Ny svindeltrend rammer nordmenn: Slik fungerer «Clickfix» og hybrid-svindel

Mens samlede tap fra svindel falt i første halvår av 2025, øker antall forsøk og kompleksiteten i metodene. Spesielt to trender peker seg ut i 2026: såkalt hybrid-svindel, der kriminelle kombinerer flere teknikker mot samme offer, og «Clickfix», en metode som får brukeren til å lime inn ondsinnet kode på egen maskin.

Finans Norge oppsummerer status og tiltak for 2026 og slår fast at bankene i fjor stanset betalinger for 1,5 milliarder kroner på vei til kriminelle. Likevel er aktiviteten høy, og manipulasjonssvindel der offeret selv utfører transaksjonen, er det området som vokser raskest.

Hva er hybrid-svindel

Hybrid-svindel beskriver angrep der flere kjente metoder vikles sammen i én og samme sak. Et offer kan først bli kontaktet med en phishing-melding, deretter ringt opp av noen som utgir seg for å være banken eller politiet, og til slutt brukt som mellomledd for å flytte pengene videre.

Flere norske banker rapporterer om denne utviklingen, og bankene har lansert nye tiltak for å avdekke mønstrene tidligere. Gry Nergård, fagdirektør antisvindel i Finans Norge, peker på at metodene smelter sammen og at samme offer ofte angripes i flere ledd.

Den klassiske «trygg konto»-svindelen er ofte navet i slike saker. Offeret får beskjed om at kontoen er kompromittert og må «sikre» pengene ved å flytte dem til en oppgitt konto, som i realiteten kontrolleres av svindlerne. I hybrid-varianten brukes deretter unge såkalte pengemuldyr til å videreføre beløpet og dekke sporene. Svindel.no, som driftes av bankenes felles informasjonstjeneste, beskriver hvordan ungdom helt ned i 15-årsalderen rekrutteres via sosiale medier til å låne ut kontoer mot en liten andel av beløpet.

Slik fungerer Clickfix steg for steg

Clickfix er en sosial manipulasjonsteknikk som har eksplodert i omfang det siste året. Microsofts trusselanalytikere beskriver mekanismen slik: Offeret havner på en nettside som etterligner en vanlig Google reCAPTCHA eller Cloudflare-verifisering. I stedet for en bildeoppgave blir brukeren bedt om å trykke Windows-tasten og R, deretter Ctrl og V, og til slutt Enter, angivelig for å fullføre verifiseringen.

Det brukeren ikke ser, er at nettsiden i bakgrunnen har kopiert en PowerShell-kommando inn på utklippstavlen. Når kommandoen limes inn i Kjør-vinduet og kjøres, lastes informasjonstyver eller fjernstyringsverktøy ned i det skjulte.

Telenors sikkerhetsavdeling beskriver kjernen i metoden kort: Brukerne presenteres for falske feilmeldinger og får deretter instruksjoner om å kopiere og kjøre en kommando. Thorbjørn Busch, leder for Fraud, Crime & Abuse i Telenor Norge, plasserer Clickfix sammen med informasjonstyvere som en av de mest fremtredende metodene mot privatpersoner i 2025.

Hvor stort omfanget er, har Microsoft tallfestet: Clickfix står nå bak en betydelig andel av alle innledende angrep selskapet observerer, og brukes til å levere kjente skadevarefamilier som Lumma Stealer, DarkGate og AsyncRAT.

Fem advarselssignaler

Med kunstig intelligens som drivkraft blir både e-poster og falske nettsider stadig vanskeligere å avsløre. En YouGov-undersøkelse referert av Telenor viste at åtte av ti nordmenn frykter at kunstig intelligens vil gjøre det vanskeligere å gjenkjenne svindel. Telenors sikkerhetsfiltre blokkerte alene rundt 2,1 milliarder utrygge nettsider og forsøk på digital kriminalitet i 2025.

Det finnes likevel klare advarselssignaler å se etter:

• En CAPTCHA eller «verifisering» som ber deg trykke Windows-tasten og R, eller åpne PowerShell. Ekte CAPTCHA-er krever aldri at du kjører kommandoer på maskinen.

• Telefonoppringninger fra noen som hevder å være fra banken eller politiet, og som ber deg flytte penger til en «trygg konto». Verken banker eller politi vil noensinne be om dette.

• Pressede tidsfrister og trusler om kontosperring eller etterforskning hvis du ikke handler raskt.

• Tilbud om enkel inntjening mot at du låner ut bankkontoen din til å motta og videresende penger.

• E-poster og meldinger der språk og grafikk er nær perfekte, men avsenderadressen eller lenkemålet ikke matcher den oppgitte avsenderen.