Hur fungerar skimningsskydd på ett svenskt kreditkort?
Skimningsskydd är samlingsbegreppet för de tekniska och praktiska åtgärder som hindrar bedragare från att kopiera kortdata genom så kallad skimning på bankomater, betalterminaler eller bensinstations-pumpar. Skimning innebär att en angripare monterar en falsk kortläsare ovanpå den riktiga och i kombination med en dold kamera eller falskt knappsats fångar både magnetremsans data och din PIN-kod. Tekniken var en av de största hoten mot svenska kortinnehavare mellan 2005 och 2015 men har minskat med över 90 procent sedan EMV-chipkortet blev standard 2010.
För dig som kortinnehavare består skimningsskyddet av tre lager: tekniska skydd som EMV-chip och tokenisering som gör magnetremsedatan i princip värdelös, fysiska skydd som RFID-blockerande plånböcker som stoppar trådlösa avläsare, och beteendebaserade skydd som att täcka PIN-koden vid inmatning. Tillsammans har lagret reducerat svenska skimningsbedrägerier från cirka 80 000 fall per år 2010 till under 5 000 fall per år 2024 enligt branschstatistik.
Varför fungerade gammal skimning så väl?
Gammal skimning fungerade så väl mellan 2005 och 2010 eftersom svenska kort fortfarande hade aktiva magnetremsor som lagrade fullständig kortdata i klartext, inklusive kortnummer, utgångsdatum och så kallad CVV1-kod. En enkel kortläsare kunde kopiera all data på under en sekund när du drog kortet, och med PIN-koden från den dolda kameran kunde bedragaren framställa en fungerande dubblett som användes på utländska bankomater där svenska bankers riskanalys saknade insyn.
EMV-chipkortet ändrade allt eftersom chippet använder dynamiska transaktionskoder som inte kan återanvändas. Magnetremsan finns kvar på de flesta kort som backup men deaktiveras automatiskt på nya transaktioner i Sverige sedan 2018, vilket gör skimning av magnetremsor i princip meningslöst.
Är NFC-blippning säkert mot trådlös skimning?
Skimningsskydd fungerar genom att kombinera tekniska barriärer som omöjliggör kopiering av användbar kortdata med fysiska barriärer som stoppar trådlös avläsning och beteendebaserade rutiner som skyddar PIN-koden. De tre lagren tillsammans gör att även en lyckad skimning av magnetremsan ger bedragaren värdelös data som inte fungerar i moderna betalningssystem.
Hur skyddar EMV-chip mot skimning?
EMV-chip skyddar mot skimning genom att generera en unik transaktionskod för varje köp via en kryptografisk algoritm i chippet. Koden är giltig bara för den specifika transaktionen och kan inte återanvändas av en bedragare som kopierat datan. Tekniken bygger på offentlig krypto (RSA eller ECDSA) där chippet håller en privat nyckel som aldrig lämnar kortet, och en motsvarande publik nyckel som banken använder för att verifiera signaturen.
Praktiskt innebär det att en bedragare som lyckats kopiera magnetremsa, kortnummer och PIN ändå inte kan genomföra transaktioner i Sverige eller andra EMV-länder, eftersom alla terminaler kräver chip-verifiering. Den enda återstående risken är onlineköp där chippet inte används, vilket täcks av 3D Secure istället. Tröskeln för obligatorisk verifiering enligt PSD2 är 30 EUR per köp och kräver BankID-bekräftelse, vilket gör att kortdata utan tillgång till BankID är värdelös för online-bedrägerier.
Hur fungerar RFID-blockering mot trådlös skimning?
RFID-blockering skyddar mot en nyare typ av skimning där bedragaren använder en mobil läsare som aktiverar kortets kontaktlösa chip på upp till 4 cm avstånd genom plånbok eller jacka. RFID-blockerande plånböcker, kortfodral eller skyddsfickor innehåller ett tunt skikt av aluminium eller koppar som skapar en Faraday-bur som blockerar de elektromagnetiska vågorna och stoppar avläsningen.
