dig att signera en betalning med BankID.

Vanliga typer av nätfiske

Nätfiske har utvecklats långt bortom det klassiska bluffmejlet. I takt med att vi använder sms, appar och QR-koder flyttar bedragarna med. Tabellen nedan sammanfattar de vanligaste varianterna.

Smishing – nätfiske via sms

Smishing är nätfiske som sker via sms (av engelskans SMS + phishing). Du får ett kort meddelande om att ett paket inte kunnat levereras, att en tull- eller fraktavgift måste betalas eller att din bank behöver bekräfta en transaktion. Länken leder till en falsk sida. Bluff-sms är särskilt effektiva eftersom de ofta ser ut att landa i samma konversation som riktiga meddelanden från företaget.

Vishing – bedrägeri via telefon

Vishing (voice + phishing) sker genom ett telefonsamtal. Bedragaren utger sig för att vara från banken, polisen, Microsofts support eller en myndighet och påstår att något har hänt som måste lösas direkt. Ofta är syftet att få dig att legitimera dig eller signera med BankID "för att stoppa en misstänkt betalning". Tänk på att telefonnummer går att manipulera, så att samtalet ser ut att komma från bankens riktiga nummer. Om någon ber dig använda BankID under ett oväntat samtal ska du lägga på och själv ringa upp banken.

Quishing – falska QR-koder

Quishing är en nyare variant där länken göms i en QR-kod i stället för som vanlig text. Koden kan finnas i ett mejl, på ett klistermärke över en riktig parkeringsautomat eller i ett falskt brev. Eftersom du inte ser den fullständiga webbadressen innan du skannar är det lätt att luras. Under 2026 har både banker och polis varnat för att QR-baserat nätfiske ökar snabbt.

Så känner du igen nätfiske – varningstecken

Enskilda meddelanden kan vara väl gjorda, men nästan alla bluffar innehåller ett eller flera av dessa tecken:

• Brådska, hot eller löften. Du pressas att agera direkt – annars spärras kontot, försvinner paketet eller går vinsten förlorad.
• Uppmaning att klicka och fylla i uppgifter. Du ombeds logga in, bekräfta kortuppgifter eller ange koder via en länk.
• Avvikande avsändare. Avsändarnamnet kan se äkta ut, men själva adressen stämmer inte. Kontrollera alltid den fullständiga e-postadressen.
• Länk som nästan stämmer. Webbadressen har en liten ändring, till exempel en extra bokstav (som "polisens.se" i stället för "polisen.se") eller en helt annan domän bakom ett känt namn.
• Opersonlig hälsning. "Hej kund" i stället för ditt namn, eller språk som känns översatt eller slarvigt.
• Oväntade bilagor. Fakturor, kvitton eller dokument du inte väntar dig kan innehålla skadlig kod.
• Begäran om koder eller BankID. Ingen seriös aktör ber dig lämna ut koder eller legitimera dig på uppmaning.

Vanliga exempel i Sverige

Bedragarna utnyttjar avsändare som nästan alla svenskar känner igen och litar på. Några återkommande upplägg:

• Banken och BankID. "Vi har upptäckt en misstänkt betalning – logga in för att stoppa den." Syftet är att du ska legitimera dig så att bedragaren kommer åt din internetbank.
• Paket och frakt. Falska aviseringar från Postnord, DHL eller Posten om att en avgift måste betalas för att paketet ska lämnas ut.
• Skatteverket. Mejl eller sms om en återbäring som du kan få "genom att fylla i dina kortuppgifter".
• Swish och betaltjänster. Meddelanden om att du behöver "återaktivera" eller bekräfta ditt konto.
• Vinster och lotterier. Du har "vunnit" en telefon eller presentkort och behöver bara betala en liten avgift eller ange dina uppgifter.
• Abonnemang. Påståenden om att betalningen till Netflix, Spotify eller ett mobilabonnemang misslyckats.
• Kryptobedrägerier. Falska plånböcker, "supportsidor" och investeringserbjudanden som lurar dig att lämna ut nyckelord till din kryptoplånbok.

Så skyddar du dig mot nätfiske

Du kan inte hindra bluffmeddelanden från att skickas, men du kan göra det mycket svårare för dem att lyckas. Det här är de viktigaste vanorna:

