Í stuttu máli
- Vefveiðar eru svik þar sem svikari þykist vera traustur aðili, til dæmis banki, Skatturinn eða rafmyntamiðlun, til að komast yfir aðgangsupplýsingar þínar eða peninga.
- Þær berast með tölvupósti, SMS, auglýsingum, fölskum þjónustureikningum á samfélagsmiðlum og símtölum, og leiða oft á vefsíðu sem lítur alveg eins út og sú rétta.
- Lestu lénið vandlega, smelltu ekki á hlekki í óvæntum skilaboðum og samþykktu aldrei innskráningu með rafrænum skilríkjum sem þú áttir ekki frumkvæði að.
- Traust þjónusta biður þig aldrei um lykilorð, endurheimtarorð, PIN-númer rafrænna skilríkja eða kortaupplýsingar í skilaboðum.
Efnisyfirlit
VefveiðarVefveiðarSvik þar sem svikahrappar þykjast vera traust fyrirtæki eða stofnun til að fá þig til að gefa upp lykilorð, kortaupplýsingar eða endurheimtarorð. (e. phishing) eru svik þar sem svikari þykist vera traustur aðili, til dæmis bankinn þinn, Skatturinn eða rafmyntamiðlunRafmyntamiðlunFyrirtæki eða vettvangur þar sem þú kaupir, selur og skiptir rafmyntum, til dæmis fyrir krónur., til að fá þig til að gefa upp lykilorð eða kortaupplýsingar, eða til að samþykkja innskráningu. Oftast byrja þær á skilaboðum með hlekk á falska vefsíðu sem lítur alveg eins út og sú rétta.
Nafnið vísar til veiða: svikarinn kastar agni fyrir þúsundir manna og bíður eftir að einhver bíti á.
Hvernig virka vefveiðar?
Ímyndaðu þér að einhver í fölsuðum einkennisbúningi banki upp á og segist þurfa lykilinn að íbúðinni til að laga leka. Búningurinn lítur út fyrir að vera ekta, en manneskjan í honum er það ekki. Vefveiðar eru sama bragðið í stafrænni mynd.
Þær fylgja yfirleitt sama mynstri:
- Þú færð skilaboð sem virðast koma frá aðila sem þú treystir.
- Í skilaboðunum er þér gefin ástæða til að flýta þér: ógreidd krafa, læstur reikningur, grunsamleg innskráning eða sending sem bíður.
- Hlekkur leiðir á falska síðu, eða þér er sagt að hringja í tiltekið númer.
- Þú slærð inn upplýsingar eða samþykkir beiðni, og svikarinn notar þær samstundis.
Vefveiðar eru ein tegund blekkinga sem kallast social engineering. Þær byggjast á trausti og tímapressu, ekki á flókinni tækni.
Helstu tegundir vefveiða
Tölvupóstur
Þetta er hefðbundna leiðin. Pósturinn líkir eftir merki, letri og orðalagi fyrirtækisins. Nafn sendandans getur verið hvað sem er, svo „Skatturinn“ í sendandareitnum sannar ekkert.
SMS
Þú færð stutt skilaboð um sendingu, sekt eða reikning með hlekk til að greiða. Í síma er erfiðara að sjá hvert hlekkurinn leiðir og það nýta svikararnir sér.
Falskar vefsíður og auglýsingar
Svikarar kaupa stundum auglýsingar sem birtast efst í leitarniðurstöðum þegar þú leitar að banka eða rafmyntaþjónustu. Auglýsingin vísar á falska innskráningarsíðu. Sama gildir um vefsíður sem líkjast þekktum rafmyntaveskjumRafmyntaveskiForrit eða tæki sem geymir lyklana að rafmyntinni þinni, svo þú getir tekið á móti henni, haldið utan um hana og sent hana..
Falskir þjónustureikningar
Ef þú kvartar opinberlega á samfélagsmiðli yfir vandamáli með veski eða rafmyntaþjónustu getur svarið komið frá reikningi sem þykist vera þjónustuverið. Svikarinn vill færa samtalið í einkaskilaboð og biður þar um endurheimtarorð eða lykilorð.
Símtöl
Svikarar geta falsað númerið sem hringt er úr svo það virðist íslenskt. Samkvæmt Auðkenni er þó yfirleitt töluð enska. Markmiðið er oft að fá þig til að samþykkja innskráningu með rafrænum skilríkjum eða setja upp forrit sem gefur svikaranum aðgang að tækinu.
