BankID-bedrägeri: vad gör du om du redan har signerat?

Du får ett samtal som verkar komma från banken. Personen säger att något är fel med ditt konto och ber dig identifiera dig eller signera med BankID för att ”stoppa” en transaktion. Först efteråt inser du att samtalet kan ha varit ett bedrägeri. I det läget är den viktigaste frågan inte varför du blev lurad, utan vad du gör under de närmaste minuterna.

Om du redan har signerat med BankID bör du agera direkt: avsluta kontakten med den som ringde eller skrev, kontakta din bank via bankens officiella kontaktväg, be banken kontrollera och vid behov spärra BankID, kort och pågående betalningar, och gör sedan en polisanmälan. Polisen rekommenderar uttryckligen att banken kontaktas först för att försöka stoppa fortsatt bedrägeri. Om brottet pågår just nu eller polisen behövs omedelbart ska du ringa 112; annars används 114 14 eller polisstation för anmälan.

1. Avsluta kontakten och använd inte länken du fick

Det första steget är enkelt men viktigt: lägg på, sluta svara och öppna inte fler länkar från samma sms, mejl eller chatt. Ring inte heller tillbaka på ett telefonnummer som bedragaren har gett dig. Använd i stället bankens nummer från bankens egen webbplats, app eller från ett kort du redan har.

Det här är särskilt viktigt eftersom telefonbedrägerier ofta bygger på stress. Bedragaren kan påstå att pengar håller på att försvinna, att ett lån måste stoppas eller att du behöver ”säkra” ditt konto. Polisen beskriver just den typen av manipulation som vanlig vid vishing och varnar för att identifiera sig med BankID på någon annans uppmaning.

2. Ring banken direkt – innan du försöker reda ut allt själv

Kontakta banken så snart du kan. Förklara tydligt att du misstänker ett BankID-bedrägeri och att du redan har legitimerat dig eller signerat något. Be banken kontrollera vilka åtgärder som kan behövas för att stoppa fortsatt skada.

Polisens vägledning för bedrägerier anger att banken kan ha möjlighet att stoppa en nyligen genomförd transaktion och att bankkort, BankID och överföringar kan behöva spärras. BankID hänvisar privatpersoner till den bank som utfärdat deras BankID för support, och BankID:s egna dokument anger att BankID kan spärras via internetbanken eller genom kontakt med den utfärdande banken.

Be banken gå igenom följande med dig:

• om ditt BankID bör spärras omedelbart,
• om ett nytt BankID har beställts eller aktiverats,
• om betalningar, Swish-överföringar eller andra överföringar har gjorts eller väntar på att genomföras,
• om kort behöver spärras,
• om några säkerhetsinställningar, mottagare eller beloppsgränser har ändrats.

Exakt vilka kontroller banken kan göra beror på vilken bank och vilken tjänst som berörs. Följ därför bankens instruktioner i det konkreta ärendet.

3. Ta reda på vad du faktiskt signerade

Att ”ha signerat med BankID” kan betyda olika saker. Du kan ha identifierat dig, godkänt en betalning, signerat ett avtal, godkänt att ett nytt BankID skapas eller bekräftat någon annan digital åtgärd. Därför behöver du så snabbt som möjligt fastställa vad signeringen användes till.

I BankID-appen finns historik över användningen. BankID har uppgett att historiken bland annat kan visa om du identifierade dig, gjorde en betalning eller signerade något samt hur du bekräftade åtgärden. Däremot har BankID inte detaljer om exempelvis exakt vad du köpte, vilket belopp du betalade eller vilket dokument du signerade. Den informationen finns hos den e-tjänst eller organisation där BankID användes.

Kontrollera därför både BankID-historiken och bankens transaktionshistorik. Om signeringen skedde hos ett företag, en kreditgivare, marknadsplats eller annan tjänst, kontakta även den aktören via dess officiella webbplats och fråga vad som registrerats i ditt namn.

Det är klokt att skriva ned tider, belopp, mottagare och de namn eller telefonnummer som förekom. Ta skärmbilder av sms, mejl, samtalslistor, webbadresser och bekräftelser innan något raderas.

4. Polisanmäl och spara underlaget

När banken är kontaktad bör du polisanmäla bedrägeriet. Polisen anger att misstänkta telefon- och nätfiskebedrägerier ska anmälas och att skriftlig bevisning som kontoöverföringar, sms och mejl bör sparas. För bedrägerier som inte pågår akut kan du ringa 114 14 eller besöka en polisstation. Ring 112 om brottet pågår eller om polisen behöver komma omedelbart.

