Phishing: sådan genkender du falske mails og sms'er

En sms om en pakke, der ikke kan leveres. En mail om, at du har penge til gode hos Skat. En besked, der siger, at din virksomhed skal logge ind med det samme. Beskederne ser forskellige ud, men princippet er det samme: Nogen vil have dig til at handle hurtigt og afgive noget, du ellers ikke ville afgive, fx MitID, kortoplysninger eller penge. Det kaldes phishing.

Her får du en gennemgang af, hvad phishing er, hvordan du genkender det, hvad du gør med det samme, og hvem du kan kontakte bagefter. Guiden bygger på det, Politiet, Skattestyrelsen, Virk, Forbrugerrådet Tænk, Sikker Digital, Offerrådgivningen og Forbrugerombudsmanden selv skriver. Den er almindelig information og ikke juridisk rådgivning i din konkrete sag.

Hvad er phishing?

Phishing er et forsøg på at franarre dig personlige oplysninger eller penge ved at udgive sig for at være en afsender, du stoler på. Det kan være en bank, en myndighed, et fragtfirma eller en kendt tjeneste. Forbrugerombudsmanden nævner falske mails eller sms'er, fx dem der udgiver sig for at komme fra Skat eller Visa.

Samme metode har flere navne efter kanalen:

• Phishing på mail: en falsk mail med et link eller en vedhæftet fil.
• Smishing: phishing via sms. Du kan læse mere i guiden om falske sms'er om pakker og smishing.
• Telefonsvindel: nogen ringer og udgiver sig for at være banken eller politiet. Politiet skriver, at kriminelle kan ringe til dig og udgive sig for at være fra banken, politiet eller en anden myndighed og bruge dine oplysninger til at virke troværdige. Se også guiden om falsk bankrådgiver og »sikker konto«.
• Falske hjemmesider: linket i beskeden fører ofte til en side, der ligner den rigtige.

Pointen er, at du ikke behøver at kende kanalen for at genkende mønsteret. Kontakten kom til dig, den haster, og den vil have dig til at gøre noget, du normalt ikke gør.

Tegn på en falsk mail eller sms

Der findes ikke ét tegn, der afslører alt. Se på flere ting på én gang. Forbrugerrådet Tænk nævner disse tegn på en falsk sms, og de passer også på mails:

• Den beder dig opdatere, bekræfte eller udlevere personlige oplysninger, fx MitID, CPR-nummer, adgangskoder eller bankoplysninger.
• Den lægger pres på dig og kræver, at du handler hurtigt eller inden for en kort frist.
• Den lover noget, der er for godt til at være sandt, fx en præmie eller en tilbagebetaling.
• Afsendernavnet kan være forfalsket. Ifølge Tænk kan svindlere få en sms til at vise sig som »NETFLIX«, »Google« eller »Borger«. Et velkendt navn beviser derfor intet.
• Den indeholder et link, som kan være forkortet, så du ikke kan se, hvor det fører hen.

Politiet gør samme pointe om opkald: Kriminelle kan ændre det telefonnummer, der vises, så det ligner en banks eller politiets. Skattestyrelsen skriver det samme om mails: Afsenderadressen kan forfalskes, så den ser officiel ud, og du kan ikke stole på den alene.

Du kan altså ikke regne med, at beskeden er ægte, fordi den kommer fra et kendt navn eller et kendt nummer.

Sprog og stavefejl er ikke et sikkert tegn

Mange leder efter fejl i teksten. Skattestyrelsen peger på, at falske sider kan have sproglige fejl, tastefejl, fx et mellemrum midt i et ord, og forkert afsender i adressefeltet. Men Skattestyrelsen understreger også, at falske sider kan være på fejlfrit dansk. Fravær af fejl siger altså ikke, at beskeden er ægte. Politiet nævner på den anden side, at skæve formuleringer på falske webshops kan skyldes maskinoversættelse.

Tidspres

Falske beskeder truer ofte med, at noget bortfalder eller får konsekvenser, hvis du ikke handler nu. Skattestyrelsen beskriver, at falske beskeder kan true med, at en udbetaling bortfalder, hvis du ikke reagerer hurtigt. Virk viser et eksempel på en falsk sms, der beder virksomheden logge ind og indberette og nævner et fysisk tilsynsbesøg, sanktion eller bøde. Når en besked prøver at få dig til at stoppe med at tænke, er det grund nok til at stoppe op.