Praktiskt är trådlös skimning ovanligt eftersom blippa-betalningar är begränsade till 400 kr per transaktion utan PIN och den effektiva räckvidden är bara 2 till 4 cm. Risken är dock fortfarande reell vid trängsel i kollektivtrafik eller på folksamlingar där en bedragare kan komma nära. RFID-skydd kostar 100 till 500 kr för en plånbok och är en billig försäkring för dig som ofta är i folksamlingar.
Vem ersätter pengarna om kortet ändå skimmas?
Skimningsskydd skyddar dig på fyra konkreta sätt vid kortköp och kontantuttag, och samtliga är reglerade i kombination av tekniska standarder (EMV, PCI DSS) och svensk lag (betalningstjänstlagen). Det viktigaste skyddet är att ekonomisk förlust vid skimning täcks av betalningstjänstlagens regler om obehöriga köp.
Skydd via tekniska barriärer i kortet
Det starkaste skimningsskyddet ligger i själva kortet och består av EMV-chip för fysiska köp, tokenisering vid mobilbetalningar (Apple Pay, Google Pay) och dynamiska CVC-koder vid online-prenumerationer. Tillsammans gör tekniken att kortdata du lämnar vid en transaktion inte kan återanvändas av en bedragare i en annan transaktion, eftersom varje köp använder en unik kryptografisk identifierare.
Tokenisering är särskilt effektivt vid mobilbetalningar eftersom telefonen aldrig lagrar det riktiga kortnumret utan en virtuell kopia (token) som bara fungerar tillsammans med specifik enhet och biometrisk verifiering. Förlorar du mobilen kan tokenen spärras separat utan att det riktiga kortet behöver bytas ut.
Skydd via betalningstjänstlagen vid skimning
Vid skimning där bedragaren genomfört obehöriga köp har du rätt till återbetalning enligt betalningstjänstlagen, oftast i sin helhet utan självrisk. Skimning räknas som obehörig transaktion eftersom du inte aktivt godkänt köpet, och din eventuella självrisk på 400 kr (vid normal aktsamhet) är ofta avskriven om bedragaren använt magnetremsa eller kringgått chippet på annat sätt.
För att maximera skyddet ska du anmäla skimning omedelbart till banken och göra polisanmälan, vilket är krav för full ersättning. Enligt betalningstjänstlagen §41 har du rätt till återbetalning av obehöriga transaktioner inom 1 till 10 arbetsdagar, med max 400 kr i självrisk vid normal aktsamhet och 0 kr om bedragaren kringgått chippet. Aktsamhet kring PIN och kort ingår i utgivarnas standardkrav, vilket innebär att täcka knappsatsen, inte skriva ner PIN och hålla kortet under uppsikt.
Hur skyddar du dig själv mot skimning vid bankomaten?
För att maximera skimningsskyddet i vardagen ska du följa fem konkreta rutiner vid kortanvändning, kontantuttag och förvaring av kortet. Listan nedan visar de fem viktigaste praktiska åtgärderna och varför varje åtgärd minskar risken.
- Använd alltid chippet, aldrig magnetremsan: Om en terminal eller bankomat insisterar på magnetremsedragning är det en stark varningssignal. Avbryt transaktionen och gå till en annan automat. Moderna svenska terminaler ska alltid läsa chippet om kortet har ett.
- Täck PIN-koden vid inmatning: Skydda knappsatsen med din andra hand när du skriver PIN, även om du står ensam vid automaten. Dolda kameror är små och kan vara monterade i taklister eller bredvid skärmen utan att synas.
- Kontrollera bankomaten innan du sätter in kortet: Dra lätt i kortläsaren - en falsk läsare lossnar ofta. Inspektera knappsatsen efter manipulation och titta efter avvikande inramningar runt skärmen som kan dölja en kamera. Vid minsta tvivel: gå till annan automat.
