Swish-bedrägeri: så funkar det och så skyddar du dig

Swish är det snabbaste sättet att flytta pengar mellan privatpersoner i Sverige, och just därför har det blivit en av bedragarnas favoritkrokar. Skälet är enkelt: ett godkänt Swish är pengar som lämnar ditt konto på sekunden och som är väldigt svåra att få tillbaka. Det finns ingen väntetid, ingen ångerknapp, ingen mellanhand som håller kvar betalningen. Just den snabbheten, så bekväm mellan vänner, är rena guldet för den som vill lura dig.

Den goda nyheten: Swish-bedrägerierna följer tre mycket tydliga mönster. Känner du igen dem är de lätta att undvika.

Fälla nummer ett: de ber om pengar men får det att se ut som en betalning

Detta är med bred marginal det vanligaste Swish-bedrägeriet i Sverige, och det dyker framför allt upp vid köp och sälj av begagnat (Blocket, Tradera, Facebook Marketplace). Så här går det till:

Du säljer något. En påstådd köpare visar intresse, slår snabbt till och säger att hen betalar med Swish. Direkt kommer det en Swish-notis... men det är inte en betalning: det är en betalningsbegäran. "Köparen" betalar inte till dig; hen ber dig att betala. Godkänner du i all hast, övertygad om att du får betalt för din vara, lämnar pengarna ditt konto och går till bedragarens.

Hur skiljer jag en betalning från en begäran i Swish?

Skillnaden finns i själva appen, och den är värd att lära sig utantill:

• När någon skickar pengar till dig behöver du inte godkänna något för att få dem. Beloppet trillar in på ditt konto av sig självt och du får en ren informationsnotis i stil med "du har tagit emot X kr". Det finns ingen knapp för att godkänna eller neka inkommande pengar.
• När någon begär pengar av dig ber appen dig bekräfta. Du ser en väntande begäran med knappar för att godkänna eller avbryta, och en text som gör tydligt att det handlar om en betalning som dras från ditt konto.

Den praktiska regeln: om Swish ber dig trycka "godkänn" för att "få betalt" så får du inte betalt, du betalar. En riktig inbetalning kräver aldrig din bekräftelse. Är du det minsta osäker — avbryt begäran och kolla dina kontohändelser: har köparen verkligen betalat ligger pengarna redan där.

Bedragarna vet detta och pressar på: "godkänn snabbt innan den går ut", "det är Swishs nya system för försäljning", "godkänn så kommer betalningen". Allt det är rök. Stressen är, som i alla bedrägerier, larmsignalen.

Den falska återbetalningen: "vi ska betala tillbaka, godkänn bara Swishen"

Den andra varianten kommer via samtal, sms eller mejl. Någon som säger sig vara från en myndighet (Skatteverket, Försäkringskassan, din kommun), ditt elbolag eller din operatör meddelar att du har debiterats för mycket och att pengarna ska betalas tillbaka via Swish. Du behöver bara "godkänna transaktionen" som kommer att dyka upp.

Det som kommer är, återigen, en betalningsbegäran, inte en betalning. Godkänner du den är "återbetalningen" i själva verket en betalning som du själv gör.

En kort regel klipper av bedrägeriet vid roten: myndigheter betalar inte tillbaka via Swish. Skatteverket och Försäkringskassan betalar ut till ditt anmälda konto, och ingen myndighet ringer för att du ska godkänna något i din mobil. Ett seriöst företag som är skyldigt dig pengar sätter in dem på kontot eller kortet du betalade med, utan brådskande operationer på klockan. Kommer det något sådant — behandla det direkt som bedrägeri.

Swish + vishing: samtalet från "banken" som guidar dig steg för steg

Den tredje varianten är den farligaste, för den kombinerar Swish med att bedragaren utger sig för att vara din bank. De ringer och säger sig vara från bankens säkerhetsavdelning: de har upptäckt "misstänkta transaktioner" och behöver din hjälp för att "stoppa dem". Därifrån guidar en professionell röst dig: öppna appen, läs upp en kod som kom via sms, signera en "test­transaktion" med BankID, godkänn ett Swish "för att häva dragningen".

Varje steg du tar enligt deras instruktioner är en riktig transaktion som du själv godkänner. Bedragaren hackar ingenting: hen övertygar dig om att göra det själv, med dina koder och ditt BankID.

Försvaret är detsamma som vid alla banksamtal: din bank ber dig aldrig godkänna transaktioner, läsa upp koder, signera med BankID eller swisha under ett samtal som du har tagit emot. Ringer någon med en sådan brådska — lägg på och ring själv numret på baksidan av ditt kort. Hela rutinen finns i hur du kontrollerar om ett samtal eller sms från din bank är äkta, och allra först kan du slå upp numret som ringde i vår katalog över spamnummer för att se om andra redan har anmält det.

Snabba signaler: betalar de dig eller ber de dig betala?

Tvekar du tar den avgörande kontrollen tio sekunder: stäng notisen, öppna din bankapp och titta på kontohändelserna. Pengar du verkligen fått ligger redan där; allt annat är teater.

Vad gör jag om jag redan har godkänt ett bedrägligt Swish?

Agera snabbt och i den här ordningen:

• Ring din bank omedelbart på det officiella numret (baksidan av kortet). Berätta att du utsatts för bedrägeri och be dem försöka stoppa eller återkalla transaktionen. Ju tidigare du larmar, desto större marginal — men med Swish är marginalen liten, och därför är snabbheten så viktig.
• Spara alla bevis: skärmdumpar av konversationen med "köparen", av annonsen, av betalningsbegäran, av numret som ringde, tider och belopp.
• Gör en polisanmälan med de bevisen (via polisen.se eller genom att ringa 114 14). Anmälan är nödvändig för alla senare krav mot banken.
• Reklamera skriftligt till din bank om banken inte svarar eller avvisar ditt första krav. Vi går igenom vägarna, och hur långt de räcker, i hur du får tillbaka pengar efter ett telefonbedrägeri.
• Rapportera numret som är inblandat, för att varna nästa person. Varje rapport i NoCalls katalog gör bedrägeriet lite mindre lönsamt.

Var ärlig mot dig själv om förväntningarna: ett Swish som du själv godkänt är en transaktion du auktoriserat, och det försvårar en återbetalning. Det är inte omöjligt, särskilt om det förekom bankbedrägeri och du agerar snabbt, men det bästa försvaret är fortfarande att inte godkänna något du inte förstår.

Sammanfattning

Swish är säkert som system; det som fallerar är sammanhanget de får dig att använda det i. Tre regler täcker nästan allt: en riktig inbetalning kräver aldrig att du godkänner något; ingen myndighet betalar tillbaka via Swish; och din bank guidar dig aldrig via telefon för att godkänna transaktioner eller signera med BankID. Vid minsta tvekan — avbryt, lägg på och kolla dina kontohändelser i appen. Du kan se vilka bedrägerikampanjer som är mest aktiva just nu i våra trender och lära dig fler försvarsknep i våra guider.

Har ett nummer kontaktat dig för att smyga in en Swish-begäran eller genom att utge sig för att vara din bank — rapportera det i NoCalls katalog över spamnummer. Din varning kan hindra nästa person från att godkänna det "betalningskravet" i all hast.