Stulna bankkort behöver inte längre användas som fysiska kort för att orsaka skada. Bedragare försöker i stället koppla kortuppgifterna till digitala plånböcker i sina egna mobiltelefoner. En ny kartläggning från NordVPN visar att diskussionerna om metoden har ökat kraftigt i kriminella forum. Men ökningen betyder inte att antalet genomförda bedrägerier har tredubblats.

Cybersäkerhetsföretaget NordVPN har undersökt hur stulna betalkortsuppgifter säljs och marknadsförs i kriminella miljöer på nätet. Kartläggningen omfattar över 24 000 annonser från nio marknadsplatser och omkring 3 900 unika foruminlägg inom flera undersökta ämnesområden.

Ett av resultaten är att diskussionerna om digitala plånböcker nästan har tredubblats under ett år.

Det handlar bland annat om att använda stulna kortuppgifter i tjänster som Apple Pay och Google Pay. På marknadsplatserna förekommer även kort som annonseras som särskilt lämpade för digitala plånböcker.

Undersökningen visar däremot inte hur många sådana kort som faktiskt har fungerat eller hur många bedrägerier som genomförts.

Så kan ett stulet kort hamna i bedragarens mobil

En digital plånbok gör det möjligt att betala med mobiltelefonen i stället för att ta fram bankkortet. Tekniken används av miljontals människor och innehåller flera säkerhetsfunktioner.

Bedragarnas mål är att ta sig förbi kontrollerna när ett kort ansluts till en ny enhet.

Först behöver bedragaren komma över kortuppgifter. Därefter kan personen försöka registrera kortet i en digital plånbok på sin egen mobiltelefon.

För att lyckas kan bedragaren behöva lura kortägaren att lämna ut en verifieringskod eller godkänna en åtgärd i bankens app.

Ett vanligt tillvägagångssätt vid liknande bedrägerier är att någon utger sig för att ringa från banken och påstår att ett pågående bedrägeri måste stoppas.

Om bedragaren lyckas ansluta kortet till mobilen kan det i vissa fall användas för kontaktlösa betalningar i butiker.

Kortägaren kan alltså fortfarande ha sitt vanliga bankkort hemma samtidigt som kortuppgifterna missbrukas på annat håll.

Det betyder inte att Apple Pay eller Google Pay generellt är osäkra. Digitala plånböcker använder bland annat särskilda digitala kortidentifierare för att skydda betalningsuppgifterna. Bedragarnas försök riktas i stället mot identifieringen och godkännandet när kortet ansluts.

Svenska konsumenter har varnats för liknande bedrägerier

Problemet har även en svensk koppling.

I oktober varnade Konsumenternas Bank- och finansbyrå för en metod där bedragare lurar personer att godkänna nya kreditkort med BankID.

Bedragaren kan exempelvis påstå att samtalet handlar om att förhindra ett bedrägeri. I själva verket får personen konsumenten att godkänna en kreditkortsansökan. Det nya kortet kan sedan anslutas till bedragarens digitala plånbok.

Metoden skiljer sig från att använda redan stulna kortuppgifter, men båda bygger på att bedragaren försöker få tillgång till ett kort genom en digital plånbok.

Hurbra har tidigare beskrivit hur bedragare lurar personer att godkänna kreditkort med BankID.

Fem varningssignaler att vara uppmärksam på

Ett försök att koppla ditt kort till en okänd mobil behöver inte alltid synas som en betalning på kontot. Därför är det viktigt att reagera även på andra signaler.

Ett oväntat meddelande betyder inte automatiskt att någon har lyckats använda kortet. Det kan däremot vara ett tecken på ett pågående försök.

Gör detta om du misstänker att kortet har kapats

Om du upptäcker obehöriga kortköp eller misstänker att någon försöker ansluta ditt kort till en främmande mobil ska du kontakta banken omedelbart.

Be banken undersöka om kortet har kopplats till någon digital plånbok som du inte känner igen. Banken kan också hjälpa dig att spärra kortet och bedöma vilka andra åtgärder som behövs.

Har pengar redan dragits ska du reklamera betalningarna. Spara kontoutdrag, meddelanden och andra uppgifter som kan vara viktiga för bankens utredning.

Du bör också polisanmäla bedrägeriet. På Polisens webbplats finns information om kortbedrägerier och hur de anmäls.

Kan banken bli skyldig att betala tillbaka pengarna?

Den som drabbas av obehöriga kortbetalningar kan ha rätt att få tillbaka pengarna.

Utgångspunkten i lagen är att banken ansvarar för obehöriga transaktioner, men det finns undantag. Konsumenten kan i vissa situationer behöva stå för en del av förlusten, exempelvis om personen anses ha varit grovt oaktsam.

Det är därför viktigt att reklamera betalningarna så snart de upptäcks. Den yttersta reklamationsfristen är normalt 13 månader från transaktionen, men det betyder inte att man bör vänta.

Mer om hur ansvaret fördelas finns i Hurbra:s guide om BankID-bedrägerier och möjligheten att få tillbaka pengarna.

NordVPN:s kartläggning visar framför allt att digitala plånböcker väcker ett växande intresse i de undersökta kriminella miljöerna. Hur vanligt det är att försöken leder till genomförda bedrägerier går däremot inte att avgöra utifrån undersökningen.

För kortägare är den viktigaste lärdomen att inte bara bevaka okända betalningar, utan också reagera när någon försöker få ett kort eller en ny enhet godkänd.