Falska sms från banken: så känner du igen en phishing-länk

Ett bluff-sms från banken är inte svårt att avslöja, men nästan allt som folk letar efter är fel saker att titta på. Avsändarnamnet går att förfalska. Språket kan vara felfritt. Meddelandet kan dyka upp i samma tråd som bankens riktiga sms. Det som avgör är länken, och den går alltid att granska innan du rör den, för till skillnad från ett telefonsamtal väntar ett sms på dig.

Polisen har ett eget ord för just den här kanalen. På sin sida om nätfiske beskriver de bedrägeriet som mejl eller annonser som ska locka dig att klicka på en länk, och fortsätter: Om bedragaren använder sms i stället kallas det smishing. Samma sida säger också något som är värt att läsa långsamt: Inga banker eller seriösa företag skickar sådana meddelanden. Inte ”sällan”. Inga.

Ett sms är inte ett samtal, och det ändrar försvaret

Vi har en separat guide om när någon ringer och säger att de är från banken. Där är rådet att lägga på luren, för i ett samtal sitter en människa i andra änden och bygger tidspress i realtid. Du kan inte granska ett samtal medan det pågår, du kan bara avbryta det.

Sms:et fungerar omvänt. Ingen står och pressar dig, meddelandet ligger kvar och tål att läsas två gånger. Å andra sidan finns här ingen röst som råkar säga något underligt och avslöjar sig. Hela bedrägeriet är komprimerat till en rad text och en adress, och det är på adressen det avgörs.

Kanalerna hänger dessutom ihop. Sveriges banker beskriver i sitt initiativ Svårlurad hur sms-bedrägerier ofta är första ledet, inte hela brottet: Om något är fel brukar man vilja få dig att ringa ett telefonnummer som går till bedragarna för att rätta till problemet. Ringer du numret är du plötsligt i telefonbedrägeriet, och då gäller den andra guiden. På initiativets startsida står den detalj som är lättast att missa, om just det numret: Ring inte! Du kan inte kopplas vidare till bankens säkerhetsavdelning.

Avsändaren är det svagaste beviset som finns

Att det står bankens namn högst upp i tråden betyder ingenting alls. Svårlurad formulerar det så här: Bedragare kan manipulera telefonnummer så att det ser ut som att det är till exempel din bank, polisen, en myndighet, ett företag eller en närstående som är avsändare.

Konsekvensen är den som förvirrar flest: eftersom avsändaren kan förfalskas kan bluff-sms:et hamna i samma konversation som bankens äkta meddelanden om kortköp och inloggningar. Telefonen sorterar meddelanden efter avsändarnamn, inte efter sanning. Att tråden ser bekant ut är alltså inget argument för att det senaste meddelandet är äkta.

Innehållet däremot följer ett mönster. Svårlurad räknar upp de vanligaste påståendena: att du köpt en vara, tagit ett lån eller ska betala för en leverans, med en länk eller en QR-kod att följa. BankID beskriver samma dramaturgi från sitt håll i sin genomgång av vanliga bedrägerier: Det är vanligt att de påstår att ditt konto har spärrats och att du måste identifiera dig för att låsa upp det. Ofta säger bedragaren att du ska göra det fort för att det inte ska få allvarliga konsekvenser.

Läs adressen bakifrån, inte texten

Här ligger den enda kontroll som faktiskt fungerar, och den är mekanisk. En webbadress består av ett värdnamn följt av en sökväg. Värdnamnet är allt som står före det första enkla snedstrecket, och det är slutet av värdnamnet som avgör vem som äger adressen: ordet närmast före toppdomänen, plus toppdomänen (.se, .com). Allt till vänster om det får bedragaren fylla med vad som helst, inklusive din banks namn.

Länken i sms:et	Vart den faktiskt går
dinbank.se.verifiering-2026.com/bankid	verifiering-2026.com, alltså inte banken
secure-dinbank.se/logga-in	secure-dinbank.se, en helt egen domän med bankens namn inbakat
dinbank.se/logga-in	dinbank.se, alltså banken

Polisen ger ett verkligt exempel på hur litet felet kan vara. En länk till www.polisens.se ser rätt ut vid en snabb blick, men i slutet av ordet polisen har bedragarna lagt till ett extra s och plötsligt hamnar du någon annanstans än på polisen.se. Ett tecken. Den falska sidan är sedan, med Polisens ord, identisk med eller snarlik den riktiga, så när du väl är framme finns inget mer att upptäcka.

Läs alltså adressen i meddelandet, öppna den inte. Och lägg märke till specialfallet: går länken via en förkortningstjänst syns ingen adress alls, och då finns ingenting att bedöma. Det är i sig ett skäl att låta den vara. Polisens råd när du är osäker är enkelt och gäller båda fallen: ring din bank eller företaget, på ett nummer du själv letar fram.

Banken ber aldrig om ditt BankID i en sms-länk

Det här är regeln som gör hela kategorin ofarlig, och den är enklare än den låter. BankID skriver: Använd aldrig ditt BankID när någon som kontaktar dig ber dig göra det. Och vidare: De myndigheter, banker, polis eller företag som erbjuder BankID kontaktar dig aldrig via telefon, mail eller liknande för att uppmana dig att logga in på eller ladda ner nytt BankID. BankID upprepar det kortare på sin bedrägerisida: Bankerna kontaktar aldrig dig och ber dig logga in.

Varför gäller det utan undantag? För att banken inte behöver din inloggning för att göra det den påstår att den vill göra. Det är banken som utfärdar ditt BankID och banken som spärrar det. BankID hänvisar dig till den bank du fått ditt BankID från både för att spärra och för att skaffa ett nytt. En bank som verkligen ville stoppa ett BankID skulle alltså spärra det, inte skicka dig en länk och be dig legitimera dig. Uppmaningen i sms:et är inte bara ovanlig. Den är bakvänd.

