Anna LindgrenUnder sommaren 2026 har polisanmälningarna om SMS-bedrägerier i Sverige nått alarmerande nivåer. Den 1 augusti trädde ny lagstiftning i kraft som ger teleoperatörer befogenhet att blockera misstänkta meddelanden – men de tekniska systemen för att tillämpa lagen i praktiken är inte planerade att vara fullt implementerade förrän tidigt 2027, enligt Post- och telestyrelsen (PTS). Det skapar ett farligt glapp: juridiken är på plats, men nätverksskyddet saknas fortfarande. IT-säkerhetsexperter varnar nu att varken privatpersoner eller företag kan förlita sig enbart på den nya lagen. Tekniska skyddsåtgärder – från MDM-lösningar till korrekt samtyckehantering under GDPR – är lika nödvändiga som juridisk medvetenhet.
Bedrägerivågen fortsätter – siffrorna är alarmerande
Under 2025 anmäldes 232 862 bedrägeribrott i Sverige, enligt Brottsförebyggande rådet (Brå). Bara i juli 2026 inkom omkring 300 polisanmälningar kopplade till en enda variant av bluff-SMS – falska meddelanden som utger sig för att komma från anhöriga barn i nöd. Mörkertalet bedöms vara stort. Bedrägerier via telefon och SMS är en av de brottstyper som ökar mest i landet, med uppskattade brottsvinstser på över 6 miljarder kronor varje år, enligt polisen.
Den nya lagen ger operatörerna rätt att filtrera avsändare och blockera misstänkta SMS automatiskt. Men PTS har bekräftat att det praktiska genomförandet av dessa verktyg är planerat till tidigt 2027. Under det mellantid är konsumenter och företag fortfarande exponerade mot samma hot – och måste själva vidta åtgärder.
Juridik är inte samma sak som tekniskt skydd
Den nya telekomlagstiftningen reglerar vad operatörerna ska göra på nätverksnivå. Men den skyddar inte automatiskt mot smishing – SMS-nätfiske riktat mot anställda och företag. Den påverkar heller inte hur ditt företag hanterar de personuppgifter du själv skickar via SMS.
En IT-säkerhetskonsult arbetar med två parallella utmaningar. Den första är att skydda anställda och kunder mot inkommande hot: smishing-attacker, SIM-swap-bedrägerier och skadliga länkar som ser ut att komma från betrodda avsändare. Den andra är att säkerställa att företagets egna SMS-utskick uppfyller GDPR. Enligt dataskyddsförordningen är ett mobiltelefonnummer en personuppgift. Det innebär att om ditt företag skickar marknadsförings-SMS utan dokumenterat samtycke (opt-in) bryter du mot lagen – oberoende av om meddelandena innehåller skadliga länkar eller inte.
Smishing skiljer sig från vanligt e-postnätfiske på ett avgörande sätt: SMS upplevs av de flesta som ett mer personligt och trovärdigt medium. Öppningsfrekvensen för SMS ligger runt 98 procent, jämfört med ungefär 20 procent för e-post. Angripare utnyttjar det faktum att vi läser SMS utan att ifrågasätta avsändarens identitet på samma sätt som vi gör med okända e-postadresser. Det gör smishing till ett av de snabbast växande hoten mot svenska företag 2026.
Medan juridiska rättigheter handlar om vad du kan kräva i efterhand, handlar IT-säkerhet om att förebygga skadan innan den uppstår. Båda perspektiven behövs, men de kompletterar varandra – inte ersätter varandra.
Konkret scenario: vad kostar ett enda klick ditt företag?
Ta ett realistiskt exempel: ett medelstort e-handelsföretag i Sverige med 22 anställda och en omsättning på 14 miljoner kronor. Företaget saknar MDM-lösning (Mobile Device Management) på de arbetstelefoner som används för kundkommunikation och interna system.
En anställd på kundservice tar emot ett SMS som ser ut att komma från Skatteverket, med uppmaningen att klicka på en länk och verifiera ett personnummer för en pågående skattefråga. Länken är falsk – ett klassiskt smishing-angrepp. Genom att ange sina uppgifter ger den anställde angriparen tillgång till e-postkontot, och därifrån till delade kundregister med namn, adresser och orderhistorik.
Konsekvenserna är direkta och mätbara. Företaget är enligt GDPR skyldigt att anmäla personuppgiftsincidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar. Sanktionsavgifter kan uppgå till 4 procent av företagets globala årsintäkt, vilket för detta företag innebär upp till 560 000 kronor – eller upp till 20 miljoner euro i värsta fall beroende på allvaret. Utöver böter tillkommer kostnader för incidentutredning, kundkommunikation och teknisk återhämtning, vilket branschstudier uppskattar till i genomsnitt 2–4 miljoner kronor för ett medelstort företag.