Hvad de vil have dig til at gøre

Det vigtigste spørgsmål er ofte ikke »ser den rigtig ud?«, men »hvad vil den have mig til at gøre?«. Hvis svaret er at klikke på et link og indtaste MitID, kortoplysninger eller personoplysninger, er det et tydeligt faresignal. Skattestyrelsen skriver, at den aldrig beder om personoplysninger, bank- eller kortoplysninger eller om, at du bekræfter et beløb. Beder en besked om det, er den altså ikke fra Skattestyrelsen.

Eksempler på typiske falske beskeder

Svindlerne skifter historie, men grundmønstrene går igen. Her er dem, myndighederne selv nævner.

»Din pakke kunne ikke leveres.« Et klassisk eksempel på tidspres og et link. Du bør ikke klikke, men selv gå til fragtfirmaets hjemmeside eller app og se, om der ligger en besked. Tænk anbefaler netop at gå til virksomhedens hjemmeside eller app selv og tjekke, om der ligger beskeder. Guiden om falske sms'er om pakker går mere i dybden.

»Du har penge til gode hos Skat.« Skattestyrelsen skriver, at den aldrig skriver konkrete beløb i mails eller sms'er, og at overskydende skat udbetales automatisk til din NemKonto. Du behøver ikke oplyse kortoplysninger for at få pengene. Skattestyrelsen udsender kun breve via Digital Post. Hverken mail eller sms er en måde, hvorpå Skattestyrelsen sender dig breve. Skattekontoen opkræver desuden ikke via MobilePay: Afsendere, der kalder sig fx »SKTST/Skattekontoen« og sender betalingsanmodninger, er svindlere ifølge Skattestyrelsen.

»Din virksomhed skal handle nu.« Virk skriver, at Virk aldrig sender sms'er eller mails ud til virksomheder. Enhver besked, der ser ud til at komme fra Virk, er derfor falsk. Virk skriver, at en falsk side til forveksling kan ligne Virk. Skattestyrelsen oplyser, at Erhvervsstyrelsen har modtaget mange henvendelser fra virksomheder om falske mails med trusler om afregistrering, hvis de ikke betaler et gebyr.

»Din bank skal bekræfte noget.« Tænk skriver, at banker, Nets, politiet og myndigheder aldrig kontakter dig uopfordret på sms og beder om personlige oplysninger. Det gælder mails og opkald også, ifølge politiet, der skriver, at myndigheder aldrig ringer, mailer eller sms'er for at bede om personlige oplysninger. Se også guiden om identitetstyveri og misbrug af MitID og CPR.

»Betal her med MobilePay.« En betalingsanmodning fra en afsender, der udgiver sig for at være en myndighed, er ifølge Skattestyrelsen svindel. Skattestyrelsen beder dig anmelde sådanne betalingsanmodninger til politiet.

Fælles for dem alle: De kommer uopfordret, de haster, og de vil have dig til at gøre noget, du ikke plejer.

Falske hjemmesider bag linket

Phishing slutter sjældent ved beskeden. Linket fører ofte til en side, der efterligner en bank, en myndighed eller en webshop. Politiet beskriver falske hjemmesider som falske webshops eller investeringssider, hvor du bliver franarret dine penge eller personlige oplysninger i den tro, at du køber en vare eller investerer. Du kan havne der via falske annoncer på sociale medier, og politiet nævner, at sådanne annoncer også kan ligge på almindelige sider, fx legitime nyhedsmedier.

Politiet nævner disse tegn:

• Du kender ikke siden. Så skal du være ekstra opmærksom.
• Webadressen passer ikke til det, siden sælger. En side, der virker dansk, men ender på .com, .eu eller lignende, kan være en kopi af en rigtig webshop.
• Prisen er usædvanlig lav eller skæv. Falske sider tilbyder ofte kendte mærkevarer med store rabatter.

Og disse råd:

1. Google hjemmesiden, og læs andres erfaringer, før du handler.
2. Skriv adressen i browserens adressefelt i stedet for at klikke på et link, for linket kan føre til en falsk kopi.
3. Kontrollér, at adressen passer til det, siden sælger.
4. Vær på vagt over for ekstremt lave priser.

