Elektronikk du aldri bestilte dukker opp på døren: Dette er det ene du IKKE må gjøre

Historien som gikk viralt denne uken startet med en Reddit-bruker som fant en ny og forseglet iPhone 15 Pro Max på dørstokken. Ingen bestilling, ingen avsender han kjente igjen, bare en fraktetikett fra FedEx som han ikke fant igjen i FedEx' eget sporingssystem, og et serienummer som ifølge Apple var registrert som kjøpt i desember 2023.

Rådet fra sikkerhetshold er entydig: ikke rør på-knappen.

Én ting skal du aldri gjøre

Uansett hvor fristende det er å teste en toppmobil du «fikk gratis»: du skal ikke skru den på, ikke logge deg på en konto og ikke koble den til Wi-Fi. Det er hele poenget med angrepet.

Ubestilte, høyverdige elektronikkgaver behandles i dag som et målrettet forsøk på å plante en overvåket enhet i hjemmet ditt. Skrur du på mobilen og begynner å bruke den, gir du angriperen løpende innsyn: passord, engangskoder, kontoinformasjon og potensielt tilgang til nettbanken din. Ifølge AppleInsider har opplegget så høy verdi per treff at det klassifiseres som «whale phishing», presisjonsangrep mot personer med noe å hente.

Les også: Gjemt i Metas milliardforlik: Selskapet får lov til å beholde barns data for AI-trening

En fabrikktilbakestilling er heller ingen redning. Profiler for fjernstyring av enheten (Mobile Device Management) kan overleve en full nullstilling, advarer AppleInsiders Mike Wuerthele, og en angriper som har lastet inn en slik profil før forsendelsen, sitter fortsatt med kontroll etter at du tror du har vasket telefonen ren.

Rådet er å levere enheten til gjenvinning hos en autorisert forhandler, aldri kaste den i restavfallet på grunn av batteriet, og varsle IT-avdelingen hvis du jobber et sted der du håndterer sensitiv informasjon.

FBI advarer mot en nyere vri

Selv om selve elektronikken er den mest alvorlige varianten, er det langt vanligere at pakken inneholder billig krimskrams pluss et lite kort med en QR-kode. Amerikanske FBI sendte ut en egen advarsel om nettopp den varianten den 31. juli 2025.

FBI beskriver det som en videreutvikling av «brushing»-svindelen, der nettbutikker sender uønskede varer til tilfeldige adresser for å fabrikkere «verifiserte» kundeanmeldelser i mottakerens navn. Nyheten er at kortet i pakken ber deg skanne koden for å «finne ut hvem som har sendt den». Koden fører til en falsk nettside som ligner en bank, en pakkeleverandør eller en offentlig etat, og ber deg om konto- og betalingsopplysninger eller forsøker å installere skadevare på mobilen.

Les også: Svindlere bruker AI til å jukse på Vinted: Plattformen svarer med konkrete råd til selgere

Rådet fra FBI er kort: ikke skann QR-koder fra ukjente kilder, og gå gjennom hvilke tillatelser installerte apper har fått.

Det amerikanske postpolitiet USPIS peker på en tredje risiko som er lett å overse: at dine personopplysninger allerede er kompromittert i det pakken lander hos deg. Adressen din er hentet et sted fra, ofte fra en tidligere datalekkasje, og bør ses som et signal om å bytte passord på viktige kontoer og holde øye med kort- og kreditttrekk fremover.

Slik står du i Norge

Den gode nyheten er at du står sterkt juridisk. Å sende varer til noen som ikke har bestilt dem og deretter kreve betaling regnes som «negativt salg», og det er forbudt etter markedsføringsloven, skriver Forbruker Europa i sin veileder.

Du har ingen betalingsplikt, og du har heller ingen returplikt. Kommer det likevel et betalingskrav eller et inkassovarsel, skal du protestere skriftlig, helst på e-post, og be avsenderen dokumentere at det finnes en avtale. Kan avsenderen ikke det, faller kravet bort, og et inkassobyrå har ikke lov til å drive inn et bestridt krav.

Les også: Batteri lades fullt på tre minutter og tåler 60.000 sykluser: Men mobilen din må vente

Skulle det bli belastet et kort du ikke har godkjent, tar du kontakt med kortutstederen umiddelbart; ikke-godkjente transaksjoner skal tilbakeføres.

Les også: Ladet elbilen for 20 kroner: Fikk regning på 170.000 kroner 15 måneder senere