Sjekk om en lenke er trygg – før du klikker

Slik ser du hvor en lenke egentlig leder

De fleste svindellenker ser trygge ut fordi de er laget for å se trygge ut. Svindlerne vet at du kjenner igjen navn som Posten, Finn, Vipps og banken din – og de bygger lenker som utnytter akkurat det. Derfor er det første grepet enkelt: hold musepekeren over lenken uten å klikke. Da viser nettleseren den fullstendige adressen i hjørnet av vinduet, og på mobil kan du ofte trykke lenge på lenken for å se den. Det du ser der, er ofte hele forskjellen mellom en ekte melding og en felle.

Les domenet fra høyre mot venstre

Et domene leses ikke fra venstre. Det som betyr noe, er det som står rett før den første skråstreken – det er det reelle domenet. Alt som kommer etter skråstreken, er bare undersider og stier på det domenet. Se på denne lenken: finnologg.ma.tn/finn.no/finno.htm. Her står «finn.no» midt i lenken, men det er ikke Finns side – det er bare en mappe på domenet ma.tn. Det reelle domenet er altså ma.tn – ikke Finn.

Samme logikk gjelder for lenker som ser ut som posten.no.tollhenting.com eller nettbank-login.dinbank-sikker.info. Det reelle domenet er det som ligger nærmest skråstreken eller den siste endelsen – her altså «tollhenting.com» og «dinbank-sikker.info». At et kjent navn står først, betyr ingenting.

Sjekk endelsen – .no er et godt tegn

Toppnivådomenet er det som kommer etter det siste punktumet: .no, .com, .info, .tk og så videre. .no er et relativt godt tegn: .no-domenene registreres gjennom Norid og er underlagt domenenavnsforskriften, med tilsyn fra Nkom. Det gjør det tyngre for svindlere å bruke dem. Motsatt bør en «norsk» aktør som bruker merkelige landkoder eller .info- og .top-adresser vekke ekstra mistenksomhet. Det er ikke et bevis på svindel – men det er en grunn til å sjekke grundigere.

Typosquatting: skrivefeil som nesten ikke synes

Svindlere registrerer domener som ligner de ekte med én liten endring: goog1e.com med tallet 1 i stedet for bokstaven l, posten-no.com med bindestrek, vippssupport.no med dobbel s. Dette kalles typosquatting, og det virker fordi hjernen ser det den forventer å se. En annen variant er homograph-spoofing, der kyrilliske bokstaver som ser ut som latinske brukes i domenenavnet. Les derfor domenet bokstav for bokstav, ikke ord for ord.

Forkortede lenker skjuler destinasjonen

Tjenester som bit.ly, tinyurl.com, bl.ink, squirre.ls og short.io lager korte, «rene» lenker – og de brukes ofte i svindel fordi de skjuler hvor lenken faktisk leder. En bit.ly-lenke kan lede til hva som helst, og du kan ikke vurdere domenet før du har klikket. Trykk aldri på lenker i SMS før de er sjekket – og forkortede lenker er blant de vanskeligste å sjekke, nettopp fordi de skjuler destinasjonen.

Løsningen er å bruke en lenkesjekker eller URL-utvider som viser og skanner den reelle destinasjonen før du klikker. Flere av verktøyene i tabellen under gjør nettopp dette.

Tre gratis verktøy som skanner lenken for deg

Du trenger ikke gjette. Lim den mistenkelige lenken inn i et skanneverktøy, så sjekker det siden mot trusseldatabaser med kjente phishing- og virussider – uten at du selv besøker den. Dette er tre mye brukte verktøy, og alle er gratis:

I tillegg finnes dedikerte lenkesjekkere fra sikkerhetsselskaper, som Avast Link Checker, ESET Link Checker og F-Secure Link Checker. De skanner URL-en mot trusselintelligens i sanntid og er enkle å bruke: lim inn lenken og få en vurdering. Firefox-brukere kan også installere en utvidelse som sjekker lenker mot sikkerhetstjenester som VirusTotal og urlscan.io – søk i Firefox' utvidelseskatalog og sjekk vurderinger og antall brukere før du installerer.

Hengelåsikonet beviser ingenting

Mange tror at HTTPS og hengelåsikonet i adresselinjen betyr trygg side. Det stemmer ikke. HTTPS garanterer bare at forbindelsen mellom nettleseren din og serveren er kryptert – slik at ingen kan avlytte det som sendes. Det sier ingenting om hvem som driver siden eller hva de vil. Svindelsider får HTTPS-sertifikater like lett som alle andre, og falske innloggingssider kan derfor ha et helt vanlig hengelåsikon. Vurder alltid domenet og konteksten, ikke ikonet.

