Straff för datorbedrägeri

Det började med ett mejl som såg ut att komma från banken. "Bekräfta dina uppgifter för att undvika att kontot spärras." Länken ledde till en webbsida som var en exakt kopia av bankens inloggningssida – men domänen skilde sig med en enda bokstav. En 62-årig kvinna i Lund fyllde i sitt BankID. Inom loppet av fyra minuter hade 340 000 kronor förts från hennes sparkonto till tre olika konton i Litauen. Pengarna försvann vidare genom kryptovaluta. Utredningen tog åtta månader, men en 27-årig man i Malmö greps till slut – hans dator innehöll phishing-kit för 14 olika svenska banker.

Datorbedrägeri regleras i 9 kap. 1 § andra stycket brottsbalken. Till skillnad från vanligt bedrägeri, där en människa vilseleds, handlar datorbedrägeri om att påverka automatisk databehandling – det är maskinen, inte personen, som luras. Straffskalan är densamma som för bedrägeri: fängelse i högst två år vid normalgraden, böter vid ringa fall, och fängelse i lägst sex månader och högst sex år vid grovt brott.

Brottets kärna är att gärningspersonen genom att lämna oriktig eller ofullständig uppgift, genom att ändra i program eller upptagning, eller genom att på annat sätt olovligen påverka resultatet av en automatisk informationsbehandling, bereder sig vinning och orsakar skada för annan. Typiska tillvägagångssätt inkluderar phishing (falska inloggningssidor), skimming (kopiering av kortuppgifter), manipulation av betalsystem, och utnyttjande av stulna inloggningsuppgifter.

Gränsdragning mot vanligt bedrägeri

Den avgörande skillnaden är vem eller vad som påverkas. Vid vanligt bedrägeri (9 kap. 1 § första stycket) vilseleder gärningspersonen en människa – exempelvis genom att ljuga vid ett köp. Vid datorbedrägeri påverkas istället en automatisk process: ett betalsystem, en bankserver, en automatiserad kreditprövning. Om en människa fattar det avgörande beslutet att föra över pengar är det vanligt bedrägeri – om datorn gör det automatiskt efter manipulerad inmatning är det datorbedrägeri.

"Den moderna bedragaren behöver aldrig se sitt offer i ögonen. Ett phishing-mejl kan skickas till hundratusen mottagare – och det räcker att en handfull klickar för att vinningen ska bli betydande."

Grovt datorbedrägeri

Vid bedömningen av om brottet är grovt beaktar domstolen om gärningen rört betydande värde, om den varit av särskilt farlig art, om den utförts systematiskt eller i större omfattning, eller om den inneburit ett svårt missbruk av annans beroendeställning. Phishing-attacker som riktas mot hundratals offer, BankID-bedrägerier med miljonbelopp och organiserad skimming-verksamhet rubriceras i regel som grovt datorbedrägeri med straffmaximum sex års fängelse.

Uppklarning och bevissvårigheter

Datorbedrägeri är notoriskt svårt att utreda. Gärningspersonerna använder VPN, krypterade kommunikationskanaler, utländska servrar och bulvankonton. Pengarna tvättas ofta genom kryptovaluta eller förs ut ur landet via penningmulor – personer som mot ersättning låter sina konton användas som genomströmningskonton. Uppklaringsfrekvensen för datorbedrägeri är lägre än för traditionellt bedrägeri, men IT-forensik och internationellt polissamarbete har förbättrats markant de senaste åren.