Nätfiske och bluffmejl: så känner du igen dem

Ett mejl från ”banken”, ett sms om ett paket som inte kan levereras, ett samtal från ”polisen”. Det ser olika ut, men tekniken bakom är densamma: någon vill att du ska agera snabbt och lämna ut något du annars inte skulle lämna ut. Den här guiden går igenom vad nätfiske är, hur du känner igen det, vad du gör direkt och vart du vänder dig.

Allt i guiden bygger på vad PTS, Polisen, Finansinspektionen (FI), Bankföreningen och Konsumentverket själva skriver. Det är allmän information och inget juridiskt råd för ditt enskilda fall.

Vad är nätfiske?

Nätfiske, eller phishing, är ett bedrägeri där bedragaren utger sig för att vara någon du litar på för att få dig att lämna ut uppgifter eller pengar. Polisen listar nätfiske som en av flera former av bedrägeri och uppmanar dig att anmäla mejl och sms från bedragare som vill att du ska lämna ut känsliga uppgifter.

Samma metod har olika namn beroende på kanal:

• Nätfiske via mejl: ett bluffmejl med en länk eller en bilaga.
• Smishing: nätfiske via sms. PTS beskriver det som att bedragaren skickar skadliga länkar till din telefon. Länkarna kan leda till falska webbplatser eller installera skadliga appar. Läs mer i vår guide om bluffsms och smishing.
• Vishing: nätfiske via telefon. Polisen använder ordet för bedragare som ringer och försöker få dig att lämna ut känsliga uppgifter eller logga in i din bank. Se vishing och bluffsamtal från banken eller polisen.
• Spoofing: ett telefonnummer förfalskas så att samtalet ser ut att komma från någon annan, till exempel en bekant, en bank eller en myndighet, enligt PTS.

Konsumentverket använder uttrycken bluffsms och bluffmejl för samma sak och varnar för att klicka utan att tänka efter och för att lämna ut kontonummer och inloggningsuppgifter.

Så känner du igen ett bluffmejl eller ett bluffsms

Det finns inget enskilt tecken som avslöjar allt. Titta på flera saker tillsammans.

Avsändaren. FI påpekar att dess egna mejl kommer från adresser som slutar på @fi.se. Är avsändaren en okänd adress, till exempel en slumpmässig kombination av siffror och bokstäver eller en gratis e-posttjänst, bör du ta bort mejlet direkt. Samma tanke gäller andra organisationer: kontrollera att adressen hör ihop med dem.

Språket. Enligt FI kan språket vara onaturligt, slarvigt eller alltför vänligt, eller blanda svenska och engelska. FI tillägger att AI gör det lättare att skapa trovärdiga texter och webbplatser. Ett fint språk bevisar alltså ingenting.

Brådskan. PTS beskriver att meddelanden ofta uppmanar till snabb handling, till exempel att ett paket annars returneras. Polisen skriver att bedragare försöker skapa oro och stress så att du agerar i panik.

Vad de vill att du gör. FI skriver att du bör vara mycket vaksam om du uppmanas att logga in i din bank eller betala pengar. Polisen varnar för att logga in med BankID på någon annans uppmaning.

Vem de utger sig för att vara. Polisen nämner att bedragare utger sig för att vara från polisen, banken, en myndighet eller ett företag man litar på, och att de ibland låtsas vara en anhörig som behöver hjälp med en betalning. FI påpekar att ingen annan än FI får använda FI:s logotyp, och att bedragare använder myndigheters namn och logotyper för att verka seriösa.

Vanliga upplägg som myndigheterna beskriver

Bedragarna byter ofta berättelse, men grundmönstret återkommer. Här är de upplägg som PTS, Polisen och FI själva tar upp.

”Ditt paket kan inte levereras.” PTS nämner att smishing ofta uppmanar till snabb handling, till exempel för att ett paket annars ska returneras. Länken leder till en falsk webbplats eller installerar en skadlig app som kan försöka hämta lagrat innehåll och få ut bankuppgifter.

