Straff för phishing-bedrägeri

En pensionär i Kalmar får ett SMS från sin bank. Meddelandet ser äkta ut – bankens logotyp, rätt avsändarnamn, en varning om misstänkt aktivitet på kontot. "Verifiera dina uppgifter omedelbart." Länken leder till en kopia av bankens webbplats, pixel för pixel identisk. Hon loggar in med sitt BankID. Inom femton minuter har 340 000 kronor försvunnit.

Phishing – nätfiske – är en form av bedrägeri som regleras i 9 kap. 1 § brottsbalken. Brottet innebär att genom vilseledande förmå någon till handling som innebär vinning för gärningspersonen och skada för den vilseledde eller någon i vars ställe denne är. Det som särskiljer phishing från andra bedrägerier är metoden: falska webbplatser, mejl eller SMS som utger sig för att komma från betrodda avsändare.

Straffskalan för bedrägeri av normalgraden sträcker sig från böter till fängelse i högst två år. Grovt bedrägeri – 9 kap. 3 § BrB – ger fängelse i sex månader till sex år. Phishing-bedrägerier som rör stora belopp eller drabbar många personer bedöms ofta som grova.

Så fungerar phishing i praktiken

Moderna phishing-kampanjer är industriella operationer. Gärningspersonerna köper domännamn som liknar bankernas, skapar pixel-perfekta kopior av webbplatser, och skickar ut tusentals SMS eller mejl via spoofade avsändarnummer. Offret leds till att uppge inloggningsuppgifter, personnummer eller BankID-koder – information som sedan används för att tömma konton eller ta lån.

Vishing – röstfiske – är en variant där bedragaren ringer och utger sig för att vara från banken, polisen eller Skatteverket. Smishing är SMS-varianten. Spear phishing riktar sig mot specifika individer med personlig information som gör bedrägeriet trovärdigt.

"Banken ringer aldrig och ber dig legitimera dig med BankID. Polisen ringer aldrig och ber om dina kontouppgifter. Om det händer – lägg på."

Juridisk bedömning och straffmätning

Vid straffmätningen väger rätten in beloppets storlek, antalet drabbade, graden av planering och sofistikering, samt om brottsligheten skett i organiserad form. Phishing som del av organiserad brottslighet bedöms strängare. Att rikta sig mot äldre eller andra särskilt sårbara grupper är en försvårande omständighet.

En central utmaning är att phishing ofta är gränsöverskridande. Gärningspersonerna befinner sig utomlands, använder VPN och krypterade kanaler, och pengarna slussas genom målvakter och kryptovalutor. Uppklarningsfrekvensen är låg – men inte obefintlig. Polisens nationella bedrägericenter (NBC) har utvecklat nya metoder för att spåra digitala penningflöden.

Ansvar för målvakter och medhjälpare

Den som låter sitt konto användas för att slussa phishing-pengar – en så kallad penningmålvakt – gör sig skyldig till penningtvättsbrott (penninghäleri). Straffskalan för penningtvätt av normalgraden är fängelse i högst två år, och grovt penningtvätt ger upp till sex år. Många målvakter rekryteras via sociala medier med löften om enkel förtjänst – men slutar med fällande dom.

För den som drabbats gäller: kontakta banken omedelbart. Ju snabbare du agerar, desto större chans att pengarna kan spärras. Polisanmäl och dokumentera allt – spara SMS, mejl och skärmdumpar. Bankerna har i flera fall ersatt kunder som drabbats av sofistikerade phishing-attacker, men det är ingen garanti.