Morten Lyhne Petersen
Svindlerne udnytter SMS-spoofing til at få falske beskeder placeret side om side med ægte MobilePay-notifikationer — og målet er dit MitID.
En ny bølge af falske MobilePay-beskeder dukker op i præcis samme samtaletråd som de ægte. Det gør svindlen markant sværere at gennemskue, fordi beskeden visuelt smelter sammen med tidligere kvitteringer og notifikationer fra MobilePay. Slutmålet er at få adgang til dit MitID.
Beskeden hævder, at du straks skal bekræfte din konto med MitID for at leve op til EU’s PSD2-regler om stærk kundeautentifikation, ellers bliver din konto spærret. Den slags hastværk er et klassisk pressemiddel, og i denne version får trækket ekstra vægt af at SMS’en lægger sig i samme tråd som de notifikationer, MobilePay selv sender.
Faktatjekmediet Tjekdet beskrev metoden i januar 2026, og DR har refereret, at svindlere forsøger at høste data fra MobilePay-brugere via falske beskeder på sms og mail. Linket i SMS’en peger på et domæne kaldet mobiiepay.dk, hvor “i’et” er fordoblet. Klikker man, viderestilles man til en login-side, der er bygget til at indsamle MitID-oplysninger og andre følsomme persondata.
Sådan kan en SMS havne i den rigtige tråd
Tricket bag kaldes SMS-spoofing. Telefonen grupperer beskeder efter afsendernavn, ikke efter det reelle nummer eller en kryptografisk signatur. Når en svindler udgiver sig for at hedde “MobilePay” som afsender, lægger telefonen automatisk beskeden ind i den eksisterende samtale.
Forbrugerrådet Tænk forklarer, at svindlere bevidst efterligner velkendte afsendere, så meddelelserne ser legitime ud blandt autentiske beskeder fra banker, fragtfirmaer og streamingtjenester. Det er præcis den svaghed, der bliver udnyttet her.
Myndighedsportalen Sikkerdigital.dk advarer ligeledes om, at afsendernumre kan ændres, så svindlerens besked fremstår som om den kommer fra eksempelvis en bank eller politiet. Selve indplaceringen i tråden siger altså intet om afsenderens identitet.
Tre tegn der afslører svindlen
Selv når SMS’en lander på det “rigtige” sted, er der konkrete kendetegn at gå efter.
1. Linket leder ud af appen. En ægte besked fra MobilePay opfordrer aldrig til, at du logger ind med MitID via et link i en SMS. Bekræftelser sker inde i selve appen. Sikkerdigital.dk understreger, at du aldrig skal sende personlige oplysninger som bankkontonummer, personnummer eller kodeord via en besked.
2. Domænet er ikke mobilepay.dk. Svindel-URL’en bruger små forskelle, der er nemme at overse: ekstra bogstaver, ombyttede tegn eller et helt andet topdomæne. I den aktuelle bølge er det “mobiiepay.dk” med to i’er.
3. Beskeden presser dig med en deadline. Henvisninger til PSD2 eller trusler om spærring inden for få timer er konstrueret for at slå den kritiske sans fra. MobilePay selv henviser til, at bekræftelse altid sker med MitID som ekstra sikkerhedslag, og en legitim verificering kører gennem appen, ikke et eksternt link.
Hvis du allerede har klikket
Har du indtastet oplysninger på en falsk side, bør du straks kontakte din bank og kontakte MitID-support via mitid.dk for at få spærret dit MitID. Bagefter kan svindlen anmeldes på politi.dk. Personoplysninger, der er røget ud, kan ikke kaldes tilbage, men en hurtig spærring begrænser skaden markant, før svindlerne når at bruge dem.