• Klicka aldrig i stressen. Är du osäker? Gå själv till bankens app eller företagets webbplats i stället för att klicka på länken i meddelandet.
• Lämna aldrig ut koder eller BankID på uppmaning. Läs alltid texten i BankID-appen innan du legitimerar dig eller signerar – och avbryt om något känns fel.
• Använd unika, starka lösenord. Ett läckt lösenord ska inte kunna låsa upp fler konton. En lösenordshanterare gör det enkelt.
• Slå på extra skydd. Aktivera tvåfaktorsautentisering (2FA) på viktiga konton, så räcker det inte att bedragaren kommer över ditt lösenord.
• Skydda enheterna. Håll operativsystem och appar uppdaterade och använd ett antivirus- eller säkerhetsprogram. Det finns bra gratis säkerhetsprogram för PC att börja med.
• Var försiktig på öppna nät. På offentligt wifi kan trafik avlyssnas – en VPN-tjänst krypterar din uppkoppling.
• Stoppa skräptrafiken. Lär dig att blockera skräpsamtal och spam-sms så att färre bluffar ens når fram.
• Ha en säkerhetskopia. Om en enhet drabbas av skadlig kod är det tryggt att regelbundet säkerhetskopiera telefonen.
• Skydda kryptotillgångar extra. Hanterar du kryptovalutor bör du läsa på om säker förvaring i kryptoplånböcker, eftersom transaktioner inte går att ångra.

Vad gör du om du har klickat eller blivit lurad?

Agerar du snabbt går det ofta att begränsa skadan. Följ Polisens råd i den här ordningen:

1. Kontakta din bank direkt. Ring numret på bankens egen webbplats eller app – inte ett nummer du fått i meddelandet. Be dem spärra kort och BankID och försöka stoppa pågående överföringar.
2. Byt lösenord. Byt genast lösenord på de tjänster där du kan ha lämnat ut uppgifter, och på andra konton där du använt samma lösenord.
3. Spara bevis. Spara mejl, sms, skärmbilder och uppgifter om överföringar. De behövs i anmälan.
4. Polisanmäl. Ring Polisen på 114 14 eller besök en polisstation. Ring 112 om brottet pågår just nu.
5. Rapportera bluff-sms. Vidarebefordra misstänkta sms till kortnumret 7726, ett gemensamt nummer som operatörerna och Polisen använder för att blockera bluffmeddelanden.
6. Ta hjälp. Brottsofferjouren erbjuder kostnadsfritt stöd och du kan vara anonym.

Nätfiske mot företag

Företag drabbas av riktade varianter. Vid spear phishing har bedragaren tagit reda på namn, roller och projekt för att göra meddelandet trovärdigt. Vid så kallat vd-bedrägeri (eller fakturabedrägeri) utger sig någon för att vara chef eller leverantör och ber om en brådskande betalning. Det bästa skyddet är tydliga rutiner för att verifiera betalningar via en separat kanal, samt återkommande utbildning av personalen. CERT-SE, som är Sveriges nationella funktion för it-incidenter, publicerar löpande råd och varningar till organisationer.

Friskrivning

Den här artikeln är allmän information om nätfiske och säkerhet på nätet, inte individuell säkerhets-, juridisk eller ekonomisk rådgivning. Bedragarnas metoder förändras ständigt. Vid misstänkt bedrägeri, kontakta alltid din bank och Polisen, och följ de aktuella råden från Polisen och myndigheter.

Vanliga frågor (FAQ)

Vad är skillnaden mellan nätfiske, smishing och vishing?

Alla tre är samma sorts bedrägeri men via olika kanaler. Nätfiske (phishing) sker oftast via mejl, smishing via sms och vishing via telefonsamtal. Quishing är en nyare variant där länken göms i en QR-kod. Målet är detsamma: att lura dig att lämna ut uppgifter eller pengar.

Hur vet jag om ett mejl eller sms är nätfiske?

Var extra misstänksam om meddelandet skapar brådska, ber dig klicka på en länk och fylla i uppgifter, kommer från en avsändaradress som inte stämmer eller har en webbadress som bara liknar den äkta. Kom ihåg att en bank aldrig ber dig lämna ut koder eller legitimera dig via en länk.

Vad händer om jag klickat på en länk men inte fyllt i något?

Att enbart öppna en länk är oftast mindre allvarligt än att ange uppgifter, men var vaksam. Fyllde du inte i något och laddade inte ner någon fil är risken liten. Stäng sidan, undvik att klicka vidare, och kör gärna en säkerhetskontroll på enheten. Byt lösenord om du är osäker.

Kan jag få tillbaka pengar efter ett nätfiskebedrägeri?

Det beror på omständigheterna och hur snabbt du agerar. Kontakta banken omedelbart så att de kan försöka stoppa överföringen. Gör en polisanmälan och spara all bevisning. Hur ansvaret bedöms varierar, bland annat beroende på om du själv lämnat ut koder eller signerat med BankID.

Vart rapporterar jag bluff-sms och nätfiske?

Vidarebefordra misstänkta bluff-sms till kortnumret 7726. Polisanmäl bedrägeri genom att ringa 114 14 eller besöka en polisstation, och ring 112 om brottet pågår. Misstänker du att du drabbats ekonomiskt ska du först kontakta din bank.