Skulle du ändå ha hamnat i en BankID-signering finns ett sista stopp, och det står i BankID:s egna säkerhetstips: Läs alltid texten som visas i BankID-appen och kontrollera var du identifierar dig och vad du skriver under. Är du osäker, välj avbryt. Appen namnger tjänsten du legitimerar dig hos. Står det något annat än din bank är det där du avbryter. Samma sida tipsar också om att slå på notiser från BankID, så att du får veta om ett BankID aktiveras för ditt personnummer. Det är fem sekunders inställning och den varnar för det som är svårast att upptäcka i efterhand.

Vad ett ifyllt formulär kostar

Många tror att kanalen är oviktig för ansvarsfrågan, att banken betalar tillbaka så länge man inte gjort betalningen själv. Så enkelt är det inte, och skillnaden är stor nog att vara skäl i sig att inte klicka.

Utgångspunkten i lagen är generös. Vid en obehörig transaktion ska banken återställa kontot, alltså noll kronor för dig, enligt 5 a kap. 1 § betaltjänstlagen. Har du inte skyddat din personliga behörighetsfunktion är taket 400 kronor, och vid grov oaktsamhet är en konsuments ansvar begränsat till 12 000 kronor. Hela den trappan går vi igenom i guiden om obehöriga transaktioner.

Nätfiske landar dock sällan på det första steget. Konsumenternas Bank- och finansbyrå beskriver kanalen precis som den ser ut här: Du får ett mail eller sms som ser ut att komma från banken och du uppmanas att logga in. Det som händer är att du dirigeras till en annan sida och dina kortuppgifter och koder sparas ner av bedragarna. Och sedan, om utfallet: Om du har lämnat ut kortuppgifter via ett phishingmail har du enligt Allmänna reklamationsnämndens, ARN:s, praxis agerat grovt oaktsamt och då har konsumenter själva fått stå för 12 000 kr. Källa: Konsumenternas Bank- och finansbyrå, Phishing och spoofing. Byråns exempel gäller uttryckligen phishingmail; samma sida beskriver mejl och sms som samma bedrägeriform.

Var ett enskilt fall hamnar avgörs individuellt, av vad som faktiskt gjordes, och vi påstår därför inte vad just din bank kommer att svara. Men riktningen är entydig. Att skriva in kortuppgifter på en sida du kommit till via en länk är den handling som flyttar dig från noll kronor till diskussionen om grov oaktsamhet, och det taket är 12 000 kronor, inte 400.

Sms:et har en rapportväg som samtalet inte har

En praktisk skillnad mellan kanalerna som få känner till: bluff-sms kan du lämna vidare. Både Polisen och BankID pekar på samma nummer. BankID skriver att du bara behöver vidarebefordra meddelandet till 7726, och att operatörerna då får information om sms:et och dess innehåll och kan förhindra att det skickas till fler personer. Polisen förklarar siffrorna: de motsvarar ordet SPAM på knappsatsen, och numret är operatörsoberoende, alltså detsamma vilken operatör du än har.

Kanalen bestämmer var rapporten ska hamna, och det är lätt att blanda ihop. Ett bluff-sms vidarebefordras till 7726. Ett bluff-mejl vill BankID i stället ha vidarebefordrat till sin egen abuse-adress, som står på deras sida om vanliga bedrägerier, för att de ska kunna försöka stänga ner avsändaradressen. Ett samtal går inte att vidarebefordra alls, där finns bara att lägga på. Rapportera i rätt kanal och du gör något som faktiskt biter på nästa utskick.

Om du redan har klickat

Då gäller ordningen i rutan högst upp, och den är inte godtycklig. BankID skriver: Om du följt en länk från ett mejl eller webbplats och även fyllt i information ska du omgående kontakta din bank för att få hjälp. Om du lämnat kortinformation bör kortet spärras och bytas mot ett nytt. Polisen sätter samma ordning för nätfiske: banken först, för att transaktioner eventuellt ska kunna stoppas, polisanmälan sedan.

Har du legitimerat dig med BankID är det ditt BankID som ska spärras först, och det gör du hos banken. Steg för steg finns i guiden om kapat BankID. Har du lämnat kortnummer eller kod är det kortet som brådskar, och det spärrar du hos din kortutgivare. Anmälan görs på 114 14 eller på en polisstation. Polisen anger bara de två vägarna för nätfiske, alltså ingen webbanmälan. Spara allt skriftligt innan du gör något annat. Polisen ber uttryckligen om konversationer via e-post och sms, och ett raderat sms är ett bevis som inte kommer tillbaka.

Det obekväma med den här kanalen är att de vanliga knepen inte hjälper. Avsändarnamnet går att förfalska. Språket duger inte som ledtråd, eftersom Konsumenternas Bank- och finansbyrå konstaterar att kvaliteten varierar kraftigt och att vissa meddelanden är mycket skickligt gjorda. En QR-kod visar ingen adress alls förrän sidan redan är öppen. Kvar står två saker som inte flyttar sig: banken frågar aldrig efter ditt BankID i en länk, och en adress du kan läsa är en adress du kan avvisa.

Uppgifterna i den här guiden kontrollerades den 29 juli 2026 hos Polisen, BankID, Svenska Bankföreningens initiativ Svårlurad, Konsumenternas Bank- och finansbyrå och betaltjänstlagen (SFS 2010:751).

Senast faktagranskad: 29 juli 2026