By Under de senaste två decennierna har jag haft god insyn i en mängd händelser, utredningar och förändrade metoder inom områden som phishing, smishing, vishing, SIM-swapping och VD-bedrägerier. Jag har även föreläst om dessa ämnen, bland annat på Polishögskolan i över tio år, långt innan polisledningen och politiker prioriterade och uttryckte en vilja att bekämpa dessa brottstyper.
Syftet med detta inlägg är att ge dig som läsare ett bredare perspektiv och en djupare förståelse för hur offer för ovan nämnda bedrägerier väljs ut av kriminella grupperingar.
Det finns en utbredd uppfattning att kriminella individer själva söker i offentliga register på internet efter specifika mål, exempelvis ”kvinna, 85+ år, Gävleborgs län”. Även om detta kan ha skett i enstaka fall, är det inte det huvudsakliga problemet.
Att stänga eller begränsa ”svenska digitala telefonkataloger” kommer därför inte att lösa problemet. Efter att ha granskat väldigt många domar och förundersökningar har jag endast i ett fåtal fall sett att denna metod använts. Det vanligare scenariot är istället att kriminella har tillgång till digitala listor eller databaser över individer, inklusive namn, personnummer, deras telefonnummer och operatör mm. Frågan är då varifrån dessa uppgifter kommer. Jag menar att det är genom företag.
Jag anser att regeringens ambitioner att begränsa tillgången till offentliga register liknar att ”sila mygg och svälja kameler”. Det kommer sannolikt inte att påverka de organiserade bedrägerier man avser att stoppa eller begränsa. Istället riskerar det att steg för steg inskränka Sveriges öppna samhälle, vilket kan få negativa konsekvenser för både företag och medborgare.
Historik och utveckling inom telemarketing och avtalssignering
(Detta är min bild)
Mellan 2005 och 2007 övergick svenska teleoperatörer från att ha egna säljavdelningar till att anlita olika callcenterföretag som återförsäljare. Dessa företag arbetade både med att skaffa nya kunder åt operatörerna och med att konkurrensutsätta befintliga kunder, det vill säga att ringa upp kunder till en operatör för att få dem att byta till en annan. Redan då så fanns det en hel del oseriösa aktörer i den då unga men växande telemarketingbranschen.
Under perioden 2007–2010 skedde avtalsbindningar vanligtvis via underskrifter på avtal som faxades in till återförsäljarna. Med tiden ersattes faxen av inskannade och e-postade avtal, men detta ledde ofta till att kunder ångrade sig innan de skickade in sina underskrifter. För att minska detta började återförsäljarna spela in muntliga godkännanden som ljudfiler. När dessa filer visade sig kunna manipuleras ställdes krav på skriftliga beställningar. Det var då som e-postverifieringstjänster som Scrive började användas frekvent för att säkra affärer, och dessa används fortfarande.
Men runt 2015 ändrade Pensionsmyndigheten från att använda ”personnummer + statisk kod” till BankID-inloggning/signering, vilket innebar ett paradigmskifte i den oseriösa delen av branschen. Och till en början så kunde en person i Kiruna mata in en kunds personnummer från Malmö och via telefon uppmana denne att logga in, vilket ledde till att den först väntande inloggningen från Kiruna släpptes in först. Detta rättades med tiden till och är inte längre möjligt, bland annat genom införandet av pushsigneringar och senare QR-koder. Men redan 2015 var vi många som förstod att detta skulle vara en kioskvältare för bedragare som nu kunde slippa försöka manipulera skyddade system, utan behövde nu bara manipulera oskyddade människor.
Risker med datahantering och insiderhot
Tänk er nu att alla dessa samtal och olika typer av ”close the deal” utförs av ett betydande antal anställda på många seriösa och säkert hårt arbetande callcenterföretag. Men att några av dessa anställda och/eller företag är kanske inte fullt så seriösa som man kunnat önska. Operatörers eller andra uppdragsgivares kunddatabaser kan stjälas och användas på ett otillbörligt sätt eller förmedlas till helt annan verksamhet. Jämsides med Callcenterverksamheter växte även Spärr- och ID-skyddsföretag fram som en lukrativ bransch att sälja till vettskrämda personer.
(Och jag tänker inte ta den fighten här och nu, men jag skulle själv aldrig välja att bli betalande kund för en sådan tjänst, av den enkla anledningen att den helt enkelt inte fungerar. Det påminner om ”kejsarens nya kläder” – en illusion som faller samman så fort man granskar den närmare, om jag får dra en anekdot.)