Dæmi frá Íslandi
- Skatturinn, nóvember 2025. Lögreglan varaði við tölvupósti í nafni Skattsins um ógreidda kröfu sem þyrfti að greiða samdægurs. Hlekkurinn sýndi slóðina
www.island.is/greida, en á bak við hann var síða tengd svikurunum. Þar var beðið um kennitölu, símanúmer og kortaupplýsingar. - Umferðarlögreglan, júní 2026. SMS-skilaboð í nafni umferðarlögreglunnar, með hlekk til að greiða sekt, bárust í fjölda íslenskra síma. Lögreglan sagði að aldrei hefðu borist jafn margar tilkynningar um netbrotatilraunir á jafn skömmum tíma. Sektir frá lögreglu berast alltaf inn á island.is.
- Símtöl úr „bankanum“, nóvember 2023. CERT-IS, netöryggissveit Íslands, varaði við símtölum úr númerum sem litu út fyrir að vera númer íslenskra banka og greiðslufyrirtækja. Fólk var fengið til að samþykkja innskráningu í netbanka með rafrænum skilríkjum, og nær samstundis var reynt að skuldfæra kreditkort þess.
- Rafræn skilríki, júní 2025. Lögreglan fékk tilkynningar um að fólk væri beðið um að samþykkja rafræn skilríki án þess að það væri að skrá sig inn nokkurs staðar. Lögreglan minnti á að aldrei þurfi að samþykkja rafræn skilríki til að taka á móti greiðslu.
Hvernig athugar þú hlekk og lén?
Lestu lénið aftan frá
Lén (e. domain) er heiti vefsins, til dæmis myntkaup.is. Í slóð er lénið allt sem stendur á milli https:// og næsta skástriks. Það sem skiptir máli er aftasti hlutinn, til dæmis myntkaup.is. Allt sem stendur vinstra megin við hann getur eigandi lénsins valið að vild.
| Slóð | Hver á hana? |
|---|---|
hjalp.myntkaup.is | myntkaup.is (hjálparsíða Myntkaupa) |
myntkaup.is.innskraning-adstod.com | innskraning-adstod.com, ekki Myntkaup |
myntkaup-is.com | annað lén, ekki myntkaup.is |
rnyntkaup.is | annað lén: „rn“ líkist „m“ |
Sama gildir um banka og opinberar stofnanir. Opinber vefur Skattsins er skatturinn.is og Auðkenni notar aðeins lén sem enda á .is. Lögreglan bendir á að vefveiðasíður noti oft lén sem enda á .app, .top eða .xyz, en að ekki sé hægt að útiloka .is.
Textinn í hlekknum er ekki slóðin
Dæmið um Skattinn sýnir þetta vel: textinn sagði island.is, en hlekkurinn leiddi annað. Í tölvu sérðu raunverulegu slóðina með því að halda músinni yfir hlekknum án þess að smella. Í síma getur þú haldið fingri á hlekknum til að sjá hana.
Hengilásinn segir ekki allt
Hengilásinn og „https“ í vafranum merkja aðeins að tengingin sé dulkóðuð. Svikasíður eru líka með hengilás. Hann segir ekkert um hver á síðuna.
Besta reglan: ekki smella
Auðkenni ráðleggur fólki að smella ekki á hlekki í tölvupósti eða SMS, sérstaklega ef sendingin kom óvænt. Sláðu slóðina inn í vafrann eða notaðu appið. Það er öruggara en að treysta hlekk.
Það sem traust þjónusta biður þig aldrei um
Lögreglan segir að lögmæt fyrirtæki, bankar og opinberar stofnanir biðji aldrei um PIN-númer, kortaupplýsingar eða lykilorð í skilaboðum eða símtölum. Engin traust þjónusta biður þig heldur um:
- Endurheimtarorð eða einkalykil. Sá sem hefur endurheimtarorðinEndurheimtarorðRöð 12 eða 24 orða sem allir lyklar veskisins eru reiknaðir út frá, svo hver sem hefur orðin getur endurheimt veskið og tekið rafmyntina. eða einkalykilinnEinkalykillLeynileg tala sem sannar að þú eigir rafmyntina í veskinu þínu. Sá sem hefur einkalykilinn ræður yfir rafmyntinni. ræður yfir rafmyntinni. Enginn annar á að sjá þau. Lestu meira í greininni Einkalyklar og endurheimtarorð.
