Polisen gick 25 maj 2026 ut med en skarp varning: antalet bluff-mejl mot företag har ökat märkbart, och attackerna blir allt mer sofistikerade. Bedragarna kapar riktiga e-postkonton, läser tidigare konversationer och skickar trovärdiga betalningsuppmaningar som lurar även erfarna ekonomihandläggare.
Det korta svaret på vad du behöver göra: verifiera ovanliga betalningar via en annan kanal än e-post, slå på multifaktorsautentisering på alla konton, och se till att ekonomipersonalen vet hur ett VD-bedrägeri ser ut. Det här gäller dig oavsett om du är solo-konsult med en kund eller har en hel ekonomiavdelning.
Siffrorna bakom varningen
Bedrägeribrotten i Sverige ökade med 22 procent mellan 2022 och 2023, från 195 929 till 238 371 anmälda ärenden enligt Brottsförebyggande rådet. Under första halvåret 2023 ökade bedrägerier specifikt riktade mot företag med 23 procent enligt Polisens egen rapport. Trenden har fortsatt och accelererat fram till dagens varning.
Lotta Mauritzson vid Polisens nationella bedrägericentrum är tydlig med varför företag är måltavlan: ”Bedrägeriförsöken mot företag kommer inte att avta. Uppläggen genererar mycket mer pengar än bedrägeri mot privatpersoner.”
En enskild lyckad attack mot ett företag kan ge bedragaren hundratusentals kronor på en eftermiddag. Det förklarar varför resurserna läggs där.
De tre vanligaste upplägg du måste känna igen
Polisen pekar ut tre huvudsakliga metoder. De ser olika ut men bygger på samma princip: skapa tillräcklig auktoritet och tidspress för att betalningen ska gå igenom utan dubbelkoll.
- VD-bedrägeri: Ett mejl som ser ut att komma från vd eller annan högt uppsatt chef ber ekonomin om en brådskande betalning. Ofta med krav på sekretess: ”Säg inget till de andra, vi tar det här efter mötet.” Avsändaradressen är förfalskad eller väldigt lik den riktiga.
- Falska fakturor: Ett mejl från en känd leverantör meddelar att bankuppgifterna ändrats. Ny fakturan ska betalas till det nya kontot. Allt annat ser normalt ut, ofta också fakturalayouten.
- Kapade e-postkonton: Den farligaste varianten. Angriparen har tagit över ett riktigt konto, läst igenom konversationer och svarar i en pågående tråd. Ingen avsändaradress är förfalskad, mejlet kommer från den faktiska adressen.
Det är skillnad på de två första och den tredje. Vid kapade konton hjälper inte tekniska e-postfilter, eftersom mejlet är äkta på avsändarsidan. Här blir den manuella verifieringen avgörande.
En variant som riktar sig mot mindre företag
I Norrbotten har Polisen sett ett upplägg som börjar i telefonen. Ett SMS från påstått Qliro eller Sergel Inkasso meddelar att en faktura är obetald. Mottagaren ringer numret i SMS:et och kopplas till en person som utger sig för att vara bankrepresentant.
Sedan följer instruktioner om att ladda ner programvara eller skanna en QR-kod, allt under förespegling att ”verifiera identiteten” eller ”stoppa betalningen”. Resultatet är att bedragaren får direktåtkomst till bankkontot.
Den varianten drabbar ofta småföretagare och egenföretagare där samma person sköter både ekonomi och praktiska ärenden. Risken ökar när man är stressad och vill bli av med ett påstått problem snabbt.
Sex röda flaggor i ett mejl
Innan du betalar något, gå igenom listan. Ett enda kryss kan räcka för att stoppa upp och ringa istället.
- Brådska: ”Måste betalas inom 2 timmar”, ”innan stängning idag”, ”akut”.
- Sekretess: Avsändaren ber dig att inte involvera kollegor eller chefer.
- Ändrade bankuppgifter: Ett leverantörsmejl meddelar nytt kontonummer.
- Avvikande språk: Tonen, formuleringarna eller signaturen känns inte som personen ifråga.
- Avsändaradress med en bokstavs skillnad: `info@firma-ab.se` istället för `info@firma.se`.
- Ovanliga belopp eller mottagare: Betalningar till länder eller företag du aldrig haft kontakt med.
Verifiera alltid via en annan kanal
Den enskilt viktigaste rutinen är dubbelkontroll via en annan kanal än den mejlet kom på. Får du ett mejl från en leverantör om nya bankuppgifter, ring upp på det nummer du har sedan tidigare. Inte numret i mejlet.
Får du en brådskande betalningsorder från vd, gå förbi kontoret eller ring mobilen. Skicka inte ett svarsmejl. Om kontot är kapat svarar bedragaren.
För enmansföretagare gäller principen lika mycket. När en kund eller leverantör meddelar något ekonomiskt via mejl: ring och bekräfta innan pengar rör sig.
Tekniska skydd som faktiskt gör skillnad
Multifaktorsautentisering (MFA) på alla företagets e-postkonton är inte längre en valfri säkerhetsåtgärd. Det är minimumnivå. Utan MFA räcker det att lösenordet läcker en gång för att kontot ska kunna kapas, och därmed varje konversation kontot har haft.
Utöver det:
- Avancerade e-postfilter som flaggar avsändare som liknar interna adresser
- DMARC, SPF och DKIM på domänen som försvårar förfalskning av avsändare
- Loggning av inloggningar från ovanliga platser
- Separata behörigheter för utbetalningar, inte en person ensam för stora belopp
För dig som driver mindre bolag handlar det ofta om att aktivera funktioner som redan finns i Microsoft 365 eller Google Workspace. Det kostar inget extra men sällan görs det.
