Så fungerar ett phishingmeddelande

Modul 3: Känna igen phishing · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du känna igen de psykologiska knepen och de fasta kännetecknen hos ett phishingmeddelande, även när texten är felfri, och du reagerar med reflexen stopp, kontrollera, fråga.
Nyckelbegrepp: brådska, auktoritet, rädsla, nyfikenhet, belöning, pretext, AI-skriven phishing, reflexen "stopp, kontrollera, fråga"

Phishing är en berättelse, inte en teknik

Phishing är ett meddelande som får dig att göra något som gynnar avsändaren och skadar dig: klicka på en länk, logga in på en kopierad sida, öppna en bilaga, göra en betalning eller lämna ut en kod. Tekniken bakom är ofta enkel. Det som gör jobbet är berättelsen.

Den berättelsen kallas en pretext: en trovärdig anledning. "Ditt paket kunde inte levereras." "Din inkorg är full." "Det finns en obetald faktura." "Ditt konto kommer att spärras." En bra pretext passar din situation. Ett bageri får ett mejl om en mjölleverantör, en advokatbyrå om en stämning, en webbutik om en blockerad betalning.

Syftet är nästan alltid ett av dessa fyra:

Vid den sista typen händer inget allvarligt just då. "Vem sköter betalningarna hos er?" verkar vara en vanlig fråga. Men med svaret kan angriparen senare skicka ett mycket mer övertygande mejl riktat till just den personen. Det kallas riktad phishing (spear phishing) (lektion 1.2).

De fem knapparna som phishing trycker på

Phishing fungerar genom att få dig att agera innan du hinner tänka efter. Därför trycker det på några fasta knappar i huvudet. Nästan varje phishingmeddelande använder minst två av dem.

1. Brådska. "Inom 24 timmar", "redan i dag", "sista påminnelsen". Tidspress är det viktigaste knepet, eftersom du då inte tar dig tid att kontrollera.
2. Auktoritet. Meddelandet säger sig komma från någon du tar på allvar: banken, Skatteverket, vd:n, polisen, ditt webbhotell, en advokat.
3. Rädsla. Ditt konto spärras, du får böter, dina uppgifter har läckt, ditt domän upphör, det har varit ett intrång på ditt konto.
4. Nyfikenhet. "Titta på bilderna från evenemanget", "du har fått ett delat dokument", "det finns ett röstmeddelande till dig", "löneöversikt2026.pdf".
5. Belöning. En återbetalning, ett presentkort, en vunnen pris, en gratis uppgradering, en stor order från en ny kund.

Observera: de här knapparna förekommer även i äkta meddelanden. En äkta faktura har ett förfallodatum, en äkta bank skickar ibland en varning. Ett enda knep gör alltså inte ett meddelande falskt. Det blir misstänkt när pressen är hög och meddelandet ber om något du normalt inte skulle göra på det sättet.

Fasta kännetecken, oavsett texten

Förutom knepen har phishingmeddelanden några kännetecken som nästan alltid återkommer:

• En uppmaning att göra något nu (call to action): en knapp, en länk, en bilaga, ett telefonnummer att ringa.
• En kanal som inte passar. Din bank ber per mejl om att du loggar in, din leverantör ber via WhatsApp om en betalning, din kollega ber via sms om presentkort.
• En fråga som inte passar. Att lämna ut ett lösenord eller en inloggningskod, ändra ett IBAN-nummer, en betalning utanför den vanliga rutinen, installera programvara på begäran av en uppringare.
• En avvikelse i avsändare eller länk. Adressen eller länken hör inte riktigt hemma hos organisationen du förväntar dig. Hur du läser det exakt lär du dig i lektion 3.2 och 3.3.
• Hemlighetsmakeri eller att kringgå rutinen. "Säg inget till övriga ännu", "jag sitter i möte, ring mig inte", "fixa det lite utanför systemet".

Det sista kännetecknet är den starkaste signalen vid vd-bedrägeri och fakturabedrägeri: en äkta vd har inget intresse av att du hoppar över den vanliga kontrollen.

Varför stavfel inte längre är ett bra kännetecken

Förr kände du igen phishing på knaggligt språk, konstig tilltal och ful layout. Det fungerar inte längre. Med språkmodeller (AI) skriver en angripare på några sekunder ett felfritt, vänligt mejl på vilket språk som helst, i stilen hos organisationen han imiterar. Det nederländska NCSC varnar också för att phishing med AI blir svårare att känna igen: färre språkfel och inloggningssidor som ser allt äktare ut.

Dessutom kommer phishing ibland från en äkta inkorg. Om en leverantörs inkorg har kapats svarar angriparen helt enkelt i en befintlig mejltråd, med signatur, tonfall och tidigare meddelanden på plats. Det kallas thread hijacking. Avsändare, layout och språk är då alla äkta. Det är bara begäran som inte stämmer: "Vi har fått ett nytt bankkonto, kan du betala den utestående fakturan dit?"