Hvis siden ender på .dk, kan du ifølge politiet tjekke på punktum.dk, om domænet er registreret i Danmark. Det kan hjælpe dig med at vurdere, om en side, der ser dansk ud, reelt er dansk.

Skattestyrelsen peger på et enkelt trick til links: Hold musen over linket for at se den egentlige adresse. Skattestyrelsen oplister de domæner, der er sikre for dens egne beskeder, blandt andet skat.dk og info.skat.dk. Er adressen en anden, er det et tegn på, at noget er galt. Det er endnu bedre helt at undgå linket og selv skrive adressen.

Mere om svindel på nettet generelt finder du i guiden om svindel på nettet.

Det gør du, når en besked virker mistænkelig

Følg trinnene i rækkefølge. De første koster ingenting og tager få sekunder.

1. Klik ikke på linket, og indtast ingenting. Virk skriver, at du hverken skal svare, klikke på links eller indtaste oplysninger.
2. Gå selv til afsenderen. Skriv adressen i din browser, eller åbn appen. Tænk anbefaler at finde virksomhedens telefonnummer på dens hjemmeside, ikke i sms'en. Politiet råder dig til at skrive adresser, hvor du afgiver personlige oplysninger, direkte i browseren i stedet for at klikke på links i mails og sms'er.
3. Giv aldrig MitID, CPR-nummer eller kortoplysninger væk. Politiet beder dig holde MitID-bruger-id, MitID-koder og CPR-nummer for dig selv.
4. Læg på, hvis nogen ringer. Politiet anbefaler, at du afslutter kontakten og derefter selv finder organisationens nummer og spørger, om henvendelsen er ægte. Ring ikke tilbage til det nummer, der kontaktede dig.
5. Slet beskeden, eller anmeld den. Skattestyrelsens generelle regel er: Er du i tvivl, så klik ikke på linket. Slet beskeden, eller gå selv til skat.dk.

Ingen af disse trin kræver, at du kan gennemskue beskeden. De virker, også når svindlerne er gode.

Vil du vide, hvad der er synligt om dig på nettet, fx efter en mistænkelig besked? Svindlere bruger indimellem oplysninger, der allerede er offentligt tilgængelige, for at lyde troværdige. Remove Me laver en gratis analyse uden tilmelding. Den søger i det, der er offentligt synligt, blandt kendte datalæk (via Have I Been Pwned) og i et register over databrokere. En seks-cifret kode, der sendes til din e-mailadresse, låser rapporten op. Remove Me sender endnu ikke anmodninger om sletning på dine vegne. Start min gratis analyse.

Hvis du allerede har klikket eller afgivet oplysninger

Det sker også for forsigtige mennesker, og du kan stadig handle. Hvad du skal gøre, afhænger af, hvad du har afgivet.

Du har indtastet kortoplysninger. Kontakt din bank. Tænk og Skattestyrelsen anbefaler begge, at du kontakter banken, hvis du har indtastet oplysninger. Politiet foreslår, at du spærrer kortet så hurtigt som muligt via netbanken eller ved at ringe til banken eller Nets. Politiet oplyser disse numre hos Nets: 44 89 29 29 til Dankort, Visa/Dankort og Visa Electron, og 44 89 27 50 til Mastercard og Visa. Husk at gennemgå dine transaktioner for hævninger, du ikke har godkendt. Politiet anbefaler, at du bestrider uautoriserede kortkøb hos banken, fordi politiet har brug for disse indsigelser til efterforskningen.

Du har afgivet MitID-oplysninger. Tænk skriver, at du skal spærre dit MitID og oprette en kreditadvarsel. Du kan spærre MitID på mitid.dk. Politiet skriver, at du samme sted kan skifte adgangskode og tjekke, at dine kontaktoplysninger er rigtige. Se guiden om at spærre MitID og MitID-svindel for detaljerne.

Du har afgivet oplysninger på en falsk side, der ligner Virk. Virk anbefaler, at du spærrer betalingskort eller MitID for at forhindre yderligere misbrug, kontakter banken for at forsøge at stoppe overførsler, og hvis der er sket misbrug, anmelder det på politi.dk og ringer til Cyberhotline.