Förbered gärna följande innan du anmäler:

• telefonnummer, mejladress eller konto som kontaktade dig,
• tidpunkt för samtal, sms och BankID-användning,
• vad personen uppgav sig representera,
• vilka instruktioner du fick,
• vilka belopp eller mottagare som syns i banken,
• skärmbilder och andra bevis,
• bankens besked om eventuella spärrar eller transaktioner.

Polisens aktuella information om telefonbedrägerier finns på Polismyndighetens sida om telefonbedrägeri och vishing. För nätfiske finns även Polismyndighetens information om phishing.

5. Reklamera misstänkta transaktioner till banken

Om pengar har försvunnit eller en transaktion har genomförts som du anser vara obehörig, be banken förklara hur du gör en formell reklamation. Polisens stödmaterial om bedrägerier anger också reklamation till banken som ett separat steg efter att banken kontaktats och polisanmälan gjorts.

Det är viktigt att inte dra slutsatsen att ”BankID användes, alltså är allt automatiskt förlorat”. Bedömningen av ansvar kan bero på exakt vad som hände, vem som faktiskt genomförde transaktionen, vad du godkände och hur dina personliga behörighetsfunktioner användes. Allmänna reklamationsnämnden, ARN, har prövat flera olika BankID-relaterade bedrägerifall och bedömningarna har varierat beroende på omständigheterna.

Det innebär också att du bör beskriva händelseförloppet noggrant i reklamationen i stället för att bara skriva att du ”signerade med BankID”. Ange vad du trodde att du godkände, vilken information som visades, vem som kontaktade dig och vad som hände därefter. ARN publicerar vägledande beslut om obehöriga transaktioner på sin officiella sida för vägledande beslut.

6. Kontrollera om signeringen skapade fler risker

Ett BankID-bedrägeri behöver inte sluta med den första signeringen. Om bedragaren lyckades skapa ett nytt BankID, ändra gränser, lägga till mottagare eller få tillgång till annan personlig information kan risken fortsätta även efter att du avslutat samtalet.

Be banken bekräfta vilka BankID som är aktiva. BankID:s supportmaterial förklarar att bankerna utfärdar BankID och att processen varierar mellan banker. Vid misstanke om missbruk kan banken spärra BankID; BankID:s integritetspolicy beskriver också att spärrinformation behandlas vid exempelvis misstanke om bedrägeri eller olovlig användning.

Kontaktuppgifter till banker som utfärdar BankID finns på BankID:s officiella kontaktsida för privatpersoner.

7. Om du även signerade ett avtal eller en kredit

Om du upptäcker att signeringen gällde ett lån, köp, abonnemang eller annat avtal behöver du kontakta den berörda motparten direkt. Förklara att du bestrider eller ifrågasätter åtgärden eftersom den skedde i samband med ett misstänkt bedrägeri. Be om en kopia av avtalet, tidsstämplar och annan dokumentation som visar vad som signerades.

BankID beskriver en BankID-signatur som motsvarande en fysisk underskrift, vilket är just varför en felaktigt initierad signering måste tas på allvar. Samtidigt avgör inte BankID i sig alla civilrättsliga frågor om ett avtal. Om en tvist uppstår kan omständigheterna behöva bedömas separat av banken, företaget, ARN eller i vissa fall domstol.

Så kontrollerar du att du har begränsat skadan

När de akuta stegen är klara bör du göra en sista kontroll. Målet är att du ska kunna svara ja på följande punkter:

• Jag har avslutat kontakten med bedragaren och använder inga länkar eller nummer som personen skickade.
• Jag har pratat med min bank via en verifierad kontaktväg.
• Banken har kontrollerat om BankID, kort eller överföringar behöver spärras.
• Jag har gått igenom BankID-historiken och bankens transaktioner.
• Jag har sparat sms, mejl, telefonnummer, skärmbilder och tidsuppgifter.
• Jag har polisanmält händelsen om jag misstänker bedrägeri.
• Jag har reklamerat misstänkta transaktioner eller kontaktat den aktör vars avtal eller tjänst kan ha signerats.
• Jag har fått klarhet i vilka BankID som fortfarande är aktiva och om ett nytt BankID behöver beställas.

Viktigast att komma ihåg

Har du redan signerat med BankID i en misstänkt bedrägerisituation är snabb kontakt med banken den viktigaste första åtgärden. Försök inte först analysera allt på egen hand. Banken kan ha möjlighet att stoppa eller begränsa fortsatt skada, och därefter kan du dokumentera händelsen, polisanmäla och reklamera eventuella obehöriga transaktioner.

Som förebyggande regel är Polisens råd tydligt: identifiera dig inte med BankID och lämna inte ut koder på uppmaning av någon som oväntat kontaktar dig. Seriösa aktörer ska inte pressa dig att logga in på det sättet. Om du är osäker, avsluta samtalet och kontakta organisationen själv via dess officiella kanal.