QR-koder er lenker du ikke kan lese

En QR-kode er egentlig bare en lenke i grafisk form – og dermed har du samme problem som med forkortede lenker: du kan ikke se destinasjonen før du skanner. Svindlere kan klistre falske QR-koder over ekte koder på parkeringsautomater, betalingsterminaler og plakater, eller sende dem i e-post og SMS med påstand om at du «må skanne for å løse et problem».

• Sjekk om koden er klistret oppå en annen – det kan være et tegn på manipulering.
• Ikke skann QR-koder fra uventede meldinger, plakater eller brev som krever rask handling.
• Les adressen som vises på skjermen etter skanning, men før du trykker – samme domenesjekk gjelder.
• Betaler du parkering? Bruk heller appen eller skilten på automaten enn en tilfeldig kode.

Sjekkliste: sjekk lenken før du klikker

• Hold musepekeren over lenken og se den fullstendige adressen.
• Finn det reelle domenet: rett før første skråstrek, lest fra høyre mot venstre.
• Sjekk endelsen – .no er et relativt bedre tegn enn rare landkoder, men vær likevel kritisk: et .no-domene er ingen garanti.
• Se etter skrivefeil, dobbelte bokstaver og tall byttet med bokstaver.
• Stol ikke på hengelåsikonet – det sier bare at trafikken er kryptert.
• Ikke klikk på forkortede lenker – skann dem i urlscan.io eller VirusTotal først.
• Vurder konteksten: kom meldingen uventet? Bruker den dårlig norsk eller presser deg til å haste?
• Skriv heller den offisielle adressen (for eksempel posten.no eller bankens egen adresse) manuelt i nettleseren.

Konteksten avslører ofte lenken

Selve lenken er bare halve saken. Vurder alltid konteksten: virker lenken malplassert i meldingen den kom i? En lenke om «tollgebyr» i en SMS du ikke ventet, eller en «BankID-varsel» på e-post du ikke har bedt om, skal alltid sjekkes ekstra nøye. Legitime bedrifter bruker vanligvis sine offisielle kanaler – de ber deg ikke logge inn via en lenke i en tilfeldig SMS.

En SMS kan dessuten havne i samme meldingstråd som ekte meldinger fra en kjent avsender, fordi avsenderopplysninger i SMS kan forfalskes. At meldingen ligger i tråden med Posten eller banken din, er altså ikke bevis på at den er ekte. Og dårlig norsk – skrivefeil, rar tegnsetting, merkelige formuleringer – er et gjennomgående varseltegn.

Beskyttelse som virker i bakgrunnen

Har du Telenor som leverandør, har du Nettvern inkludert – et filter som advarer og nekter tilgang til nettsider som er kjent for virus eller phishing, også når du klikker lenker fra e-post og SMS. Men det har to begrensninger du bør kjenne til: det virker bare når du surfer på Telenors bredbånd, wifi eller 5G – ikke på andres nett – og listen inneholder bare kjente infiserte sider. En ny svindelside som ikke er registrert ennå, kan slippe gjennom.

Nettleseren din har også innebygde advarsler: den røde skjermen med «Deceptive site ahead» eller «Dangerous site» utløses av tjenester som Google Safe Browsing eller Microsoft SmartScreen når et nettsted er identifisert som phishing-side eller spredning av skadelig programvare. Ta slike advarsler på alvor – ikke trykk «videre likevel».

Hva gjør du hvis du allerede har klikket?

Klikket du på en mistenkelig lenke, er det viktigste å handle raskt – særlig hvis du oppga noe. Har du oppgitt kort, BankID eller passord: ring banken først, deretter sperr kort og BankID og bytt passord. Uansett bør du ta skjermbilde av meldingen før du sletter den, slik at du har dokumentasjon og kan rapportere den. Vi har en egen steg-for-steg-guide for hva du bør gjøre den første timen etter svindel, samt egne sider om å sperrer bankkort og BankID og anmelde svindel til politiet.

Har du oppgitt brukernavn og passord, bør du også lese vår guide om hva du gjør når en konto er hacket – og slå gjerne på tofaktorautentisering på alle viktige kontoer, hvis du ikke allerede har gjort det.