Du har klikket, men ikke indtastet noget. Åbn ikke linket igen. Skattestyrelsen råder dig til aldrig at klikke på et link, du er i tvivl om, men selv at gå til skat.dk i din browser. Siden beskriver ikke, hvad du gør, hvis du kun har klikket, så spørg din bank, hvis du er usikker på, om der er mere at gøre.

Du har bestilt noget på en falsk webshop. Politiet anbefaler at tjekke kontoudtoget i netbanken og spærre betalingskortet, hvis du har mistanke om, at du har handlet på en falsk side. Politiet foreslår også at kontakte den virksomhed, hvor varen er bestilt.

Hvis dine oplysninger er blevet brugt til at oprette lån eller abonnementer, anbefaler politiet at give besked til de virksomheder, hvor oplysningerne er brugt, og forklare din situation.

Kreditadvarsel

Kreditadvarsel nævnes af både politiet og Tænk. Politiet forklarer, at du kan registrere en kreditadvarsel i CPR via borger.dk. Den markerer, at du ønsker at advare mod, at der bliver givet lån og kredit i dit navn, og den kan hjælpe virksomheder med at vurdere, om en låneansøgning skal afvises. Trinene på borger.dk har vi ikke selv kunnet læse, så følg vejledningen der.

Du er ikke alene

Skam hører ikke hjemme her. Mange bliver ramt, og du kan få hjælp til både det praktiske og det følelsesmæssige. Se afsnittet om, hvem du kan kontakte, længere nede.

Sådan anmelder du

Du har flere muligheder, afhængigt af hvad der er sket.

• Politiet: På politi.dk kan du anmelde mange former for kriminalitet direkte. Sektionen »Digital kriminalitet« dækker blandt andet telefonsvindel, misbrug af kortoplysninger, investeringssvindel og datingsvindel, digital afpresning, svindel ved onlinehandel, ransomware, hacking og DDoS-angreb. Nogle forhold skal anmeldes pr. telefon på 114, skriftligt eller på en politistation. Ring 112, hvis du har brug for politiets hjælp med det samme. Tænk anbefaler at anmelde falske sms'er og afsenderen via politiets side om digital svindel.
• Skattestyrelsen: Send et skærmbillede af den falske mail eller sms via TastSelv. Skattestyrelsen skriver, at det hjælper med at bryde omløbet af svindelforsøg.
• Forbrugerombudsmanden: Kun hvis beskeden er uopfordret markedsføring, altså spam. Videresend mailen til dansk@spamklage.dk, hvis virksomheden er etableret i Danmark, eller int@spamklage.dk, hvis den er etableret i udlandet. For sms og beskeder på sociale medier sender du en mail med et billede af beskeden, fx et skærmbillede. Du får et automatisk svar med et link til en klageformular. Forbrugerombudsmanden skriver, at phishing og smishing ikke skal anmeldes som spam, men til politiet, og at kontoret ikke kan tage hver sag op eller svare enkeltvis.
• Din bank: Hvis du har afgivet kortoplysninger eller lavet en overførsel.

Politiet skriver, at det ikke kan vejlede dig om, hvordan du forholder dig til rykkerskrivelser, indkaldelser til fogedret og lignende henvendelser.

Hvem kan du tale med?

• Cyberhotline på 33 37 00 37 giver gratis råd om digital sikkerhed. Der er åbent på hverdage fra 8 til 20 og i weekender og på helligdage fra 10 til 16. Uden for åbningstiden hjælper de kun med at spærre MitID. Cyberhotline træffer ikke afgørelser og behandler ikke konkrete sager.
• Offerrådgivningen på 116 006 hjælper ofre, vidner og pårørende. Hjælpen er gratis og anonym, og telefonen har åbent hele døgnet. Offerrådgivningen tilbyder også chat. Cyberhotline henviser til Offerrådgivningen, hvis du har brug for at tale med nogen om oplevelsen.
• Din bank kan som regel forsøge at stoppe overførsler og spærre kort. Find nummeret selv, via bankens hjemmeside eller bagsiden af dit kort, og ikke i beskeden.