”Det här är banken eller polisen.” Polisen beskriver att bedragare säger sig komma från polisen eller banken och erbjuder sig att skydda guld och andra värdesaker, och Polisen påpekar att polisen och seriösa företag aldrig hämtar sådant hemma hos någon. Ibland används hot, till exempel att en anhörig skadats eller att kontot håller på att tömmas, enligt Bankföreningen. Syftet är att du ska bli orolig och inte hinna tänka efter.

”Ring tillbaka.” Via sms försöker bedragare få dig att ringa ett nummer eller klicka på en länk, skriver Polisen. PTS beskriver även wangiri, ping-samtal: någon ringer, lägger på efter en signal och hoppas att du ringer upp ett högkostnadsnummer, till exempel ett utlandsnummer. Röstmeddelanden kan användas för att hålla kvar dig, till exempel med ett påstående om att du vunnit en tävling.

”Din närstående behöver hjälp.” Polisen nämner att bedragare kan låtsas vara en anhörig som behöver hjälp med en betalning. Hör av dig till personen på det nummer du själv har.

”Myndigheten behöver dina uppgifter.” FI skriver att dess medarbetare aldrig ber dig lämna ut kontonummer eller kortuppgifter och att FI inte ringer oväntat för att prata om investeringar, kryptovalutor eller fonder. Kontrollerar du en aktör kan du se om den har tillstånd i FI:s företagsregister.

Gemensamt för alla: kontakten kom till dig, den är brådskande och den vill att du gör något du inte brukar göra. Det är ofta tillräckligt för att stanna upp.

Samtal: spoofing, vishing och ping-samtal i detalj

Telefonen är lika utsatt som inkorgen. PTS skriver att telefonbedrägerier blir allt vanligare och ofta genomförs via uppringningar eller sms från svenska eller utländska nummer.

Spoofing. Numret som visas i displayen kan vara förfalskat. Mottagaren kan luras att lämna ut kortuppgifter, logga in i banken eller signera något med BankID, enligt PTS. Ett bekant eller seriöst nummer är alltså inget bevis.

Vishing. Det är bedragare som ringer och försöker få dig att lämna ut känsliga uppgifter eller logga in i din bank. Bankföreningen skriver att bedrägerierna oftast sker via telefon eller genom fysiska besök i bostaden. Bedragarna utger sig ofta för att vara bankpersonal, polis eller läkare och utnyttjar tilltro till auktoriteter. Vår separata guide går igenom vishing och bluffsamtal från banken eller polisen.

Ping-samtal. Den som ringer lägger på efter en signal så att du ska ringa tillbaka. PTS: ring inte tillbaka vid ett missat samtal från ett okänt nummer. Du behöver inte svara på okända nummer, och du kan lägga på om du inte vet vem som ringer.

Vad du säger i luren. Inget. Avsluta samtalet. Polisen uppmanar dig att vara tydlig och avvisande mot okända kontakter och kallar det att ”våga vara otrevlig”.

Mejl steg för steg

Ett bluffmejl kan se ut som ett kvitto, en faktura, en varning från banken eller ett meddelande från en myndighet. Gå igenom det här innan du gör något:

1. Titta på avsändaradressen, inte bara visningsnamnet. FI beskriver att dess egna mejl kommer från adresser som slutar på @fi.se. FI råder dig att radera mejl från okända adresser, till exempel gmail eller outlook eller en slumpmässig kombination av siffror och bokstäver.
2. Läs språket. Onaturliga formuleringar, blandning av svenska och engelska eller en alltför vänlig ton är varningstecken, men saknas de säger det inget.
3. Håll muspekaren över länken utan att klicka, om du ändå är nyfiken. Det är ett vanligt försiktighetssteg, inte något de myndigheter vi läst särskilt beskriver. Det säkraste är att aldrig använda länken utan att skriva adressen själv.
4. Öppna inga bilagor. FI råder dig att inte öppna bilagor och inte svara.
5. Radera mejlet om avsändaren är okänd, enligt FI.
6. Anmäl om du vill: Polisen vill att du anmäler mejl och sms från bedragare som försöker få dig att lämna ut känsliga uppgifter.

Falska webbplatser och QR-koder

Nätfiske slutar sällan vid meddelandet. Länken leder ofta till en falsk webbplats som efterliknar en bank, en myndighet eller en butik. FI påpekar att ingen annan än FI får använda FI:s logotyp, och att en webbplats som använder logotypen och påstår sig ha FI:s godkännande är en tydlig varningssignal.

