Emil Martesen
Först ett mejl om att förnya en betrodd enhet, sedan ett samtal från en falsk bankrådgivare, då är fällan gillrad.
Metoden har lurat minst 912 kunder att lämna ifrån sig sina bankuppgifter i en färsk phishing-kampanj mot Frankrikes största bank, Crédit Agricole, och 83 personer har hunnit genomföra betalningar innan bluffen upptäcktes. Kampanjen är ett läroboksexempel på det bedrägeriupplägg som varje år kostar svenska bankkunder hundratals miljoner kronor.
Bedragarna skickade ut ett mejl som uppmanade mottagaren att ”förnya registreringen” av en betrodd enhet. Länken ledde vidare till en falsk sida som kopierade bankens grafik och som lockade offret att fylla i sina inloggningsuppgifter. Därefter ringde bedragarna själva upp och slussade offren genom en betalning.
Så byggde bedragarna upp fabriken
Cybersäkerhetsforskare hittade den 19 juni en publikt tillgänglig server som styrde hela operationen. Databasen innehöll 912 offer som redan hade fyllt i sina uppgifter, och 83 registrerade betalningar.
För att få mejlen att komma fram utan att fastna i skräpfiltren hade bedragarna kapat 149 SendGrid-nycklar och tre AWS-konton, en infrastruktur som kunde skicka omkring 7 000 falska mejl om dagen från betrodda avsändare.
Det verkligt farliga var vad panelen samlade in. Utöver användarnamn och lösenord noterades kontosaldo, kontorstillhörighet och namnet på offrets personliga rådgivare, allt sådant som gjorde det efterföljande telefonsamtalet trovärdigt.
Samma recept i den svenska bedrägeristatistiken
Sofistikerade telefonbluffar som bygger på att bedragaren utger sig för att vara banken, så kallad vishing, är ett välkänt problem i Sverige. Under 2025 uppgick brottsvinsterna från vishing till 320 miljoner kronor, enligt Polismyndighetens sammanställning från april 2026.
Siffran är faktiskt en nedgång från 708 miljoner kronor 2023, men problemet är långt ifrån löst.
”Tydligast nedgång syns inom telefonbedrägerierna där brottsvinsterna gått från 708 miljoner kronor 2023, till 320 miljoner kronor 2025. Samtidigt ser vi att försöksbrotten inom telefonbedrägerier med hjälp av bland annat massutskick av sms ökar. Här krävs det nya insatser framåt för att stoppa utsattheten”, säger Johan Halling, samordnare för brottsförebyggande frågor vid Nationellt bedrägericentrum.
Just kombinationen mejl eller sms plus uppföljande samtal har flera gånger drabbat svenska bankkunder. Bland annat i den telefonbluff som utger sig för att vara Swish, där bedragarna ringer upp kunder som tidigare fått ett falskt sms.
Så känner du igen fällan
Grundregeln är enkel: en riktig bank ringer aldrig och ber dig logga in eller bekräfta uppgifter under samtalet.
Konsumenternas Bank- och finansbyrå påpekar att bedragare kan visa upp bankens riktiga telefonnummer på skärmen genom så kallad spoofing. Att numret ser äkta ut är alltså inget bevis på att den som ringer verkligen är från banken.
Byrån är också tydlig med att aldrig logga in på internetbanken eller uppge kortuppgifter och koder under ett samtal du inte själv har initierat. Har du redan gjort det ska du omedelbart spärra ditt kort och kontakta banken. Reklamationen mot obehöriga transaktioner måste dessutom göras inom två månader.
En annan varning gäller AI-klonade röster som allt oftare används för att härma bankens rådgivare i just den här typen av upplägg, ett hot som beskrivs närmare i genomgången av tecknen som avslöjar bedragaren.
Crédit Agricole betonar själva att bankens egna system inte har hackats, utan att det rör sig om en extern identitetskapning. Det är en trist tröst för de 83 kunder som redan har hunnit betala.