- Använd RFID-blockerande plånbok eller fodral: För trådlös skimning räcker fysisk avskärmning. RFID-plånböcker kostar 100 till 500 kr och skyddar alla kort i plånboken samtidigt. Vissa moderna plånböcker har också separata sektioner för pass och kortmotion.
- Aktivera transaktionsnotiser i bankens app: Direktnotiser via app eller SMS gör att du upptäcker obehöriga köp inom sekunder och kan spärra kortet innan ytterligare skada uppstår. Alla större svenska utgivare erbjuder gratis push-notiser sedan 2018.
Hur identifierar du en manipulerad bankomat?
En manipulerad bankomat har vanligen fyra synliga avvikelser: kortläsaren känns lös eller är i avvikande färg från resten av automaten, knappsatsen sitter ovanligt högt eller har spår av lim, en avvikande inramning runt skärmen kan dölja en kamera, eller automaten visar ovanligt långa väntetider med skärmen som hänger. Vid minsta tvivel ska du avbryta transaktionen, ta bort kortet och använda en annan automat på exempelvis en bemannad bankomat eller inne i en bank.
Sedan 2015 har svenska banker installerat så kallade anti-skimning-enheter inuti automaterna som detekterar främmande föremål och stänger automaten vid larm. Bankomater inne i bankens lokaler är generellt säkrare än fristående uteautomater, eftersom personal kan upptäcka manipulationer snabbare och övervakningskameror är vanligare.
Vad gör du om kortet redan har blivit skimmat?
Om ditt kort skimmats ska du agera i fyra steg: spärra kortet omedelbart, anmäla obehöriga transaktioner som bedrägeri till banken, polisanmäla brottet och beställa ett nytt kort. Tidsfönstret är kritiskt eftersom bedragare ofta använder skimmade kort på kort tid för att maximera uttaget innan kortinnehavaren upptäcker det.
För det första spärrar du kortet via bankens app eller 24-timmarstelefon, vilket stoppar alla framtida transaktioner. För det andra anmäler du de obehöriga uttagen som obehörig transaktion enligt betalningstjänstlagen, vilket ger dig rätt till återbetalning inom 1 till 10 arbetsdagar. För det tredje gör du polisanmälan, vilket är krav för full ersättning enligt försäkringsvillkor och bankens utredningsrutiner. För det fjärde beställer du ett nytt kort, vilket utgivaren skickar inom 5 till 10 arbetsdagar.
Skyddar Apple Pay och Google Pay bättre än fysiskt kort?
Apple Pay och Google Pay ger generellt starkare skimningsskydd än ett fysiskt kort eftersom mobilen aldrig skickar det riktiga kortnumret till terminalen. Istället används en så kallad token, ett virtuellt kortnummer som bara fungerar tillsammans med just din enhet och din biometriska verifiering. Skulle någon avlyssna kommunikationen mellan mobil och terminal är datan i praktiken värdelös, vilket gör att traditionell skimning av magnetremsa eller kortnummer omöjliggörs.
Skillnaden i praktiken är tydligast när du handlar i butiker med osäker terminal-hygien eller på resor i länder där fysiska skimningsattacker fortfarande förekommer. Det fysiska kortet kan dessutom skimmas trådlöst på 2 till 4 cm avstånd även när det ligger i fickan, medan mobilen kräver att du aktivt låser upp den och godkänner med Face ID, Touch ID eller PIN. Bland alla kreditkort på svenska marknaden stödjer numera de flesta utgivare Apple Pay, Google Pay och Samsung Pay direkt i bankens app efter att kortet är aktiverat. Innan du kopplar kortet till mobilbetalning krävs att kortet är fullt aktiverat, och köp över 30 EUR triggar fortfarande BankID-verifiering precis som vid vanliga onlineköp.