Samma sak gäller QR-koder. FI råder dig att inte skanna QR-koder i misstänkta meddelanden. En QR-kod är i grunden en länk du inte kan läsa med blotta ögat.

Om du vill kontrollera ett finansiellt företag kan du se om det har tillstånd i FI:s företagsregister och om FI har varnat för det i sin varningslista. Konsumentverket tar för sin del upp hur du kontrollerar om ett företag du tänkt handla från är seriöst.

Skillnaden mellan nätfiske och vanligt skräppost

Inte allt oönskat är nätfiske. Reklam du aldrig bett om är oftast bara irriterande. Nätfiske försöker få tag på dina uppgifter eller pengar och efterliknar ofta något du känner till. Är du osäker, behandla meddelandet som misstänkt. Oönskade telefonsamtal från säljare är en annan fråga, där registret NIX-Telefon kan hjälpa. Läs mer i NIX-Telefon: spärra telefonförsäljare.

Det här gör du när något är misstänkt

Följ stegen i ordning. De första är gratis och tar bara några sekunder.

1. Klicka inte. FI råder dig att inte klicka på länkar, inte skanna QR-koder i misstänkta meddelanden, inte öppna bilagor och inte svara.
2. Gå dit själv. I stället för att använda länken skriver du organisationens adress i webbläsaren, eller letar upp kontaktuppgifter på dess officiella webbplats. Polisen råder dig att inte ringa tillbaka till numret i ett sms.
3. Lämna aldrig ut känsliga uppgifter. PTS: lämna aldrig ut lösenord, kortuppgifter eller personuppgifter via sms, e-post eller telefon.
4. Logga inte in på någons uppmaning. PTS och Polisen: logga aldrig in via bankdosa, e-legitimation eller BankID för att någon ber dig.
5. Avsluta samtalet. FI: ”lägg på direkt” om ett samtal känns misstänkt. Polisen säger att det är okej att vara otrevlig.
6. Vidarebefordra och radera. Ett misstänkt sms skickar du vidare till 7726, ett gemensamt kortnummer som operatörerna samarbetar kring. Radera det sedan.
7. Anmäl. Se längre ned.

Vill du veta vad som redan är synligt om dig på nätet, till exempel efter ett misstänkt meddelande? Remove Me gör en kostnadsfri analys utan registrering. Den söker i det som är offentligt synligt, bland kända dataläckor (via Have I Been Pwned) och i ett register över dataförmedlare. En sexsiffrig kod som skickas till din e-postadress låser upp rapporten. Remove Me skickar ännu inga raderingsförfrågningar för din räkning. Starta min kostnadsfria analys.

Om du redan klickat eller lämnat uppgifter

Det händer även försiktiga människor, och det går att agera direkt.

• Ring din bank utan dröjsmål. Bankföreningen skriver: kontakta omedelbart din bank om du tror att du blivit lurad. PTS ger samma råd om du lurats att lämna bankuppgifter. Slå numret själv, via bankens egen webbplats eller ditt kort, och inte det som stod i meddelandet.
• Polisanmäl. Bankföreningen och PTS rekommenderar polisanmälan. Mer om hur det går till i polisanmäla bedrägeri: så gör du och i guiden om bedrägeri på nätet.
• Ring 112 om brottet pågår. Det är Polisens första råd vid pågående brott.
• Skydda dina inloggningar. Har du skrivit in ett lösenord på en falsk sida bör du byta det på den riktiga tjänsten. Det är ett allmänt försiktighetssteg, inte något myndigheterna ovan särskilt har beskrivit, så följ din tjänsts egen hjälp. En lösenordshanterare gör det lättare att ha olika lösenord överallt.
• Spara bevis. Det är vårt eget råd och inget myndigheterna ovan särskilt nämner: behåll meddelandet, avsändaren och tidpunkten tills du pratat med banken och Polisen.

Skam hör inte hit. Polisen skriver att det minskar skam och skuldkänslor när man pratar öppet om brott som drabbat någon.

Var anmäler du?