Men låt mig istället fortsätta med några andra typer av exempel :
Som den mängd webbaserade företagskataloger som hade säte i Skåneregionen mellan 2011 och 2014 och ”hotsålde” mot företag. Det mest omskrivna bolaget var Företagslansering Sverige AB med sin katalog ”hittaforetagen.se”, men det fanns ytterligare 8–10 bolag med lika många företagskataloger. Detta kom att leda till polisoperationer som fick namn som Draupner, Fafne och Gungner mfl. Alla dessa företagskataloger baserades (enligt trovärdig källa) på att en (1) kunddatabas stulits av en tidigare anställd hos en seriös aktör och sedan sålts vidare till olika kriminella grupperingar i Skåneregionen. För att ni ska förstå hur skevt det yttrar sig så hade nära på samtliga som senare fick en faktura ”tvingats” eller ”lurats” att säga ja i telefonen, medan alla polisanmälningar registrerades som fakturabedrägerier. Kanske var det ”rätt” då, men idag ser det ju knepigt och aningen missvisande ut.
Sen har vi en dom där en individ dömdes för över 70 dataintrång som skedde 2018–2019.
Och i en annan där gärningsperson kommit över läckta användarnamn och lösenord, så döms denne för över 260 konstaterade fall av dataintrång.
Och mitt sista exempel är en dom där det dömdes flera individer för att 2019 ha varit återförsäljare till en operatör och kontaktade en annan operatörs kunder. De missbrukade då inloggningsuppgifter till operatörernas system, inte 71 eller 263 gånger, utan över hundra tusen gånger. Hur den stulna informationen sedan användes framkom dock inte i polisens utredning.
Min erfarenhet är att när sådana incidenter uppdagas lovas först ”bot och bättring” av återförsäljaren. Om det sedan upprepas eller blir omfattande så bryts avtalet mellan uppdragsgivare och återförsäljare, eller så sägs aktuell medarbetare upp. Och sedan är det ”locket på” som gäller. Det är försvinnande sällan som det leder till en polisanmälan och polisiär utredning, och självklart än mer sällan till fällande dom.
Vi vet att det sker, men ingen känner till omfattningen – ingen. Dessutom finns denna typ av adress- och personuppgiftsregister i ett otal branscher och alla är lika sårbara för insiders.
(nedan text är ChatGPT-tolkning av potentiella risker)
Det är viktigt att understryka att jag är övertygad om att de flesta telemarketingföretag och deras anställda arbetar seriöst och hederligt. De problem som beskrivs ovan är kanske begränsade till ett fåtal individer och företag – jag vet ärligt talat inte hur stort problemet är. Dock kan även ett litet antal oseriösa aktörer orsaka betydande skada om stora mängder information hamnar i orätta händer om och om igen.
Kriminella vishing-grupperingar
Polisen har för något år sedan dessutom uppgett att det fanns ett 15-tal svenska kriminella grupperingar som sysslade med vishing-bedrägerier och jag ser det som troligt att de inte använder samma källor/listor eller ens tillvägagångssätt, precis som det är troligt att vissa är mer aktiva än andra.
Men vi vet att det finns mycket nära band mellan våldskriminella grupperingar och flera grupperingar av vishing- och smishing-bedragare.
Siffror från Europol
Europols rapport ”Serious and Organised Crime Threat Assessment” (SOCTA) från 2021 anger att
att 50% av kriminella grupperingar äger eller driver egna bolag medan 80% av dem använder bolag för sin verksamhet (genom infiltrering, penningtvätt mm).
Men i april 2024 publicerade Europol en ny rapport, ”Decoding the EU’s most threatening criminal networks”, där det framgår att 86% av de mest hotfulla kriminella nätverken använder legala affärsstrukturer för att underlätta eller dölja sin kriminella verksamhet samt för att tvätta pengar.
Min egen slutsats
Med tanke på dessa perspektiv är det högst osannolikt att begränsningar av ”digitala telefonkataloger” kommer att ha någon betydande effekt på de brottstyper man avser att begränsa. Istället riskerar sådana åtgärder att skada samhället, hämma innovation och försvåra för framåtblickande företag och medborgare.
– Förblindad av mål och ambition, så riskerar man inte bara att missa målet, utan man spelar även på fel bollplan!
Alltmedan den som inte vill Sverige väl, sitter och gnider sina händer av belåtenhet.
Jag som skriver på internetsweden.se, gör det ideellt och för att upplysa dig om verksamheter som JAG anser att det finns skäl att ifrågasätta och/eller varna för..
Innehållet kan även vara mer generellt om olika tillvägagångssätt, som bedragare använder och det händer även att jag tipsar om utbildning/kunskap som finns att få.
Det är möjligt att anlita mig för konsultuppdrag genom Fidi.se
Peter Forsman – Mottagare av ”Stora Kreditpriset 2018”
Läs mer om:
https://www.internetsweden.se/las-mer-om-internet-sweden/