Phishing mod virksomheder og selvstændige

Phishing rammer også virksomheder. Virk skriver, at Virk aldrig sender sms'er eller mails til virksomheder, og at beskeder, der ser ud til at komme derfra og beder om virksomhedsoplysninger, personoplysninger, MitID, kort- eller bankoplysninger, er phishing. Skattestyrelsen fortæller, at Erhvervsstyrelsen har modtaget mange henvendelser fra virksomheder om falske mails med trusler om afregistrering, hvis de ikke betaler et gebyr.

Har du en virksomhed, så gælder de samme grundregler: Klik ikke, log ind via adressen, du selv skriver, og kontakt banken, hvis du har afgivet oplysninger. Cyberhotline kan ifølge Sikker Digital også pege på, hvilken myndighed en virksomhed bør kontakte, og hvordan den bør reagere på et cyberangreb.

MitID: det, ingen skal bede dig om

MitID er målet i mange phishingforsøg. Tænk skriver, at offentlige myndigheder, politiet og din bank aldrig vil bede dig udlevere dit bruger-id eller dine koder til MitID. Det er en enkel regel at huske: Hvis nogen beder om dem, er det svindel, uanset hvor overbevisende afsenderen lyder.

Siden oktober 2023 kan du ifølge Tænk midlertidigt spærre hele dit MitID på mitid.dk. Det er beregnet til mistanke om misbrug eller svindel. Før kunne du kun spærre dele, fx appen. For at genaktivere et fuldt spærret MitID skal du møde fysisk op hos Borgerservice. Tænk nævner også, at links og telefonnumre fremover fjernes fra MitIDs notifikationer for at gøre svindelforsøg sværere. Vær derfor ekstra opmærksom på en besked, der påstår at være fra MitID, og som indeholder et link. Tænk peger desuden på appen »Mit digitale selvforsvar« til at holde sig opdateret om svindelmails og lignende.

Skal jeg være bange for mit CPR-nummer?

Nej, men vær forsigtig. Politiet nævner, at kriminelle kan misbruge dine oplysninger til at hæve penge eller optage lån i dit navn, og at de bruger oplysningerne til at virke troværdige, når de ringer. Derfor er det klogt at holde CPR-nummeret for dig selv, især over for uopfordrede henvendelser. Læs mere i guiden om identitetstyveri og misbrug af MitID og CPR.

Kort tjekliste at gemme

• Jeg har ikke klikket på linket.
• Jeg har ikke afgivet MitID, CPR-nummer, adgangskoder eller kortoplysninger.
• Jeg har selv skrevet adressen eller åbnet appen i stedet for at bruge linket.
• Jeg har fundet organisationens nummer selv, hvis jeg ville ringe.
• Jeg har lagt på, hvis nogen ringede og bad om oplysninger.
• Jeg har anmeldt på politi.dk, hvis nogen forsøgte at snyde mig, og kontaktet banken, hvis jeg afgav oplysninger.

Hvis noget af det gik galt, er det ikke et nederlag. Det vigtige er at handle hurtigt og tale med banken.

Hjælp dine pårørende

Samtaler med familie og venner om, hvordan svindel ser ud, kan hjælpe. Politiet anbefaler i sine råd, at du holder dine personlige oplysninger for dig selv og afslutter kontakten, hvis nogen beder om dem. Det er enkle regler, du kan give videre til andre: Ingen myndighed eller bank beder om MitID, og du må altid lægge på og ringe selv.

Hvad kilderne ikke siger

De sider, vi har læst, giver ikke tal for, hvor udbredt en bestemt type phishing er, og derfor giver vi heller ingen. Skattestyrelsens side beskriver ikke, om du skal skifte adgangskoder efter at have klikket, så den del kan vi ikke udtale os om ud fra den. Politiets side om at anmelde kriminalitet oplyser ikke, hvilke oplysninger du skal have klar. Hvis du er usikker i netop din situation, så kontakt politiet og din bank.

Kilder

Læst den 5. november 2026.

• Skattestyrelsen: Sådan spotter du falske mails og sms'er
• Forbrugerrådet Tænk: Fup på sms
• Virk: Digital svindel og phishing
• Politiet: Undgå misbrug af identitets- og kortoplysninger
• Politiet: Undgå falske hjemmesider
• Forbrugerrådet Tænk: Værd at vide om MitID
• Sikker Digital: Cyberhotline
• Offerrådgivningen
• Politiet: Anmeld kriminalitet
• Forbrugerombudsmanden: Klag over spam