• Polisen: FI hänvisar till polisen.se/anmal eller 114 14. Polisen skriver att kortbedrägeri kan anmälas direkt på webben om du har svenskt personnummer eller samordningsnummer, och att andra typer av bedrägeri anmäls genom att ringa 114 14 eller besöka en polisstation.
• Din bank: om du lämnat uppgifter eller fört över pengar.
• Konsumentverket: om du handlat på nätet och inte fått det som utlovats kan Konsumentverkets vägledare svara på frågor om konsumenträtt.
• FI: du kan kontrollera i FI:s företagsregister om en aktör har tillstånd, och i varningslistan om FI har varnat för den.

PTS är inte en plats för att anmäla som drabbad. Myndigheten är inte brottsutredande, avgör inte vad som är bedrägeri och kan inte hjälpa enskilda. PTS arbetar med reglering, utbildning och information.

Kort checklista att spara

• Jag har inte klickat på länken eller skannat QR-koden.
• Jag har inte lämnat ut lösenord, kortuppgifter, koder eller personuppgifter.
• Jag har inte loggat in med BankID, bankdosa eller e-legitimation för att någon bad mig.
• Jag har ringt organisationen via ett nummer jag själv slagit upp.
• Jag har vidarebefordrat sms:et till 7726 och raderat det.
• Jag har anmält till Polisen om någon försökt lura mig, och ringt min bank om jag lämnat uppgifter.

Går något av detta fel är det inte ett misslyckande. Det viktiga är att du agerar snabbt och pratar med banken.

Vad gör operatörerna?

PTS skriver att operatörer enligt PTS föreskrifter ska stoppa samtal från utlandet som ser ut att komma från svenska fastnätsnummer, och efter kontroll även från svenska mobilnummer. Dessutom har riksdagen beslutat att operatörer ska stoppa samtal och meddelanden som misstänks vara bedrägliga eller vilseleda många mottagare. De nya sms-reglerna trädde i kraft den 1 augusti 2026. Operatörerna får inte filtrera innehållet utan bedömer tekniska indikatorer, till exempel avvikande trafikmönster.

Det betyder att skyddet har blivit bättre men inte fullständigt. Fortsätt därför att vara misstänksam.

Hjälp dina anhöriga

PTS konstaterar att äldre ofta drabbas och föreslår att du informerar anhöriga som inte själva söker information på nätet. Polisen uppmanar framför allt personer över 60 år att vara misstänksamma mot oväntade samtal och meddelanden, och rekommenderar att du pratar med äldre anhöriga om bedrägerier. Bankföreningen pekar på Svårlurad (svarlurad.se) och Internetstiftelsens kostnadsfria snabbkurser (internetkunskap.se) för den som vill lära sig känna igen bedragare.

Polisen tillägger en bra tumregel: polisen och seriösa företag hämtar aldrig guld, kort eller värdesaker hemma hos människor. Släpp inte in någon oanmäld.

Skydda dig i förväg

• Prata med närstående om vad du skulle göra om någon ringde som banken.
• Kontrollera bankens säkerhetsfunktioner, till exempel dubbelsignering eller tidsfördröjning vid större överföringar, och aktivera dem, enligt Polisen.
• Använd olika lösenord och slå på tvåfaktorsautentisering där det går (ett allmänt råd som inte kommer från källorna ovan).
• Läs om hur ID-kapning och identitetsstöld går till och hur BankID-bedrägerier fungerar.

Vad källorna inte säger

De myndighetssidor vi läst anger inga siffror för hur vanligt ett visst bedrägeri är, och vi lämnar därför inga. Polisens sida om nätfiske är kortfattad. Bankföreningens sida ”Stoppa bedragaren” anger inget spärrnummer, så ring banken via kontaktuppgifter du själv slagit upp, inte via uppgifter i ett meddelande. Om du är osäker i just ditt fall: kontakta Polisen och din bank.

Källor

Lästa den 31 oktober 2026.

• PTS: Telefonbedrägerier
• Finansinspektionen: Falska mejl, sms och samtal
• Polisen: Bedrägerier
• Polisen: Våga vara otrevlig
• Bankföreningen: Stoppa bedragaren
• Bankföreningen: Bedrägerier
• Konsumentverket: Bluffar och bedrägerier