Sms-kod från banken - När är den farlig?

En verifieringskod via sms ska göra bankärenden säkrare, men den blir snabbt en svag punkt när någon försöker stressa fram en inloggning eller betalning. I den här artikeln går jag igenom hur sådana koder faktiskt används, hur bluff-sms och telefonbedrägerier brukar se ut, och vad du ska göra om något känns fel. Poängen är enkel: en kod i sig är inte farlig, men fel sammanhang gör den farlig.

Vad en verifieringskod via sms betyder i praktiken

I normalfallet är en sms-kod ett engångssteg som bekräftar att du själv vill logga in, signera eller godkänna något i din bank. I säkerhetssammanhang kallas det ofta en engångskod, eller OTP, vilket helt enkelt betyder att koden bara ska fungera en gång och för ett specifikt tillfälle.

Det viktiga är inte bara själva koden, utan sammanhanget. Om du själv har startat en inloggning i bankappen och sedan får en kod, är det normalt. Om en okänd person plötsligt vill att du ska läsa upp en kod, klicka på en länk eller bekräfta något du inte initierat, har du redan lämnat det normala säkerhetsflödet.

När den gränsen blir suddig är nästa steg att lära sig känna igen själva bluffmönstret, för det är där många går fel första gången.

Så känner du igen ett bluff-sms

Jag brukar dela in bluff-sms i tre delar: stress, vägledning och belöning. Bedragaren vill att du ska känna brådska, följa en länk eller ett telefonnummer, och sedan göra exakt det som öppnar dörren till ditt konto.

Typiska kännetecken är att meddelandet säger att något måste lösas direkt, att ett konto är spärrat, att en leverans eller betalning har fastnat, eller att du ska ringa ett nummer för att ”verifiera” något. Ofta räcker det att läsa meddelandet högt för sig själv för att höra hur konstlat det låter.

• Oväntad kontakt - du har inte själv startat något ärende, men sms:et låtsas att du gjort det.
• Pressad ton - meddelandet vill att du agerar nu, inte efter kontroll.
• Länk eller telefonnummer - du leds bort från bankens vanliga app eller webbplats.
• Begäran om kod eller BankID - någon vill få dig att bekräfta något i deras ställe.
• Alltför generell formulering - det står ”din bank”, men inte tydligt vilken tjänst eller vilket ärende det gäller.

Det här är en del av det som kallas smishing, alltså phishing via sms. BankID och Polisen är tydliga med att du inte ska använda BankID på uppmaning av någon som oväntat kontaktar dig, och att du inte ska följa länkar eller ringa nummer som skickas i ett misstänkt sms. Nästa steg är att förstå hur bedragarna använder just den här svagheten i praktiken.

Så arbetar bedragarna steg för steg

Det som gör sådana här bedrägerier effektiva är inte tekniken i sig, utan sekvensen. Bedragaren bygger upp en kedja där varje litet steg känns rimligt, tills du själv råkar godkänna något du aldrig tänkte godkänna.

1. Först skapas ett trovärdigt scenario, till exempel ett spärrat kort, en påstådd faktura, ett paketproblem eller en ”säkerhetskontroll”.
2. Sedan pressas du att agera snabbt via sms, telefonsamtal eller båda samtidigt.
3. Därefter försöker bedragaren få dig att läsa upp en kod, logga in med BankID eller klicka på en länk.
4. När du väl bekräftar något används det för inloggning, ändring av kontaktuppgifter eller en betalning.
5. Slutligen går allt fort, eftersom bedragaren vill hinna innan du hinner tänka klart eller kontakta banken.

Det här är också anledningen till att telefonbedrägerier ofta kombineras med sms. Ett meddelande kan få dig att ringa upp, och i samtalet försöker bedragaren sedan få dig att legitimera dig. Just därför ska du aldrig behandla en kod som ett neutralt nummer; den är en nyckel till ett beslut. Och om det redan har kommit ett misstänkt meddelande behöver du agera på rätt sätt, inte bara ”vara försiktig”.

