Notes

LinkedIn CEO-bedrageri slår hårt mot svenska företag 2026
==================================================

För en djupare genomgång, se Lär dig mer här: https://ideone.com/bgeJ31.

# Phishing mot svenska företag 2026 — typerna som funkar

1. CEO-fraud via LinkedIn
LinkedIn-fraud är svår att stoppas när angrepp köper autentiska LinkedIn-konton från Sverige eller länder i närregionen. Bedragaren imiterar en verklig VD eller CFO och kontaktar en ekonomiansvarig eller skattechef via direktmeddelande. Meddelandet framställer en brådskande överföring eller avtalsignerande. Svenska företag rapporterar framgångsrika attacker på 100 000–500 000 kronor åt gången, ofta innan något verifieringssteg triggas. Attackerna lyckas bland annat för att LinkedIn-gränssnitt saknar två-faktor-autentisering för meddelandena.

2. Leverantör-spoofing med falskt e-post-domän
En angrepp registrerar en domän som liknar en befintlig leverantör — till exempel ändrar en bokstav eller använder.co istället för.se. Företagets inköpare får en e-post om uppdaterade bankuppgifter. Eftersom domänen nästan är identisk med den verkliga leverantören, godkänns betalningen utan extra granskning. Denna metod slår mot medelstora företag utan robust leverantörsverifiering. Reported-instanser visar överföringar på 50 000–300 000 kronor innan någon märker skillnaden.

3. Fake Office 365/Google Workspace-login
Angrepp skickar en mejl som säger att lösenordet utgår eller att kontot är låst. Länken leder till en identisk kopia av Microsofts eller Googles inloggningssida. Svenskar klicar ofta utan misstanke, särskilt på mobilen. En gång inloggad får angriparen åtkomst till e-post, kalender och integrationsprogram som är kopplade till mailkontot — ofta inkluderat Microsoft Teams och SharePoint. Från där kan de läsa mejlkonversationer mellan kollegor om betalningar, kontrakt och åtkomstuppgifter.

4. Staffing/rekrytering — falska jobbintervjuer
Angrepp poserar som rekryterare eller HR-chef och bjuder in kandidater till "intervjuer" via Zoom eller Teams-länk. Länken installerar skadlig kod istället för att öppna videokonferens. Detta slår särskilt bra under låg arbetslöshet då många är aktiva på Linkedin. Några attacker fokuserar också på att få IT-personalen att ladda ner "intervju-software" som ger backdoor-åtkomst.

5. Fakturering med QR-kod
En förmörkad e-post presenteras som en faktura från en känd leverantör. I stället för ett klassiskt kontonummer innehåller den en QR-kod som leder till en betalningssida. Mottagaren skannar koden snabbt utan att verifiera innehållet, och överför belopp direkt. Denna metod är effektiv eftersom den kringgår textbaserad verifiering och appellerar till mobilvanan.

6. Whatsapp/SMS från "IT-support"
Meddelanden säger att ett lösenord måste uppdateras eller att kontot är komprometterat. En länk führt till en phishing-sida. Denna metod slår mot anställda som är utanför kontoret och snabbt accepterar meddelanden från "officiell" källa utan att kunna verifiera ursprunget. Attackerna utnyttjar också att många inte aktiverar MFA på personliga enheter.

7. Attachment-baserad malware — "tidlösa" dokumentformat
E-post innehåller en bifogad.pdf eller.docx som ser ut som en faktura eller kontrakt. Dokumentet är faktiskt en skadlig fil som utnyttjar Windows eller Adobe-säkerhetshål. För vissa seniora anställda som öppnar allt utan att tänka är detta en direkt väg in. Attacken kan också leverera något som verkar vara en harmlos Excel-fil med makron inaktiverat, men som aktiveras med ett enkelt "Aktivera redigering"-klick.

8. Lookalike-domäner med SSL-certifikat
Eftersom SSL-certifikat är gratis via Let's Encrypt, kan en angrepp snabbt skapa en https-webbplats som liknar en banksida eller företags internportal. Många användare kontrollerar inte URL:en noggrant när den börjar med " Svenska företag rapporterar framgång med falska inloggningsportar för bonus-system, tidrapportering och övriga interna verktyg som kräver inloggning.