- PIN-númer rafrænna skilríkja. „Aðeins þú mátt vita PIN-númerin þín,“ segir Auðkenni.
- Að samþykkja innskráningu sem þú áttir ekki frumkvæði að. Auðkenni óskar aldrei eftir auðkenningu eða undirritun nema að þinni beiðni.
- Fjaraðgang að tækinu þínu. Forrit eins og AnyDesk gefa öðrum stjórn á tölvunni.
- Að færa rafmynt í „öruggt veski“. Það er alltaf veski svikarans.
Hjá Myntkaupum er hver úttekt staðfest með PIN-númeri í appinu og í tölvupósti. Ef þú færð beiðni um að staðfesta úttekt sem þú kannast ekki við skaltu ekki staðfesta hana heldur hafa strax samband við Myntkaup á myntkaup@myntkaup.is.
Hvað gerir þú ef þú bítur á agnið?
Bregstu hratt við. Fyrstu mínúturnar skipta máli.
- Gafstu upp lykilorð? Skiptu strax um það alls staðar þar sem þú notaðir það. Byrjaðu á tölvupóstinum og kveiktu á tvíþættri auðkenninguTvíþætt auðkenningInnskráning sem krefst tveggja ólíkra sannana á því hver þú ert, til dæmis lykilorðs og kóða úr appi, svo stolið lykilorð dugar ekki eitt og sér..
- Gafstu upp kortaupplýsingar? Hafðu strax samband við bankann þinn.
- Samþykktir þú rafræn skilríki eða gafst upp PIN-númer? Hafðu strax samband við bankann þinn. Ef einhver gæti vitað PIN-númerið bendir Auðkenni á að afturkalla skilríkin á Mínum síðum Auðkennis.
- Gafstu upp endurheimtarorð? Færðu strax það sem eftir er í nýtt veski með nýjum endurheimtarorðum. Gamla veskið er ekki lengur öruggt.
- Hleyptir þú einhverjum inn í tölvuna? Aftengdu hana frá netinu og leitaðu til tölvuþjónustu eða CERT-IS.
- Tilkynntu málið. Svik og tilraunir til svika tilkynnir þú til lögreglu á Ísland.is. Láttu líka vita af málinu hjá fyrirtækinu sem svikararnir þóttust vera.
Nánari ráð um hvernig þú tryggir reikningana þína eru í greininni Hvernig verndar þú reikninginn þinn?
Algengar spurningar
Er hættulegt að opna vefveiðapóst?
Yfirleitt ekki, ef þú gerir ekkert annað en að opna hann. Hættan felst í því að smella á hlekki, opna viðhengi eða slá inn upplýsingar. Farðu sérstaklega varlega með viðhengi sem þú áttir ekki von á.
Getur svikari falsað símanúmer eða netfang?
Já. Lögreglan bendir á að svikarar geti falsað símanúmer svo það virðist íslenskt. Nafn sendanda í tölvupósti getur líka verið hvað sem er. Treystu því hvorki á númerið né nafnið eitt og sér.
Ég smellti á hlekk en gaf ekkert upp. Hvað nú?
Lokaðu síðunni og ekki opna neitt sem kann að hafa hlaðist niður. Gakktu úr skugga um að stýrikerfi og öpp séu uppfærð og fylgstu með reikningunum þínum næstu daga. Þú getur líka tilkynnt tilraunina til lögreglu.
Hvernig þekki ég vefveiðar í rafmyntaheiminum?
Vertu á varðbergi gagnvart skilaboðum um „staðfestingu á veski“, óvæntum airdrop-úthlutunumAirdropÞegar rafmyntaverkefni sendir ókeypis tóka beint í veski fólks, oftast til að kynna sig, en fölsuð airdrops eru líka algeng svikaleið. eða uppfærslum sem krefjast endurheimtarorða. Lestu um algeng rafmyntasvik.
Lokaorð
Vefveiðar heppnast vegna þess að þær líta út fyrir að vera ekta og koma þegar þú átt síst von á þeim. Þú þarft ekki að þekkja hverja einustu brellu til að verjast þeim. Nóg er að temja sér nokkrar venjur.
Smelltu ekki á hlekki í óvæntum skilaboðum, lestu lénið og samþykktu aldrei rafræn skilríki nema þú eigir frumkvæðið að innskráningunni. Ef þú ert í vafa skaltu hætta við og hafa samband eftir leið sem þú þekkir.
