Sebastian Juul
En ny bedrägerimetod på snabbmatsrestauranger har kapat BankID hos uppemot 200 personer.
Bedragarna ber om hjälp att köpa mat och lovar Swisha tillbaka. När offret öppnar bankappen tjuvkikar de på säkerhetskoden, och med den och ett lånat telefonsamtal kan de aktivera ett nytt BankID på sin egen mobil och tömma kontot.
Metoden är så återkommande att åklagare och polis har gett den ett internt namn: ”McDonalds-modus”. Namnet till trots har samma knep använts på flera snabbmatskedjor som McDonald’s, Burger King och Max.
Så går bluffen till steg för steg
Upplägget är lågteknologiskt men effektivt. En eller flera personer kontaktar offret på restaurangen och ber om hjälp att beställa mat, och lovar betala tillbaka via Swish. När offret öppnar Swish eller bankappen står bedragaren tillräckligt nära för att se vilka siffror som trycks in i säkerhetskoden, så kallad shoulder surfing.
Därefter följer det kritiska steget: offret ombeds låna ut telefonen en kort stund, ofta under förevändning att ringa ett samtal. Med både telefonen i handen och säkerhetskoden i huvudet kan bedragaren använda det befintliga BankID:t för att aktivera ett helt nytt BankID på sin egen mobil. Från den punkten har de full kontroll, kan logga in på banken, godkänna överföringar och i värsta fall ta krediter i offrets namn.
Det här skiljer sig från tidigare attackvägar mot BankID, där bedragare i stället kapat offrets mobilnummer via ett SIM-byte eller lurat folk att skanna falska QR-koder på restauranger. Här krävs ingen teknisk förmåga alls, bara en blick över axeln och en lånad telefon.
Omkring 200 drabbade, främst unga
Kammaråklagare Maria Bengtsson uppskattar till SVT att omkring 200 personer kan ha drabbats av liknande upplägg. Fallen sträcker sig från hösten 2024 till hösten 2025 och har hittats i Stockholm, Borås, Halmstad, Jönköping och Värnamo utöver Göteborg.
”Det är relativt nytt och ett fult sätt att lura till sig stora summor pengar på”, säger hon till SVT.
Ett konkret fall är Adam, som hjälpte två främlingar på en Max-restaurang i centrala Göteborg hösten 2024 och blev av med cirka 35 000 kronor. ”Jag drabbades av panik, då jag höll på att förlora massor av pengar”, säger han till SVT. Två män i 20-årsåldern dömdes i augusti 2026 för den typen av bedrägerier, och domarna har överklagats till hovrätten.
Så skiljer du en äkta Swish-betalning från en BankID-kapning
Den viktigaste tekniska skillnaden är vem som initierar transaktionen. En äkta Swish-betalning från någon annan till dig kräver att den andra personen öppnar sin egen app och skickar, du behöver inte göra något i din egen telefon alls för att ta emot pengarna. Den som ber dig öppna ditt BankID eller skriva in din säkerhetskod ”för att betalningen ska gå igenom” ljuger därför per definition.
Polisen i Västra Götaland är tydlig med vilka signaler du ska reagera på. ”Din bank-id-kod är skyddsvärd, visa den aldrig för någon, någonsin”, säger förundersökningsledare Adam Zolynski vid bedrägerisektionen till Göteborgs-Posten. Han manar särskilt unga att säga nej när någon ber om att få låna mobilen: ”Blir du pressad att låna ut mobilen, säg nej. Det är inte oförskämt, det är smart.”
Tre konkreta kontrollpunkter nästa gång någon ber dig om Swish-hjälp på en restaurang:
- Lämna aldrig ifrån dig din olåsta telefon. Behöver någon ringa, låt dem använda sin egen eller en restauranganställds telefon.
- Skriv aldrig in säkerhetskoden med någon annan i synfältet. Täck skärmen eller vrid bort telefonen, precis som du gör vid en bankomat.
- Om du redan aktiverat BankID eller signerat något misstänkt, kontakta din bank omedelbart och be dem spärra både BankID och kontot, och gör en polisanmälan.
Har du redan drabbats är tidsfönstret litet. Bedragaren kan hinna tömma kontot och ansöka om snabblån inom minuter efter att det nya BankID:t aktiverats på deras telefon.
