Smishing — SMS-bedrägerier och hur du skyddar dig 2026

Vad är smishing? Definition och bakgrund

Smishing är en sammanslagning av orden SMS och phishing. Det handlar om bedrägeri-SMS som skickas i massutskick till tusentals svenska mobilnummer varje dag. Bedragarna utger sig for att vara kända företag och myndigheter — PostNord, Klarna, Swish, din bank eller Skatteverket. Syftet är alltid detsamma: att lura dig att klicka på en länk som leder till en falsk webbsida där dina uppgifter stjäls. Under 2025 och 2026 har smishing exploderat i Sverige, och det är nu en av de vanligaste formerna av IT-relaterad brottslighet. Att förstå hur smishing fungerar är avgörande för att skydda både dig själv och dina närstående. Om du vill ha ett heltäckande skydd kan du jämföra ID-skyddstjänster som bevakar om dina uppgifter missbrukas.

Till skillnad från traditionell phishing via e-post utnyttjar smishing det faktum att de flesta litar mer på SMS. Vi är vana vid att få legitima meddelanden från PostNord om paketleveranser, från banken om kontoaktivitet och från Klarna om betalningar. Bedragarna vet detta och kopierar exakt samma ton, format och avsändarnamn. En mobilskärm gör det dessutom svårare att granska webbadressen i länken, vilket ökar risken att man klickar utan att tänka efter.

De vanligaste SMS-bluffarna i Sverige 2026

PostNord-bluffen

Den absolut vanligaste smishing-attacken i Sverige handlar om falska paketmeddelanden. Du får ett SMS som ser ut att komma från PostNord och som informerar om att ett paket väntar på dig. Meddelandet innehåller en länk där du ska betala en liten avgift, vanligtvis 29 eller 49 kronor, för att paketet ska levereras. Länken leder till en falsk PostNord-sida som ser identisk ut med den riktiga. När du anger dina kortuppgifter stjäls de omedelbart. Bedragarna kan sedan använda kortet för större köp eller sälja uppgifterna vidare. PostNord skickar aldrig SMS med begäran om betalning via en länk — kontrollera alltid via PostNords officiella app eller webbplats.

Klarna-bluffen

Falska SMS som ser ut att komma från Klarna informerar om att en betalning misslyckats eller att ditt konto spärrats. Länken leder till en kopia av Klarnas inloggningssida. När du loggar in med ditt personnummer och BankID får bedragarna tillgång till ditt Klarna-konto och kan göra köp i ditt namn. Klarna skickar betalningspåminnelser via sin egen app och via e-post, aldrig via SMS med en klickbar länk till inloggning.

Swish-bluffen

Swish-relaterade bluffar handlar ofta om att du påstås ha fått en Swish-betalning som du måste bekräfta, eller att ditt Swish-konto behöver verifieras. Länken leder till en falsk sida som ber dig logga in med BankID. I verkligheten godkänner du en betalning eller ger bedragaren tillgång till ditt bankkonto. Swish skickar aldrig SMS med begäran om BankID-signering.

Bank-SMS

Bedrägeri-SMS som ser ut att komma från Nordea, SEB, Handelsbanken eller Swedbank varnar om misstänkt aktivitet på ditt konto. Du uppmanas att klicka på en länk för att verifiera din identitet. Den falska banksidan ber om personnummer, inloggningsuppgifter och BankID-signering. Med dessa uppgifter kan bedragarna tömma ditt konto. Din bank kontaktar dig aldrig med SMS som innehåller en inloggningslänk.

Skatteverket-bluffen

Runt deklarationstider cirkulerar SMS som utger sig för att komma från Skatteverket. De handlar om skatteåterbäring som du måste hämta ut genom att klicka på en länk och ange bankuppgifter. Skatteverket betalar alltid tillbaka skatt till det konto du har registrerat hos dem och ber aldrig om bankuppgifter via SMS.

Hur smishing fungerar tekniskt

Bakom varje bluff-SMS finns en teknisk infrastruktur. Bedragarna använder så kallade SMS-gateways som låter dem skicka tusentals meddelanden samtidigt med ett valfritt avsändarnamn. Genom SMS-spoofing kan de få meddelandet att visa "PostNord" eller "Nordea" som avsändare istället för ett telefonnummer. På mottagarens telefon hamnar bluff-SMS:et i samma konversationstråd som riktiga meddelanden från företaget, vilket gör det extremt svårt att skilja bluff från verklighet.

Länkarna i bluff-SMS använder ofta kort-URL-tjänster som döljer den riktiga webbadressen. Den faktiska landningssidan är en noga kopierad version av företagets riktiga webbplats, ibland med en URL som liknar den riktiga men med små ändringar — till exempel "postnord-leverans.se" istället för "postnord.se". Sidorna samlar in all information som offret anger och skickar den direkt till bedragarna. Många falska sidor stängs ned snabbt, men under de timmar de är aktiva kan hundratals personer hinna drabbas.

