Fyra ämnen från gårdagens publiceringar: häktad misstänkt i Gotlandsutredning, falsk polis och bank i Agder, finska skattebluffar med påstådda säkerhetsregler samt Danmarks del av Operation Endgame. Den finska varningens ursprungsutskick är från 11 november och markeras som uppföljning. Begränsad isländsk bevakning. Syntetisk röst: Klara med Higgs TTS 3.
Välkommen till Nordisk bedrägerikoll, fredagen den trettonde november. I dag följer vi en bedrägeriutredning på Gotland, en norsk varning för falsk polis och bank, finska bluffmeddelanden som lånar språk från säkerhetsregler och en internationell insats mot skadlig kod. Utgångspunkten är gårdagens publiceringar. Äldre ursprungskällor och bakgrund anges särskilt. Rösten är syntetisk: Klara, skapad med Higgs. Du hittar text och källänkar på avsnittssidan.
Vi börjar på Gotland. Polisen publicerade på torsdagen uppgifter om en man som är häktad, misstänkt för tio fall av grovt bedrägeri. Häktningen skedde redan den sjätte november. Gårdagens nyhet är alltså polisens publicering om utredningen, inte att häktningen ägde rum i går. Mannen har enligt polisen kunnat knytas till en telefon som använts för att skicka bedrägliga sms. Något fällande avgörande redovisas inte.
Meddelandena såg enligt polisens beskrivning ut att komma från en betaltjänst. De påstod att ett betaltjänstkort hade lagts till på en telefon utomlands. Mottagaren uppmanades att ringa ett visst nummer om händelsen inte kändes igen. Den misstänkte ska ha besvarat samtalen. Målsägandena manipulerades därefter att registrera ett nytt betalkort, som sedan användes för olagliga transaktioner. Förundersökningen har pågått i omkring tre månader. Notisen anger inte ett sammanlagt förlustbelopp, och tio misstänkta brott ska inte utan vidare översättas till tio unika drabbade personer.
Vår redaktionella analys är att det centrala steget här är en åtgärd som presenteras som ett skydd mot ett påstått problem. Kunden ska ringa för att stoppa något okänt, men kontakten leder vidare till en ny kortregistrering. För en betaltjänst blir därför en relevant kontrollfråga vad kunden tror att registreringen innebär. Att kunden själv trycker på knapparna säger inte ensamt att syftet är förstått. En annan fråga är hur ett larm om ny kortanvändning kan ge en trygg kontaktväg, så att den som är orolig inte behöver förlita sig på numret i ett oväntat meddelande.
Det här är vår analys av det beskrivna upplägget, inte ett påstående om vilka kontroller den berörda betaltjänsten faktiskt hade. Utredningen behöver fortfarande klarlägga ansvaret. Det går också att hålla två tankar samtidigt: en teknisk registrering kan vara korrekt genomförd, medan instruktionen som fick kunden att göra den var vilseledande. För bedrägeribevakningen är just övergången mellan kontakt och kontoåtgärd därför viktig att förstå.
I Norge varnade polisen i Agder på torsdagen för pågående telefonbedrägerier. Lokalavisen Geita återgav varningen med besked från polisens operativa ledning. Under veckan hade flera personer hört av sig efter samtal från någon som utgav sig för att vara anställd vid polisen i Agder. Den uppringda fick bland annat höra att lån hade tagits i personens namn. Därefter kopplades samtalet vidare till någon som påstod sig representera banken.
Polisen uppgav att det handlar om bedrägeri och uppmanade mottagare att inte lämna personuppgifter eller bankkoder, och att inte överföra pengar på okända personers uppmaning. Något antal lyckade bedrägerier eller någon konstaterad totalsumma redovisades inte i den lästa varningen. Det finns därför inget underlag här för att ange vare sig en förlustnivå eller en procentuell ökning.
Vår analys är att en vidarekoppling kan ge ett falskt intryck av att två skilda institutioner bekräftar samma problem. Först tycks polisen ha upptäckt ett lån, sedan tycks banken kunna hjälpa till. Men de två rösterna är inte i sig två separata verifieringar. En självständigt sökt kontaktväg bryter det beroendet. För kundstödet är en användbar fråga därför inte bara vem som ringde först, utan också om kunden blivit vidarekopplad eller fått instruktioner om vem som ska kontaktas. En sådan fråga kan synliggöra ett sammanhängande förlopp som annars ser ut som flera vanliga samtal.
Vi ska samtidigt vara tydliga med att den norska varningen inte bevisar någon koppling till den svenska utredningen. Det finns en likhet i hur en påstådd säkerhetsincident används för att styra nästa handling. Någon gemensam gärningsperson eller gemensam teknisk infrastruktur har vi inte verifierat och påstår vi inte heller.
