Falsk bot på SMS: slik avslører du meldingen

«Du har en ubetalt bot. Unngå tilleggsgebyr ved å betale her.» Og en lenke. Denne SMS-en, med små variasjoner, har rullet i bølger i Norge i årevis — noen ganger som en bot, andre ganger som et ubetalt bompengekrav eller en parkeringsavgift. Det er en tilbakevendende smishing-kampanje: den forsvinner noen uker og kommer tilbake med en ny tekst og et nytt, lignende domene, alltid med samme mål: at du taster inn kortopplysningene dine på en falsk nettside som imiterer en offentlig etat eller et bompengeselskap.

Den gode nyheten er at denne svindelen faller på én enkelt regel, og den er lett å huske.

Nøkkelregelen: myndighetene varsler ikke bøter på SMS med betalingslenke

Fest deg ved dette: verken politiet, trafikkmyndighetene eller et bompengeselskap sender deg en SMS med en lenke for å betale en bot eller et krav. Varsler om bøter og krav kommer via de vanlige offisielle kanalene:

• Brev i posten, til adressen din.
• Din digitale postkasse (Digipost eller e-Boks) eller Altinn, hvis du bruker digital post fra det offentlige.
• Den offisielle nettsiden eller appen til den aktuelle etaten eller bompengeselskapet, der du når som helst kan sjekke om du har utestående krav.

Mekanikken «ubetalt bot + lenke + betal nå fra SMS-en» er ikke fremgangsmåten til et offisielt varsel: det er svindelens mønster. Ber meldingen deg betale via en lenke som ligger i selve SMS-en, trenger du ikke tenke mer på det.

Hvordan ser den falske SMS-en ut, og hvorfor lykkes den?

Meldingen er laget for å utløse en rask reaksjon, ikke ettertanke. Ingrediensene endrer seg nesten aldri:

• Hastverk. «Siste varsel», «unngå inkasso», «saken går til tvangsinnkreving». De presser deg til å løse det på stedet.
• Et lite beløp. Det er gjerne overkommelige summer (noen titalls eller hundre kroner, ikke tusener). Det egentlige målet er ikke å kreve inn den «boten»: det er å fange opp de fullstendige kortopplysningene dine på den falske betalingssiden, og av og til også bekreftelseskoden på SMS for å gjøre større trekk senere.
• Et lignende domene. Lenker med etatsnavn eller bompengenavn etterfulgt av bindestreker og ord, på domener som ikke er de offisielle. På den lille mobilskjermen, og i farten, glir de gjennom. Målsiden kopierer logoer og offisiell stil ganske godt.
• Variabel avsender. Noen ganger et vilkårlig mobilnummer, andre ganger et alfanumerisk avsendernavn som imiterer en etat. Siden SMS-avsender kan forfalskes, beviser den ingenting, verken for eller imot.

Ingen av disse elementene krever at svindleren vet noe om deg. Hen sender samme SMS til tusenvis av numre, og det holder med den prosentandelen som tilfeldigvis ventet en mulig bot eller et bompengekrav. Du kan se hvilke slike kampanjer som er aktive hver uke på siden vår for trender.

Hvordan sjekker jeg om jeg faktisk har en bot?

Dette er den eneste delen du trenger når tvilen «tenk om det er sant?» melder seg. Verifiseringen gjør du alltid selv, via offisielle kanaler, aldri fra lenken i meldingen:

1. Sjekk din digitale postkasse (Digipost eller e-Boks) og Altinn. Der ligger offisielle varsler fra det offentlige.
2. Eller gå til den offisielle nettsiden til den aktuelle etaten eller bompengeselskapet ved å skrive adressen selv i nettleseren, bokstav for bokstav. Ikke gå via lenken i SMS-en eller via tvilsomme søketreff.
3. Er du usikker, kan du alltid ringe det offisielle kundeservicenummeret til etaten eller bompengeselskapet (finn det på deres egen nettside, ikke i SMS-en).

Dukker det ikke opp noe krav via disse kanalene, finnes det ingen bot. SMS-en var falsk; du blokkerer den, sletter den, ferdig. Og dukker det opp et reelt krav, betaler du det inne i den offisielle appen eller på den offisielle siden, aldri via lenken i en melding.

Denne sekvensen (lukke meldingen, gå selv inn på den offisielle kanalen) er nøyaktig den samme som vi anbefaler for å verifisere et anrop eller en SMS fra banken. Den gjelder for enhver etat eller virksomhet, og er vanen som stopper flest svindler ved roten.

Hva gjør jeg hvis jeg allerede trykket på lenken eller tastet inn kortet?

Det avhenger av hvor langt du kom:

• Du bare trykket på lenken og lukket siden: sannsynligvis skjedde ingenting. Du lastet ikke ned noe og ga ikke fra deg opplysninger; blokker avsenderen og gå videre.
• Du tastet inn kortopplysningene: ring banken nå, på nummeret på baksiden av kortet, forklar hva som skjedde, og be dem sperre kortet og utstede et nytt. Det er tiltaket som kutter problemet på stedet.
• Du tastet i tillegg inn en bekreftelseskode du fikk på SMS: fortell også banken det, for det kan finnes en allerede godkjent operasjon som bør stoppes umiddelbart.
• Følg med på trekkene de kommende dagene og ukene. Svindeltrekk kommer ikke alltid med en gang; iblant venter de. Slå på varsler for kontobevegelser i bankappen.
• Anmeld forholdet til politiet (politiet.no eller 02800) med skjermbilder av SMS-en, lenken og eventuelle trekk.
• Rapporter nummeret som sendte SMS-en, i oversikten over spamnumre, så det blir markert.

Samme mønster i andre forkledninger

Lærer du å se skjelettet i denne svindelen (kjent avsender + et utestående krav eller ærend + hastverk + betalingslenke), kjenner du den igjen i alle variantene, for svindlerne bytter forkledning etter sesong:

I alle tilfeller er forsvaret identisk: ikke trykk, gå selv inn på den offisielle kanalen, og sjekk.

Raske spørsmål

Sender det offentlige noen SMS i det hele tatt? De kan sende informative meldinger knyttet til saker du selv har startet, men de varsler ikke bøter med betalingslenker på SMS. Er du i tvil, behandle enhver SMS som uverifisert og sjekk i din digitale postkasse eller på den offisielle siden.

SMS-en har en etat som avsendernavn – er ikke det en garanti? Nei. Avsendernavnet på en SMS kan forfalskes. Verken navnet eller nummeret som vises på skjermen, beviser hvem som sender meldingen.

Og hvis jeg faktisk har en bot og fristen løper ut? Reelle krav ser du på sekunder i din digitale postkasse eller på den offisielle siden. Finnes det, ser du der beløpet, fristen og den offisielle betalingsmåten. Du trenger ingen SMS.

Nytter det å rapportere nummeret? Ja. Disse kampanjene gjenbruker nummerserier i dagevis. Hver rapport gjør at nummeret vises som markert når en annen person søker det opp før hen går på.

Har du fått en slik SMS, bruk et minutt på å rapportere den i NoCalls nummeroversikt: det er den mest direkte måten å hjelpe neste person som får «boten», til å oppdage i tide at hen ikke skylder noe.