Skillnad mellan smishing, phishing och vishing

De tre begreppen beskriver samma typ av bedrägeri men via olika kanaler. Phishing sker via e-post, smishing via SMS och vishing via telefonsamtal. Alla tre bygger på social engineering — psykologisk manipulation som utnyttjar tillit, rädsla och brådska. Bedragare kombinerar ofta metoderna: du kan först få ett SMS och sedan ett telefonsamtal som "bekräftar" att SMS:et var äkta. Denna kombination gör attacken mycket svår att genomskåda. Det är därför viktigt att känna till alla tre metoderna för att kunna skydda sig effektivt.

Varningssignaler — Så avslöjar du bluff-SMS

• Oväntade meddelanden: Du väntar inget paket men får ett leverans-SMS. Du har inga obetalda fakturor men får en påminnelse.
• Klickbar länk: Legitima företag hänvisar till sin app eller webbplats — inte via direktlänkar i SMS.
• Brådska och hot: "Agera inom 24 timmar" eller "Ditt konto spärras" är typiska formuleringar i bluffar.
• Begäran om betalning: En liten avgift på 29-49 kr är ett vanligt trick — beloppet är tillräckligt litet för att inte väcka misstanke.
• Språkfel: Även om bluff-SMS blivit bättre på svenska kan de fortfarande innehålla ovanliga formuleringar eller mindre grammatikfel.
• Konstig URL: Kontrollera länken noggrant. Falska sidor har ofta en URL som liknar men inte exakt matchar företagets riktiga adress.
• Begäran om BankID: Ingen seriös aktör ber dig signera med BankID via en länk i ett SMS.

Skyddsåtgärder mot smishing

Det viktigaste skyddet mot smishing är att aldrig klicka på länkar i oväntade SMS. Om du får ett meddelande som påstås komma från PostNord, öppna PostNords app direkt. Om banken ska ha kontaktat dig, logga in via bankens egen app eller ring det officiella numret. Denna enkla vana eliminerar den absoluta majoriteten av smishing-attacker.

Utöver detta bör du aktivera tvåfaktorsautentisering (2FA) på alla viktiga konton, använda en lösenordshanterare och kontrollera regelbundet om dina uppgifter läckt. Se vår guide om BankID-säkerhet för specifika tips. Ett ID-skydd med övervakning av dark web och kreditupplysning ger ett extra lager av trygghet. Du kan jämföra ID-skyddstjänster här för att hitta den som passar dig bäst.

Svenska mobiloperatörer som Telia, Tele2 och Tre har infört SMS-filter som automatiskt blockerar kända bluffnummer och varnar för misstänkta meddelanden. Dessa filter fångar upp en del av trafiken men långt ifrån allt, eftersom bedragarna ständigt byter nummer och metoder. Se SMS-filtret som ett komplement, inte ett fullständigt skydd.

Vad göra om du klickat på en länk i ett bluff-SMS

Om du har klickat på en länk men inte angett några uppgifter är risken begränsad. Stäng webbsidan omedelbart och radera SMS:et. Om du däremot har angett kortuppgifter, personnummer eller signerat med BankID måste du agera snabbt:

1. Kontakta din bank omedelbart och spärra kort och BankID.
2. Byt lösenord på alla konton som kan vara berörda.
3. Gör en polisanmälan på polisen.se eller ring 114 14.
4. Kontakta det företag bedragarna utgav sig för att vara.
5. Aktivera ett ID-skydd för att bevaka om dina uppgifter missbrukas vidare.
6. Kontrollera dina kreditupplysningar regelbundet under de kommande månaderna.

Anmälan till Polisen och andra myndigheter

Alla bedrägerier bör anmälas till Polisen, även om chanserna att fånga den enskilde bedragaren kan vara små. Varje anmälan bidrar till den samlade bilden och hjälper Polisen att identifiera mönster och nätverk. Du kan anmäla på polisen.se eller ringa 114 14. Utöver Polisen bör du rapportera bluff-SMS till din operatör genom att vidarebefordra meddelandet till 7726 (SPAM). Du kan också anmäla bedrägliga webbsidor till internetstiftelsen.se. Om du förlorat pengar bör du kontakta banken för att undersöka möjligheten till återbetalning.

Koppling mellan smishing och identitetsstöld

Smishing handlar inte bara om att stjäla pengar i stunden. De uppgifter som samlas in — personnummer, bankuppgifter, inloggningsuppgifter och BankID-signeringar — kan användas för identitetsstöld. Bedragare kan ta lån i ditt namn, öppna konton, göra stora köp eller sälja dina uppgifter vidare på dark web. Det kan ta månader innan du märker att din identitet missbrukats. Därför är det kritiskt att inte bara skydda sig mot själva SMS:et utan också ha löpande bevakning av sin identitet.

Ett ID-skydd med kreditbevakning, dark web-övervakning och spärrtjänster ger dig en tidig varning om dina uppgifter dyker upp i oväntade sammanhang. Det kan vara skillnaden mellan att stoppa ett bedrägeri i tid och att upptäcka det månader senare när skadan redan är gjord. Läs mer om hur du skyddar dig i vår guide om bedrägerier i Sverige.