Så agerar du direkt om du redan har fått meddelandet

Om du inte har klickat på något ännu är läget fortfarande hanterbart. Då ska du inte svara, inte ringa numret i sms:et och inte öppna länken. Gå i stället själv in i bankens app eller på den adress du redan känner till och kontrollera om det faktiskt finns något ärende.

Jag brukar också rekommendera att du sparar meddelandet som bevis och vidarebefordrar misstänkta bluff-sms till 7726, som Polisen hänvisar till för rapportering av sådana meddelanden. Det hjälper operatörer och myndigheter att se mönster och stoppa kampanjer snabbare.

Om du inte har klickat ännu

• Öppna inte länken och ring inte numret i meddelandet.
• Verifiera ärendet via bankens officiella app eller ett nummer du själv redan har sparat.
• Vidarebefordra misstänkt sms till 7726.
• Spara skärmdump om du behöver anmäla senare.

Läs också: Fejkade nyhetssidor - Så avslöjar du bluffen & skyddar dig

Om du redan har lämnat ut kod eller loggat in

• Spärra BankID direkt och kontakta banken omedelbart.
• Be banken kontrollera om kort, betalningar eller kontaktuppgifter har ändrats.
• Byt lösenord där samma eller liknande uppgifter använts.
• Gör polisanmälan så snart du kan.

BankID rekommenderar själv att du spärrar ditt BankID och kontaktar banken direkt om du tror att du blivit lurad. Det är ett tråkigt råd, men det är också det som faktiskt minskar skadan mest när minuterna spelar roll. För att förstå varför samma kod ibland känns trygg och ibland farlig behöver vi också skilja mellan sms-kod, BankID och bankdosa.

Skillnaden mellan sms-kod, BankID och bankdosa

Alla tre metoderna fyller samma grundfunktion: de ska bekräfta att det verkligen är du som vill genomföra något. Skillnaden ligger i hur bekräftelsen sker och hur lätt den kan missbrukas när någon annan försöker styra dig.

Det tekniska formatet spelar alltså mindre roll än beteendet runt omkring det. Om någon oväntat kontaktar dig och vill att du ska bekräfta något, gäller samma regel oavsett om det är sms, BankID eller bankdosa: lämna inte ut koden. När det sitter blir det mycket lättare att bygga en vardagsrutin som faktiskt håller.

Så minskar du risken i vardagen

Jag brukar säga att den bästa säkerhetsrutinen inte är en app, utan en vana. Det viktigaste är att sakta ner två sekunder innan du agerar, särskilt när meddelandet försöker få dig att känna stress.

• Använd bankens app eller skriv in bankens adress själv i stället för att klicka på länkar i sms.
• Ha notiser aktiverade för BankID eller bankappen så att du ser oväntade försök direkt.
• Spara bankens officiella nummer själv och lita inte på nummer som skickas i meddelandet.
• Läs aldrig upp koder för någon som ringer upp dig, även om personen låter kunnig eller stressad.
• Prata med familj eller närstående om vanliga bedrägeriscenarier, särskilt om någon i hushållet är mindre van vid digitala banktjänster.

Det här är enkla saker, men de fungerar bättre än många avancerade ”säkerhetstips” just för att de minskar tempot i situationen. Och om skadan ändå redan är skedd behöver du veta exakt vad som är viktigast de första minuterna.

När skadan redan är skedd gäller minuter, inte timmar

Om du redan har lämnat ut en kod eller godkänt något ska du utgå från att läget är känsligt tills banken har sagt annat. Kontakta banken direkt, be dem stoppa eller begränsa pågående transaktioner och fråga vad som behöver spärras först. Om pengar har flyttats är snabb kontakt ofta helt avgörande för hur mycket som går att rädda.

Spara alltid sms, skärmdumpar, tider och telefonnummer. Det verkar banalt i stunden, men det blir värdefullt både för banken och för en eventuell polisanmälan. Mitt sista råd är därför enkelt: behandla varje oväntad kod som en säkerhetsfråga, inte som en rutinfråga. Då minskar du risken att ett vanligt sms blir början på ett dyrt bedrägeri.