Hur skyddar jag mig mot phishing-e-post?

Phishing är det vanligaste hotet mot företag

Phishing-attacker har utvecklats dramatiskt de senaste åren. Där förfalskade mejl förr innehöll uppenbara stavfel och dålig formatering ser många moderna phishing-försök professionella ut och kan lura även erfarna användare. Från 2025 och framåt använder angripare AI-verktyg för att skapa övertygande meddelanden på perfekt svenska.

Målet är alltid detsamma: lura dig att klicka på en länk, ladda ner en bilaga eller avslöja känslig information som lösenord, kreditkortsuppgifter eller inloggning till företagssystem.

Kontrollera avsändaren noga

Det första du ska göra när du får ett oväntat mejl är att granska avsändaradressen. Klicka på namnet för att se den fullständiga e-postadressen. Phishing-mejl använder ofta adresser som liknar legitima företag men har små stavfel eller använder fel domän.

Exempel på vanliga tricks

• Liknande domäner: support@bankk.se istället för support@bank.se
• Fel toppdomän: info@paypal.com.br istället för info@paypal.com
• Subdomäner som vilseleder: paypal.com.scam-site.com där det ser ut som Paypal men egentligen är scam-site.com som äger domänen
• Display-namn som ljuger: Mejlet visar "Swedbank" som avsändare men e-postadressen är random123@gmail.com

Legitima företag skickar alltid från sina officiella domäner. Om du får ett mejl som påstår vara från din bank men kommer från en Gmail- eller Hotmail-adress är det garanterat phishing.

Klicka aldrig på misstänkta länkar

Phishing-mejl innehåller nästan alltid en länk som leder till en falsk inloggningssida. Hovra över länken (utan att klicka) för att se den faktiska URL:en. Om länken säger "swedbank.se" men hovrar visar "swedbank-login.tk" eller någon annan konstig adress, klicka inte.

Gå direkt till sajten istället

Om ett mejl påstår att du måste logga in på din bank, din e-posttjänst eller något annat konto, öppna en ny flik och skriv in adressen manuellt istället för att klicka på länken. På så sätt vet du att du hamnar på rätt sajt.

Samma gäller för bilagor. Öppna aldrig bilagor från okända avsändare, och var skeptisk även till bilagor från bekanta om mejlet känns konstigt. Attackerare kan ha kaprat någons e-postkonto och skickar phishing-mejl från det.

Aktivera tvåfaktorsautentisering (2FA)

Tvåfaktorsautentisering är ditt starkaste skydd om du ändå skulle råka ge bort ditt lösenord. Även om en angripare får tag på din inloggning kan de inte komma in utan den andra faktorn, som vanligtvis är en kod från din telefon.

Välj rätt typ av 2FA

Det finns flera varianter av tvåfaktorsautentisering:

• Authenticator-appar (Google Authenticator, Microsoft Authenticator, Authy): Säkrast och rekommenderas
• SMS-koder: Bättre än inget men kan kapas via SIM-swapping
• Hårdvarunycklar (YubiKey): Mest säkert men kräver investering och fungerar inte överallt

Undvik SMS om du kan välja authenticator-app istället. SMS-koder kan fångas upp av angripare som lyckas övertala ditt telefonbolag att flytta ditt nummer till ett nytt SIM-kort.

Var skeptisk mot brådska och hot

Phishing-mejl försöker skapa panik för att du ska agera utan att tänka. Vanliga tactics inkluderar:

• "Ditt konto stängs om du inte verifierar inom 24 timmar"
• "Vi har upptäckt misstänkt aktivitet, klicka här omedelbart"
• "Du har vunnit ett pris, hämta ut det nu"
• "Faktura förfallen, betala direkt för att undvika extra avgifter"

Legitima företag ger dig alltid tid att agera och hotar inte med omedelbara konsekvenser. Om ett mejl känns stressande eller kräver snabb handling, ta ett djupt andetag och dubbelkolla avsändaren innan du gör något.

Utbilda dig själv och dina medarbetare

Människan är ofta den svagaste länken i säkerhetskedjan. Regelbunden utbildning i hur phishing-attacker ser ut och fungerar minskar risken dramatiskt. Vissa företag kör simulerade phishing-tester där de skickar falska phishing-mejl till anställda för att se vem som klickar, och ger sedan extra träning till dem som råkar gå på bluffen.

Uppmuntra en kultur där det är okej att fråga om något känns konstigt. Hellre en falsk varning än ett äkta dataintrång.

Tekniska skydd som hjälper

Spam-filter och antivirus

Se till att ditt webbhotells spam-filter är aktiverat och konfigurerat korrekt. De flesta moderna filter fångar upp majoriteten av phishing-försök, men räkna inte med att de stoppar allt. Komplettera med ett bra antivirusprogram som skannar e-postbilagor innan de öppnas.

E-postautentisering

Konfigurera e-postskydd med SPF, DKIM och DMARC för din egen domän. Detta förhindrar inte att du får phishing-mejl, men det gör det mycket svårare för angripare att förfalska mejl som ser ut att komma från ditt företag.

E-postklienter med varningar

Moderna e-postklienter som Gmail och Outlook varnar automatiskt när ett mejl verkar misstänkt. Ta dessa varningar på allvar. Om Gmail säger "Detta mejl kunde inte verifieras" eller visar en röd varningssymbol, tänk två gånger innan du interagerar med innehållet.

Vad du ska göra om du klickat på en phishing-länk

Om du misstänker att du råkat ut för phishing, agera snabbt:

1. Byt lösenord omedelbart för det konto du angav uppgifter till
2. Aktivera tvåfaktorsautentisering om det inte redan är aktivt
3. Kontrollera inloggningshistorik för att se om någon obehörig har varit inne
4. Scanna datorn med antivirus ifall du laddade ner någon skadlig fil
5. Meddela IT-avdelningen om du är på ett företag
6. Bevaka ditt bankkonto om du angav kortuppgifter

Ju snabbare du agerar, desto mindre skada kan angriparen göra. Många attacker upptäcks inte förrän veckor senare, vilket ger förövarna tid att sprida sig i företagsnätverk eller tömma bankkonton.