Morten Lyhne Petersen
Svindlere sender SMS’er og mails i MobilePays navn for at høste MitID og bankoplysninger.
Bag beskederne ligger en velkendt teknik, men et par konkrete kendetegn afslører hurtigt fupmageren, hvis man ved hvad man skal kigge efter.
Kampagnen bruger domæner som “mobiiepay.dk”, med to i’er, der viderestiller til falske login-sider, hvor brugerne bliver bedt om at “verificere” deres konto med MitID inden en kort deadline. I det tilfælde faktatjek-mediet Tjekdet dokumenterede i januar 2026, lød deadlinen på 27. januar, og et enkelt afsendernummer var anmeldt af mere end 1.000 personer.
Formuleringen henviste til PSD2 og Finanstilsynets krav om “stærk kundeautentifikation”, et sprogbrug der skal give beskeden autoritet. Reelt bliver de indtastede oplysninger, herunder CPR-nummer, banklogin og kortdata, samlet i pakker der handles videre online. Med et lækket MitID kan svindlerne i værste fald åbne kredit i offerets navn eller omdirigere udbetalinger fra NemKonto.
MobilePay er en oplagt målskive
Betalingsappen rundede 4.742.862 brugere ved indgangen til 2026 og er dermed så udbredt, at næsten enhver dansk telefon er en potentiel modtager af beskeden. Sandsynligheden for at ramme en aktiv bruger med en masse-SMS er derfor tæt på 100 procent.
Endnu vigtigere er tillidsfaktoren. Når afsenderfeltet siger “MobilePay”, læser mange beskeden i en sikkerhedsmodus, hvor de er tilbøjelige til at følge instruktionerne uden at tjekke afsenderadressen eller det underliggende link.
Fem tegn du kan tjekke selv
Digitaliseringsstyrelsens sikkerhedsside på Borger.dk oplister de klassiske røde flag ved falske SMS’er og mails. Fem konkrete kendetegn går igen i MobilePay-kampagnerne:
1. Beskeden beder om personlige oplysninger. Bank, betalingsapp eller myndighed vil aldrig bede om CPR-nummer, MitID-kode eller kortoplysninger via SMS eller mail.
2. Der presses til hurtig handling. Deadlines som “inden 27. januar” eller “din konto lukkes i morgen” er en klassisk pressionsteknik.
3. Linket peger ikke på det officielle domæne. Ægte MobilePay bruger mobilepay.dk, ikke variationer som mobiiepay.dk, login1.adgang.me eller mobilepay-verify.com.
4. Sproget halter. Underlige bøjninger, forkert tegnsætning eller pludselige skift i stil er ofte spor efter maskinoversættelse.
5. Afsenderen virker mistænkelig. Et privat telefonnummer eller en tilfældig gmail-adresse ligger langt fra MobilePays reelle kommunikationskanaler.
Vær opmærksom på, at heller ikke afsenderens nummer i sig selv er en sikkerhedsgaranti, da svindlere kan forfalske både telefonnummer og navn i displayet.
Sådan tjekker du linket i praksis
MitID.dk advarer om, at it-kriminelle kan efterligne og forfalske en hjemmeside så præcist, at man ikke kan se forskel med det blotte øje. Det bedste værn er at åbne browseren og skrive adressen selv i stedet for at klikke i beskeden.
Er man alligevel kommet til at klikke og indtaste oplysninger, er første skridt at ringe til banken og få spærret kort og netbank. Herefter bør man skifte kode til MitID på mitid.dk og anmelde sagen til politiet.
Er man i tvivl om en konkret besked, kan man tjekke MobilePay-appen direkte. Ægte opdateringer og krav om MitID-forbindelse bliver håndteret inde i selve appen, ikke via et link i en SMS eller mail.
