QR-koden så trygg ut. Så ble sparekontoen tømt for 42 000 kroner

Som de fleste andre tenker du nok at «det skjer ikke med meg» når du hører ordet svindel. 

Men med svindlernes nye – og stadig bedre – metoder, kan det fort skje hvem som helst, når som helst. For eksempel med såkalt «quishing», altså svindel med QR-koder, som vi tidligere har advart om.

At slik QR-svindel nå begynner å bli mer utbredt, fikk Siv fra Bergen nylig smertelig erfare.

– Jeg vet jo egentlig hvilke forholdsregler man bør ta. I tillegg jobber mannen min i Telenor, så vi er godt oppdatert på sikkerhet og digital kompetanse, forteller hun, og legger til:  

– Men så skjedde ting så fort, du tenker det beste om folk – og så var det plutselig gjort.  

– Alt så legitimt ut – både QR-koden og nettsiden virket ekte.

Det hele startet med at hun la ut sine første annonser på salgsappen Tise. Annonsen for en Nøstebarn-genser til 300 kroner fikk fort napp.

Kort tid etter tikket det nemlig inn en e-post fra en kvinne som kalte seg «Ingrid Hansen». Hun var interessert i genseren, og skrev at hun kunne gjennomføre kjøpet via Tise – dersom Siv bare scannet QR-koden som fulgte med e-posten. Alt skrevet på perfekt norsk.

– E-postnavnet var kanskje litt rart, men det var en vanlig Gmail-adresse. Og da jeg scannet QR-koden med mobilen, kom jeg til det jeg trodde var en betalingsløsning på Tise. Alt så helt legitimt ut, forteller Siv. 

Nettsiden hun ble sendt til hadde navnet Tise i nettadressen, og så ellers identisk ut med appens eget grensesnitt. Der ble hun bedt om å godta budet, og oppgi kortinformasjon for å få pengene utbetalt. 

– Jeg hadde nylig registrert meg i appen, og husket at det ble bedt om bankinformasjon da, noe jeg hoppet over. Så da tenkte jeg at dette stemte.

– Samtidig kom det et pushvarsel fra BankID. Det føltes helt ekte, og slik det normalt pleier å være, sier Siv.

Men da BankID brukte noen sekunder mer enn den normalt pleier å bruke, fikk Siv en dårlig følelse. 

– Jeg gikk inn i nettbanken for å se om jeg hadde fått pengene, og der hadde det plutselig kommet inn 56 550 kroner som ikke hadde stått der like før. 

– Jeg ble forvirret. Jeg trodde kanskje det var en feil fra Tise, eller at «Ingrid» hadde overført for mye. Jeg prøvde å gjøre det riktig igjen, og godkjente en ny BankID-forespørsel som dukket opp med håp om at det ville rette seg. 

Da forsvant 42 000 kroner fra kontoen igjen.

– Jeg kontaktet banken umiddelbart, men ettersom det var en søndag, fikk jeg kun sperret kontoen. Jeg anmeldte også saken til politiet, stengte alle muligheter for å åpne kredittkort hos ulike byråer, og dagen etter ble det opprettet en reklamasjonssak i banken. 

– Da får jeg vite at pengene som kom inn på kontoen min var hentet fra sønnen min sin sparekonto. Denne hadde svindlerne tilgang til, siden det er en barnekonto som står i mitt navn. 

– Jeg fikk helt panikk. Det var ikke en god følelse å bli lurt, og i tillegg hadde jeg latt dem ta sønnen min sine penger.

I ettertid har hun tenkt på at hun burde reagert på at meldingen kom på e-post, til tross for at «Ingrid Hansen» hadde en profil på Tise. 

– Man bør alltid gå via appenes egne meldingsfunksjoner, enten det er Tise eller Finn, sier Siv. 

Noen dager etter den skremmende hendelsen ble pengene heldigvis refundert av banken, og kom tilbake på kontoen igjen.

– Jeg var utrolig lettet – og veldig takknemlig, forteller Siv.

Hun er klar over at ikke alle er like heldige.

– Jeg vet om andre som har måttet betale egenandeler, eller fått avslag. Så jeg ble både overrasket og glad over hvor raskt det gikk. Det hjalp sikkert at jeg selv reagerte så raskt, sier Siv.

Visste du? Med SAFE Svindelforsikring kan du få advokathjelp raskt hvis uhellet er ute.

Hun mener opplevelsen har vært en vekker, og en viktig erfaring hun ønsker å dele med andre. 