Hade företaget haft en MDM-lösning på plats – en standardtjänst som kostar ungefär 30–80 kronor per enhet och månad – hade administratören kunnat fjärrsäkra eller radera den komprometterade telefonen inom minuter. En IT-säkerhetskonsult kan dimensionera rätt skyddsnivå baserat på företagets storlek, bransch och riskprofil, och hjälpa till att installera och konfigurera systemet korrekt.
Fem tekniska skyddsåtgärder att diskutera med en IT-expert
IT-säkerhetsexperter rekommenderar generellt följande åtgärder för svenska företag under 2026:
MDM-lösning för mobila enheter – Ger centraliserad kontroll över företagets telefoner och surfplattor. Om en enhet komprometteras kan den fjärrsäkras, låsas eller raderas. Kostnad: typiskt 30–80 kronor per enhet och månad beroende på leverantör och funktionalitet.
Aktivera inbyggd SMS-filtrering – Både Google Messages (Android) och Apples meddelande-app (iOS 17 och senare) har inbyggd AI-baserad markering av misstänkt SMS. Kontrollera att funktionen är aktiverad på alla företagets enheter och att anställda vet hur de rapporterar misstänkta meddelanden.
Ersätt SMS-baserad tvåfaktorautentisering – SMS-koder för inloggning är sårbara mot SIM-swap-attacker, där en angripare tar över ditt telefonnummer. IT-konsulter rekommenderar att byta till TOTP-baserade appar som Google Authenticator eller Microsoft Authenticator för alla affärskritiska system.
Strukturerad samtyckehantering för utgående SMS – Om företaget skickar marknadsförings-SMS krävs dokumenterat opt-in-samtycke. Ett konsultuppdrag kan inkludera granskning av nuvarande samtyckeflöden och implementering av ett system som hanterar avanmälningar automatiskt.
Regelbunden säkerhetsutbildning – Tekniska verktyg räcker inte ensamma. Att utbilda anställda i att känna igen smishing-försök – till exempel ledtrådar som ovanlig avsändaradress, brådskande ton och oväntade länkar – minskar risken avsevärt. Studier visar att välutbildad personal är den effektivaste försvarsmuren mot sociala ingenjörsattacker.
GDPR och ditt ansvar som SMS-avsändare
Om ditt företag använder SMS som kommunikationskanal med kunder eller prospekts ställer GDPR tydliga krav. Mottagaren måste ha gett uttryckligt och dokumenterat samtycke i förväg – det räcker inte med en allmän hänvisning till köpvillkor eller befintlig kundrelation. Samtycket ska vara specifikt, informerat och frivilligt, och kunden ska enkelt kunna återkalla det.
PTS hanterar frågor om elektronisk kommunikation, medan IMY (Integritetsskyddsmyndigheten) hanterar personuppgiftsbehandlingen. Dessa är två separata tillsynsmyndigheter med skilda befogenheter. Det innebär att ett och samma SMS-utskick kan leda till tillsyn från båda myndigheterna om hanteringen brister. Du hittar mer information om vilka skyldigheter som gäller på IMY:s officiella webbplats.
Det är också viktigt att notera att informationslagring kopplad till SMS-utskick – vilka nummer som kontaktats, vid vilken tidpunkt och med vilket innehåll – räknas som personuppgiftsbehandling och måste hanteras i enlighet med principen om lagringsminimering.
När ska du rådfråga en IT-säkerhetskonsult?
Du bör overväga att kontakta en IT-säkerhetskonsult om något av följande stämmer på ditt företag:
- Anställda hanterar kunddata via mobiler utan dokumenterat MDM-skydd
- Du är osäker på om era utgående SMS-utskick uppfyller GDPR:s samtyckekrav
- En anställd har klickat på en misstänkt länk i ett SMS – och du vet inte vad som hände därefter
- Du vill genomföra en säkerhetsrevision inför PTS-reglernas fulla implementering 2027
- Ditt företag planerar att expandera SMS-kommunikationen och vill göra det lagligt och säkert
På Expert Zoom kan du läsa mer om hur digitalt integritetsskydd och dataskyddsfrågor påverkar svenska arbetsplatser. Du kan också boka en konsultation direkt med verifierade IT-säkerhetsexperter som är specialiserade på dataskydd och mobil säkerhet för svenska företag. En inledande genomgång kan identifiera kritiska luckor i din nuvarande säkerhetsstrategi – och hjälpa dig att prioritera de åtgärder som ger störst effekt.
Observera: Den här artikeln är av informativ karaktär och ersätter inte professionell juridisk eller teknisk rådgivning. Kontakta en kvalificerad IT-säkerhetskonsult för bedömning av din specifika situation.