Vad du gör om det redan har hänt
Snabbhet är allt. Ju snabbare en obehörig transaktion stoppas, desto större chans att pengarna kan dras tillbaka.
- Ring banken direkt: Försök stoppa betalningen samma dag, helst inom en timme.
- Polisanmäl: Gör det digitalt via polisen.se eller på närmaste station. Anmälningsnumret behövs för försäkringen.
- Kontakta försäkringsbolaget: Många företagsförsäkringar täcker bedrägerier, men ofta med specifika villkor om hur attacken upptäcktes och anmäldes.
- Säkra det kapade kontot: Byt lösenord, slå på MFA om det inte fanns, gå igenom skickade mejl för att se vad bedragaren har gjort.
- Informera kunder och leverantörer som kan ha fått mejl från det kapade kontot under attacken.
Finansinspektionen har samlat information om bedrägerier mot företag och privatpersoner som ger ytterligare vägledning, framför allt om hur banker hanterar obehöriga transaktioner.
Det här gäller också för soloföretagare
Många bluff-mejl är skräddarsydda för större organisationer, men frilansare och enskilda firmor är inte säkrare. Du har ofta sämre tekniskt skydd, ingen som dubbelkollar dina utbetalningar, och blandar privat och företagsekonomi närmare än ett aktiebolag gör.
Två saker som väger tungt om du driver eget utan anställda:
Skapa en enkel rutin för dig själv. Ovanliga belopp eller nya bankuppgifter verifieras alltid via telefon innan betalning. Punkt. Inga undantag, oavsett hur stressad du är.
Använd ett separat företagskort och företagskonto. Då begränsar du skadan om ett konto eller kort komprometteras. Det är samma princip som ligger bakom rekommendationen att skilja på privat- och företagsekonomi för att hålla bokföringen i en enskild firma ren, det är också en säkerhetsåtgärd.
Sätt rutinen innan attacken kommer
Den enskilt viktigaste skillnaden mellan företag som drabbas och företag som klarar sig är inte tekniken. Det är rutinerna. Bedragarna räknar med att stressade personer gör snabba bedömningar i en e-posttråd.
Bestäm idag: inga utbetalningar över ett visst belopp utan verifikation via en annan kanal. Skriv ner det, skicka det till alla i bolaget som hanterar pengar, och håll fast vid det även när vd själv skriver ”akut”.
Det här är inte en fråga om OM ett bluff-mejl kommer till ditt företag. Det är en fråga om NÄR, och om du har bestämt hur du reagerar innan dess.
FAQ
Hur känner jag igen ett bluff-mejl som kommer från en kapad e-postadress?
Om kontot verkligen är kapat ser avsändaradressen helt korrekt ut, eftersom mejlet faktiskt kommer därifrån. Det du ska titta på är innehållet: ovanliga betalningsuppmaningar, ändrade bankuppgifter, en ton som avviker från hur personen brukar skriva, eller plötslig brådska. Vid minsta tvekan, ring upp avsändaren på ett nummer du redan har.
Vad är skillnaden mellan VD-bedrägeri och fakturabedrägeri?
VD-bedrägeri innebär att någon utger sig för att vara hög chef och beordrar en brådskande betalning, ofta med krav på sekretess. Fakturabedrägeri innebär att en påstått känd leverantör mejlar att bankuppgifterna ändrats och att nästa faktura ska betalas till det nya kontot. Båda lurar ekonomihandläggare, men på olika sätt.
Måste jag polisanmäla även om bedragaren inte lyckades?
Ja, det rekommenderas. Polisens nationella bedrägericentrum bygger sina insatser på anmälningar. Även misslyckade försök ger underlag som hjälper till att kartlägga aktiva ligor. Anmälan kan göras digitalt på polisen.se.
Täcker företagsförsäkringen bedrägerier?
Det varierar mellan försäkringsbolag och avtalsnivåer. Många försäkringar har ett moment som kallas ”förmögenhetsbrott” eller ”bedrägeri” som täcker den här typen av skador, men ofta med självrisk och tak. Kolla just ditt villkor, och gör det innan något händer, inte efter.
Är multifaktorsautentisering verkligen nödvändigt för ett litet företag?
Ja. För småföretag är MFA ofta den enda barriären som hindrar ett läckt lösenord från att leda till ett kapat konto. Funktionen finns i Microsoft 365, Google Workspace och de flesta moderna e-posttjänster utan extra kostnad. Det tar tio minuter att aktivera.
Vad gör jag om jag redan klickat på en länk i ett bluff-mejl?
Slå genast på flygläge eller koppla ner enheten från internet. Byt lösenord på det berörda kontot från en annan enhet, slå på MFA, och scanna enheten med ett antivirusprogram. Ring banken om du angett några betalningsuppgifter eller bank-ID-koder. Polisanmäl därefter.
Magnus Bergström
Magnus Bergström är nyhetsredaktör på alltomforetagande.se. Ekonomijournalist med journalistexamen från JMG vid Göteborgs universitet. Tolv års erfarenhet av rapportering från svenska SME-bolag, kapitalmarknad och konjunkturläget, bland annat åtta år på en ledande ekonomidagstidning. Bevakar löpande skatteregler, bidragsändringar, politiska beslut och branschtrender som påverkar svenska företag.
