Slik kan kriminelle sende deg SMS fra bankens eget nummer, og det går ikke an å oppdage

Teknikken er kjent som IMSI-fanger og krever bare et stykke radioutstyr og en bil. Da en 25 år gammel malaysisk statsborger kjørte rundt i Oslo og Bergen med en slik enhet sensommeren 2023, ble nesten 245.000 mobiltelefoner forsøkt rammet i løpet av tre uker.

Mannen ble dømt til tre års fengsel av Oslo tingrett i januar 2024 for cirka 245.000 forsøk på bedrageri og 103 fullbyrdede bedragerier. Saken ble omtalt som den første i sitt slag i Norge.

Slik virker den falske basestasjonen

En IMSI-fanger er et apparat som utgir seg for å være en mobilmast. Når en telefon kommer innenfor rekkevidde, kobler den seg på masten med sterkest signal, og kriminelle utnytter dette ved å plassere sitt eget utstyr nær folk. Apparatet tvinger telefonene først over på 4G, deretter ned på det mindre sikre 2G-nettverket, der det er trivielt å sende meldinger som ser ut til å komme fra et hvilket som helst nummer.

Det er nettopp dette som gjør angrepet så vanskelig å oppdage. Den falske SMS-en legger seg i samme samtaletråd som ekte meldinger fra banken, og avsenderfeltet viser bankens egentlige navn eller nummer. Et eksempel på en av meldingene som ble sendt under operasjonen lød: «Your bank card is now restricted due to detection of illegitimate use. To restore all functions please verify the information at: https://www.dhnbeciobs.top».

Lenken ledet videre til kopier av nettsidene til DNB, Bank Norwegian og DHL, der ofrene tastet inn kortnummer og kortopplysninger.

Slik ble svindleren tatt

Saken sprakk ikke fordi noen anmeldte en SMS. Den falske basestasjonen ble fanget opp av Nasjonal sikkerhetsmyndighet, som plukket opp mistenkelige radiosignaler i Oslo sentrum sensommeren 2023. Først ble det mistenkt utenlandsk spionasje, og Politiets sikkerhetstjeneste ble varslet. Etterforskningen viste at det dreide seg om organisert bedrageri.

Mannen ble pågrepet 8. september 2023. Førstestatsadvokat Marianne Bender i Økokrim mente seks års fengsel ville vært riktig straff og vurderte å anke tingrettens dom. Retten beskrev forholdet som «en svært samfunnsskadelig kriminalitet som rammer tilliten til banker og digitale banktjenester».

Norge er et attraktivt mål

Nordmenn troner høyt på lista over europeiske svindelmål. En analyse av nordisk svindel i 2026 peker på eksepsjonell formue per innbygger og nær universell digital bankbruk som forklaring på at privatpersoner i Nord-Europa rangerer høyt blant prioriterte ofre for internasjonale svindelnettverk.

Etter den første dommen har lignende metoder dukket opp i flere europeiske land, blant annet med arrestasjoner i Storbritannia og en stor tiltale i Frankrike.

Det eneste som faktisk beskytter

Avsenderfeltet er ikke til å stole på når en IMSI-fanger er i sving. Norsk kommunikasjonsmyndighet ber folk være «kritisk til alle lenker i en SMS», og Nkoms anbefaling er konkret: sjekk at lenken slutter på .no før første skråstrek, og åpne bank-appen direkte fra hjemskjermen i stedet for via en lenke.

Har du allerede klikket og oppgitt kort eller koder, gjelder følgende: kontakt banken umiddelbart slik at kort og konto kan sperres, bytt passord på alle tjenester der det samme passordet brukes, og anmeld forholdet til politiet på politiet.no.