– Jeg har blant annet vært veldig åpen med barna mine om det som skjedde. De er åtte og elleve år, og det var viktig for meg å vise at selv voksne kan bli lurt. Det handler ikke om å være dum – men om å være uheldig i et svakt øyeblikk.

Siv ble også rørt da sønnen hennes, etter å ha hørt hva som skjedde, kom bort og ga henne fire 20-kroninger han ønsket at hun skulle ha.  

– Det var en fin trøst. Det traff meg midt i hjertet.

Thorbjørn Busch, fagleder i Telenors avdeling for Abuse, Fraud & Crime, er tydelig på at svindlerne blir stadig mer profesjonelle. Det gjør dem også vanskeligere å avsløre.

– Siv er ikke alene om å ha blitt lurt av denne QR-svindelen. De siste ukene og månedene har vi fått inn en lang rekke tips fra folk som har opplevd akkurat det samme. Det er et klart tegn på at vi har med profesjonaliserte kriminelle å gjøre, sier Busch.

Han påpeker hvordan hele den kyniske og overbevisende fremgangsmåten til svindlerne er skreddersydd for å lure ofrene, inkludert at de må scanne en QR-kode for å motta betaling for varen de vil selge.

– Det at QR-koden også inkluderer en liten Tise-logo, samt at man kommer til en troverdig betalingsside, gir inntrykk av en veldig profesjonalisert prosess, sier Busch.

Han forteller at tipsere til og med har fortalt hvordan den falske siden har en fullt fungerende supportchat – som svarer på norsk.

– Alt dette gir falsk trygghet og legitimitet. Selv om ofrene har kommet inn på en falsk side via QR-koden, er alt bygget opp for å gi inntrykk av at du er i den offisielle appen eller på tjenestens nettside, sier Busch og legger til:

– Det er derfor de bruker QR-koden i første omgang. Du kan ikke se hvor en slik QR-kode leder, det kan jo være hvor som helst.

Det er også blitt så lett og raskt for de kriminelle å lage falske nettsider i stort omfang, at de kan rekke å svindle ofre før nettsidene fanges opp og blokkeres av Telenors sikkerhetsfilter Nettvern.

For å øke troverdigheten til de falske sidene, har svindlerne ofte også hentet ut mye nøkkelinformasjon fra de ekte annonsene – for eksempel hva som selges og prisen på dette.

– Med slike personaliserte falske nettsider er det ekstra lett å tro at du faktisk er inne på en ekte og offisiell betalingstjeneste. Da er det kort vei til at du legger inn bankkontonummer, personnummer og annen informasjon de kriminelle trenger for å logge seg inn på bankkontoen din.

Poenget her er at de kriminelle på slike sider kan se alt du skriver inn av informasjon, for eksempel kontonummer, personnummer og så videre. Dette sitter de parat for å gjenbruke.

– Dette betyr at når du får et BankID-varsel du tror kommer fra for eksempel Tise, så sitter svindlerne i virkeligheten og logger inn på nettbanken din – med informasjonen du akkurat har gitt dem på den falske nettsiden, sier Busch.

Når du videre godkjenner BankID-varselet på mobilen, har du i praksis gitt svindlerne grønt lys for å overføre penger ut av kontoen din.

– Grunnen til at BankID kan «henge» i noen sekunder her, er rett og slett fordi noen sitter i bakgrunnen og gjør en manuell jobb. Slik kan de kjøpe seg litt tid, sier Busch.

Han påpeker også at disse svindeloperasjonene gjerne krever flere BankID-verifiseringer fra ofrene – gjerne en gang for å logge inn i nettbanken, og en annen for å godkjenne overføringen av penger ut.

– For å oppnå dette, kan den falske BankID-innloggingen for eksempel gi inntrykk av at noe feilet, og at du må prøve igjen. Da har i praksis gitt dem alle BankID-godkjenningene de trenger for å tømme kontoen din, sier Busch.

At Siv mottok henvendelsen på e-post, og ikke i Tise-appens innebygde meldingssystem, er heller ikke tilfeldig, sier Busch.

– Slik kan de også omgå sikkerhetssystemene og advarslene som slike markedsplasser gjerne har, og sende folk inne på falske alternativer til de trygge betalingsløsningene appene tilbyr.

Slike e-poster og SMS-er starter ifølge Busch typisk med setninger som «Hei, har prøvd å sende deg melding på Tise …» og lignende.