Sebastian Juul
Sikkerhedsfirmaet Bitdefender har afdækket en koordineret svindelkampagne med mere end 79.000 falske SMS’er i 12 lande.
Kampagnen, som forskerne har døbt Operation Road Trap, kører med 40 forskellige varianter og skifter mellem at udgive sig for parkeringsfirmaer, vejafgifts-operatører og trafikmyndigheder. Metoden er den samme hver gang: en kort, truende besked om en ubetalt afgift og et link, der fører til en falsk betalingsside, hvor svindlerne høster kortoplysninger.
Præcis samme type svindel har kørt massivt mod danske bilister i 2026. Både Færdselsstyrelsen og parkeringsselskabet APCOA har advaret om falske SMS’er, hvor afsenderen ligner en myndighed eller et parkeringsfirma, og hvor beskeden kræver betaling via et link.
Tidspresset er den første advarselsklokke
Fællestrækket for Operation Road Trap er en kunstig deadline. Ifølge Bitdefender giver svindlerne typisk mellem 24 og 72 timer til at betale, før beløbet angiveligt stiger. Flere af kampagnerne bruger samme formulering om et forsinkelsesgebyr på 35 procent, som skal få modtageren til at reagere uden at tænke sig om.
Beskederne er sendt fra numre og afsender-id’er, der efterligner kendte parkeringsfirmaer og trafikmyndigheder, og linket peger på domæner, der ved første øjekast ligner de rigtige, men ved nærmere eftersyn ikke gør. Bitdefender fandt over 29.000 unikke tekstvarianter og knap 32.000 forskellige falske URL’er i materialet, som blev sendt mellem december 2025 og april 2026.
I de 12 ramte lande er det navne som E-ZPass, SunPass og FastTrak i USA, Linkt i Australien, eFlow i Irland, ULYS i Frankrig og DGT i Spanien, der er blevet misbrugt. Bitdefenders analytikere skriver i rapporten, at kampagnerne er stramt koordinerede, men at firmaet ikke har knyttet dem til en bestemt gruppe bagmænd.
Sådan ser den danske udgave ud
Det danske mønster er det samme, blot med lokale navne. Færdselsstyrelsen oplyste i en advarsel fra 22. maj 2026, at falske SMS’er er blevet sendt med afsendere som “PARK” og “Statens motorkontor”, og at de linker til sider, der er bygget til at ligne styrelsens egen hjemmeside. Myndigheden slår fast, at den aldrig selv sender den slags beskeder, og at modtagerne skal slette SMS’en uden at trykke på linket.
APCOA har oplevet det samme. Selskabet advarede 4. juni 2026 om, at svindlere misbruger firmaets navn i SMS’er og sender ofrene videre til domæner som apcoa.cfd og apcoafine.cfd, der intet har med den rigtige side (apcoa.dk) at gøre. APCOA understreger, at selskabet aldrig sender SMS’er om manglende betaling af kontrolafgifter og aldrig beder kunder betale via et link i en besked.
De fire tegn du skal reagere på
Bitdefenders rapport og de danske advarsler peger på de samme fire advarselsklokker, som en modtager kan tjekke på få sekunder:
Et unaturligt kort tidspres. En ægte parkerings- eller trafikbøde sender dig aldrig en SMS med 24 timer til at betale. Omtaler beskeden et gebyr på eksempelvis 35 procent, hvis du ikke betaler straks, er det svindel.
En afsender, der ikke helt passer. Afsender-id’er som “PARK”, “Statens motorkontor” eller andre officielt klingende navne er lette at forfalske. Et parkeringsfirma eller en myndighed kontakter dig primært via digital post eller via firmaets egen app, ikke via en SMS med et betalingslink.
En URL, der ser næsten rigtig ud. Svindlerne registrerer domæner med ekstra bogstaver eller mærkelige endelser (eksempelvis .cfd eller .org) for at efterligne det rigtige. Åbn aldrig linket i SMS’en. Gå i stedet direkte til firmaets eller myndighedens hjemmeside ved selv at skrive adressen.
Et krav om kortoplysninger. Hverken Færdselsstyrelsen, kommuner eller de store parkeringsfirmaer beder dig udfylde kortnummer på en side, du kommer til via et SMS-link.
Har du en mistanke om, at en SMS om parkering eller en vejafgift er ægte, kan du læse den fulde guide til at tjekke en parkerings-SMS her. Problemet er en del af en større svindelbølge i Danmark, hvor 1.367 anmeldelser af falske SMS’er blev registreret på bare én måned.
Har du klikket, skal du handle med det samme
APCOA anbefaler, at den, der har klikket på et falsk link eller indtastet kortoplysninger, straks kontakter sin bank og spærrer kortet. Både Færdselsstyrelsen og APCOA opfordrer desuden til at anmelde svindlen til politiet via politi.dk/anmeld-kriminalitet/digital-kriminalitet.