Därför tittar du inte på hur ett meddelande ser ut, utan på vad det ber dig om. Phishing känner man sällan igen på ett enda kännetecken, utan på helhetsbilden.

Reflexen: stopp, kontrollera, fråga

Du behöver inte känna till varje knep. Du behöver en enda reflex som du använder varje gång ett meddelande ber dig om något.

Stopp. Känner du brådska, skräck, nyfikenhet eller glädje? Det är precis rätt ögonblick att inte klicka. Lägg undan meddelandet en stund. Äkta organisationer ger dig nästan alltid tillräckligt med tid att kontrollera saken.

Kontrollera via din egen väg. Gå inte vidare via själva meddelandet. Klicka inte på länken, ring inte numret i meddelandet och svara inte på mejlet. Gå själv till sidan via ditt bokmärke eller genom att skriva in adressen, eller ring ett nummer du redan hade (din egen bokföring, baksidan av ditt bankkort, den officiella webbplatsen). Finns fakturan verkligen? Är paketet verkligen på väg?

Fråga. Tvekar du fortfarande, fråga en kollega eller personen som påstås ha skickat det, via en annan kanal. Kom överens i teamet om att en sådan fråga aldrig är besvärlig. Hellre fråga tio gånger i onödan än betala en enda gång fel.

Den här reflexen fungerar även vid ett perfekt mejl från en kapad inkorg. Kontrollen via din egen väg kringgår angriparen helt, eftersom han varken sitter i ditt bokmärke eller i din leverantörs telefon.

I praktiken: så här ser det ut

Tre återskapade meddelanden som Bageriet Example (info@example.com) får en och samma morgon. Alla namn är påhittade.

Meddelande 1: paketet

Från: Budfirman <service@koeriersdienst-track.example>
Ämne: Leverans misslyckades: åtgärd krävs
Bästa kund, vi försökte i dag leverera ett paket. Adressen var ofullständig. Boka en ny leverans inom 48 timmar och betala omleveranskostnaden på 1,95 euro, annars skickas paketet tillbaka till avsändaren.

Knep: brådska (48 timmar), rädsla (paketet går tillbaka), en liten summa så att du inte tänker efter. Syftet är dina kortuppgifter. Kontrollera: väntar du dig ett paket? Sök upp försändelsen via transportörens egen webbplats eller app.

Meddelande 2: leverantören

Från: Mjölleverantören <administratie@leverancier.example>
Ämne: SV: faktura 2026-0412
Hej, här kommer fakturan som vi pratade om. Observera: på grund av ett bankbyte vill vi från och med nu få betalt till vårt nya kontonummer. Kan du göra det redan i dag? Då kan vi planera in leveransen på fredag.

Knep: auktoritet (känd leverantör, befintlig mejltråd), brådska, belöning (leveransen). Avsändaren kan vara äkta: leverantörens inkorg kan ha kapats. Kontrollera: ring leverantören på numret från din egen bokföring, inte från det här mejlet.

Meddelande 3: bokföringsprogrammet

Från: Bokföringsprogrammet <noreply@boekhoudpakket.example>
Ämne: Ditt abonnemang kommer att pausas
Vi kunde inte behandla din senaste betalning. Logga in inom 24 timmar för att uppdatera dina betaluppgifter, annars förlorar du åtkomsten till din bokföring.
[Logga in]

Knep: rädsla, brådska, auktoritet. Om avsändaren stämmer läser du om i lektion 3.3; vart knappen leder i lektion 3.2. Kontrollera: öppna själv appen eller ditt bokmärke till bokföringsprogrammet. Finns det inget meddelande där är mejlet falskt.

Sammanfattning

• Phishing fungerar genom en berättelse (pretext) som passar dig, med syftet inloggningsuppgifter, pengar, åtkomst till din enhet eller information.
• De fem knapparna: brådska, auktoritet, rädsla, nyfikenhet och belöning. Oftast är det två eller fler samtidigt.
• Stavfel är inte längre ett tillförlitligt kännetecken: AI skriver felfria mejl och kapade inkorgar skickar äkta meddelanden.
• Titta på vad ett meddelande ber dig om och via vilken kanal, inte på hur det ser ut.
• Reflex: stopp, kontrollera via din egen väg, fråga vid tvekan.

Quiz

Uppgift

Uppgift A3.1: Känna igen knep. Du får sex återskapade meddelanden. Välj för varje meddelande vilka knep som finns med (brådska, auktoritet, rädsla, nyfikenhet, belöning) och vad du gör: hantera det som vanligt, eller kontrollera först via din egen väg. Programmet rättar dina svar och förklarar vad du missat för varje meddelande.

Läs mer

Stegen i WebOkés kunskapsbasartiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• Är det här mejlet verkligen från WebOké? Känna igen nätfiske och använda rabattkoden
• Nederländska NCSC, Hur känner jag igen ett phishingmejl?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Nederländska NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Polisen, för att anmäla bedrägeri och phishing: https://polisen.se/