I Finland uppmärksammade nättidningen Stara på torsdagen bluffmejl i Skatteförvaltningens namn. Vi har också läst ursprungskällan: ett utskick från organisationen bakom rapporteringsappen Kilpi. Utskicket publicerades den elfte november, alltså dagen före gårdagens medieartikel. Det här är en uppföljande publicering av en varning, inte belägg för att en ny kampanj startade den tolfte.
Enligt utskicket har mejl rapporterats där mottagaren hotas med begränsad tillgång till sitt konto. Meddelandet hänvisar till påstådda säkerhetsbestämmelser för år tvåtusentjugosju och leder vidare till en sida för insamling av uppgifter. Det efterliknar Skatteförvaltningens gröna utseende och namn. Organisationen pekar också på avvikande avsändaruppgifter och portugisisk text som inte passar den påstådda avsändaren. Rapporteringen anger inte hur många som lämnat ut uppgifter eller hur mycket pengar som eventuellt gått förlorade.
Som kompletterande primärkälla har vi läst Skatteförvaltningens egen information om bedrägerier, uppdaterad i juni. Myndigheten säger att dess meddelanden inte innehåller länkar och att den aldrig ber om personliga uppgifter genom ett meddelande. Skatteärenden ska kontrolleras genom den riktiga tjänsten MinSkatt, via myndighetens egen webbadress. Om bankkoder eller kortuppgifter redan lämnats ut är rådet att omedelbart kontakta banken för spärr, och därefter göra en polisanmälan vid misstänkt brott.
Vår analys för den som arbetar med regelefterlevnad är att hänvisningen till kommande regler fungerar som ett auktoritetsargument. Bedragaren lånar känslan av att en skyldighet snart börjar gälla och att snabb identifiering därför är nödvändig. Ett framtida årtal i ett mejl är ingen verifiering av en regeländring. Frågan blir hur kunden själv kan kontrollera både kravet och instruktionen. En organisation som inför en verklig säkerhetsförändring kan därför behöva tänka igenom hur informationen går att bekräfta genom en redan känd kanal. Det är en generell reflektion, inte en uppgift om något nytt finskt regelverk.
Till sist Danmark och den bredare ekonomiska cyberbrottsligheten. Den danska specialpolisen meddelade på torsdagen att skadlig kod tagits bort från över sexhundra webbplatser som använder WordPress. Insatsen hade enligt myndigheten pågått sedan söndagen och gjorts tillsammans med andra länders polis. Den riktades mot Gootloader, som kan ge obehörig tillgång till datorer och möjliggöra bland annat utpressningsangrepp.
Den aktuella delen av insatsen omfattade också tvåhundraarton domäner och fjorton servrar utanför Danmark. Polisen bedömer att stulna lösenord använts för att ta sig in på webbplatserna. Den beskriver att en bakdörr installerats och att polisinsatsen tagit bort angriparnas tillgång. Ägarna fick information om hur säkerheten kan förbättras. Antalet webbplatser är inte samma sak som ett antal utpressade företag eller ett mått på återvunna pengar.
Europol publicerade samma dag en bredare redogörelse för Operation Endgame. Där ingår även insatser mot andra typer av skadlig kod. Europol beskriver hur falska juridiska dokument på angripna webbplatser använts för att få personer att ladda ned Gootloader. Myndigheten uppger också att miljontals stulna inloggningsuppgifter identifierats i den kriminella infrastrukturen. Sådana uppgifter kan säljas vidare och utnyttjas vid nya angrepp. De internationella totalsiffrorna ska inte behandlas som enbart nordiska resultat.
Vår analys är att nyheten visar varför bedrägerier och annan ekonomisk brottslighet inte alltid går att avgränsa vid betalningen. Vilseledande dokument kan vara ett första steg. Stulna inloggningsuppgifter kan bli en handelsvara. En annan aktör kan sedan använda åtkomsten för utpressning. Men att en sådan kedja är möjlig betyder inte att varje angripen webbplats lett till alla dessa följdbrott. För en verksamhet blir en konkret uppföljningsfråga vad som behöver göras efter att kod har rensats bort. Har tidigare åtkomst hanterats och behöver berörda konton säkras? En rensad webbplats ger inte ensam svaret på alla följdfrågor.
Det var dagens fyra ämnen. Sverige, Norge, Finland och Danmark finns med. Vi sökte också på isländska men hittade inget nytt relevant inslag som kunde verifieras tillräckligt inom genomgången. Det är en bevakningslucka, inte en bedömning av hur mycket brott som inträffade på Island. Källorna är länkade med sina publiceringsdatum, inklusive den finska varningens tidigare ursprung. Tack för att du lyssnade på Nordisk bedrägerikoll.