9. Inlägg i Teams/Slack från compromised-konton
Om en anställd är komprometterad installerar angriparen ofta ett bot-script i Slack eller Teams innan de täcker sina spår. Boten kan sedan skicka direkta meddelanden till flera anställda och framstå som att komma från IT eller ledningen. Meddelandet kan begära temporär tillgång till en databas eller bifogad fil som "test" — eller länka till phishing-sida. Det är svårt att detektera för vanliga användare.

10. Tidsbaserad urgenspressning
Attacken är formulerad för att fungera under specifika tidsfönster. Till exempel mejl som säger att ett viktigt avtal måste undertecknas innan jul, eller att en leverans är blockerad och måste frigöras omedelbar. Denna psykologiska manipulation minskar tiden för verifiering och ökar chansen att någon klickar på länken eller svarar med känslig information.

Gemensamt för alla dessa metoder är att de utnyttjar mänskliga faktorer, hastig beslutsfattning och bristen på verifiering. Att etablera rutiner för dubbelkollning av bankuppgifter, tvåfaktorsautentisering överallt, och regelbunden säkerhetstraining är fortfarande de mest effektiva försvarslinjerna. Läs vidare via uppgifter från Riksbanken: https://www.riksbank.se/sv/statistik/rantor-och-valutakurser/styrranta-in--och-utlaningsranta/.

### 11. API-integrations-bedrägerier och fejkade service-kopplingar

Många svenska företag använder tredje-parts-integrationstjänster som kopplar ihop sin bokföring, CRM eller HR-system. En angrepp kan skapa en fejkad integrationssida som ser ut som en legitim service-koppling — till exempel "Zapier för din redovisning" eller "automatisk fakturahantering". Företags IT-personal får ett mejl som säger att de måste godkänna en ny integration för att systemet ska uppdateras. När de loggar in med sitt företagskonto får angriparen plötsligt API-nyckel-åtkomst till känsliga system. Denna metod är effektiv för att sakta och smidigt få långsiktig åtkomst till finansdata utan att någon märker det omedelbar.

### 12. Telefon-baserad CEO-fraud med "confirmatory callback"

Medan LinkedIn-fraud är vanlig, startar vissa angrepp först med ett samtal från någon som presenterar sig som en IT-support eller revisor. De säger att ett viktigt överföring måste godkännas, och ber CFO:n att bekräfta genom att ringa tillbaka ett specifikt nummer. Numret är faktiskt en VOIP-tjänst som svarar på ett sätt som låter som företagets växel. Denna variant är kraftfull för äldre beslutsfattare som förlitar sig på verbal bekräftelse.

### 13. Fake Microsoft och Apple-security-updates

Användare ser en popup eller mejl som säger att deras Windows-dator eller Mac har en kritisk uppdatering för säkerhet. Länken eller download-knappen installerar istället spyware. För IT-administratörer kan detta leda till att hela nätverket blir komprometterat när en enda maskin infekteras. Attackerna ofta distribueras via annonsplattformar eller sökmotors-annonsering, vilket gör dem svåra att särskilja från äkta Microsoft-uppdateringar.

### 14. Fake-webbinarer och "gratis säkerhetskurser"

Angrepp marknadsför sig själva som gratis webinar om cybersäkerhet, GDPR eller IT-lagstiftning — ämnen som attraherar IT-chefer och compliance-personal. Webbinarlänken registrerar användarens e-post och installerar en trojan som öppnar en bakdörr. En framgångsrik sådan kampanj på svenska LinkedIn-grupper kan kringgå flera hundra IT-professionella på en dag. Bakgrund finns i Boverket: https://www.boverket.se/sv/samhallsplanering/bostadsmarknad/.

### 15. Leverantörs-data-harvesting från offentliga källor

Angrepp skrapar webbplatser för leverantörslistor och kontaktuppgifter från svenska företags hemsidor. De skapar sedan massa-mejl från dessa leverantörer med uppdaterade bankuppgifter eller nya affärsvillkor. Eftersom e-postadresserna är autentiska och baserade på faktiska leverantörsförhållanden godkänns många betalningar utan att någon kontrollerar.

Läs vidare: Här hittar du alla detaljer: https://ideone.com/bgeJ31.

---
Lär dig mer här: https://ideone.com/bgeJ31