Hvad er SIM-swap, og hvordan beskytter du dig i 2026?

Hvad er SIM-swap?

Et SIM-kort er det lille chip i din telefon, der knytter dit mobilnummer til nettet. Under normale omstændigheder sidder dit SIM-kort i din telefon, og ingen andre kan modtage dine opkald og SMS. Sådan er systemet designet til at fungere.

Ved et SIM-swap-angreb sker det modsatte. Svindleren overflytter dit nummer til et SIM-kort, de kontrollerer — uden din viden og uden din accept. Resultatet er, at din telefon mister signal. Du kan ikke ringe, modtage opkald eller SMS. I stedet modtager svindleren alt, der sendes til dit nummer, herunder alle engangskoder fra banker, kryptobørser og emailudbydere.

Det farlige opstår, fordi mange tjenester bruger SMS-koder som sikkerhedslag. Din kryptobørs sender en SMS-kode, når du logger ind eller godkender en udbetaling. Modtager svindleren den kode, har de fuldstændig adgang — selv om du har et stærkt kodeord.

Kryptovaluta er et særligt attraktivt mål for SIM-swap-angribere. Overførsler er uigenkaldelige, og sporbarhed er lav. Forstår du, hvorfor netop krypto er målet, kan du læse vores grundige gennemgang af hvad kryptovaluta er, og hvordan systemet fungerer.

SIM-swap er beslægtet med andre former for kryptosvindel. Vores artikel om krypto-phishing forklarer, hvordan svindlere typisk skaffer de persondata, de har brug for til at gennemføre et SIM-swap. De to angreb hænger tæt sammen.

Sådan virker et SIM-swap-angreb trin for trin

Et SIM-swap-angreb begynder ikke med et telefonopkald til teleselskabet. Det begynder med forberedelse. Svindleren samler persondata om sit mål — typisk uger eller måneder inden selve angrebet.

Fase 1: Rekognoscering og dataindsamling

Svindleren har brug for dit fulde navn, din adresse, dit CPR-nummer og dit mobilnummer. Disse data kan komme fra flere kilder:

• Datalæk: Millioner af danskeres CPR-numre og adresser er eksponeret i internationale databaser via datalæk fra store tjenester.
• Phishing: En falsk mail eller SMS lokker dig til at taste dine personoplysninger ind på en falsk hjemmeside.
• Sociale medier: Mange kryptoentusiaster annoncerer offentligt på Twitter og Reddit, at de ejer krypto — og hvad de ejer.
• Offentlige registre: I Danmark er adresser offentligt tilgængelige via CPR-registret, medmindre du aktivt har frabedt dig offentliggørelse.

Fase 2: Opkald til teleselskabet

Med persondata i hånden ringer svindleren til dit teleselskabs kundeservice. De fortæller, at de har mistet eller skadet deres SIM-kort og gerne vil have nummeret overført til et nyt. Kundeservicemedarbejderen verificerer identiteten via navn, adresse og eventuelt CPR-nummer. Det er præcis de oplysninger, svindleren har.

I Danmark er de store selskaber — TDC, Telenor, YouSee og 3 — alle potentielt sårbare. Teleselskabernes kundeservice er designet til at hjælpe kunder hurtigt og effektivt. Det er en fordel i hverdagen, men en svaghed, når en svindler udnytter systemet.

Fase 3: Dit nummer aktiveres hos svindleren

Teleselskabet godkender overførslen. Din telefon mister signal — du ser typisk "Intet signal" eller "SOS only" i statuslinjen. Du tror måske, det er et netproblem. Det er ikke det.

Svindleren modtager nu alle SMS, der sendes til dit nummer. De anmoder straks om nulstilling af adgangskoden til din email. Bekræftelseskoden sendes til dit nummer — og modtages af svindleren. De er nu inde i din email.

Fase 4: Adgang til kryptobørsen

Fra emailen nulstiller de adgangskoden til din kryptobørs. SMS-koden til login modtager de også på dit nummer. De er nu logget ind på din børs. Hvad der sker derefter, afhænger af dine sikkerhedsindstillinger. Har du ingen whitelist for udbetalingsadresser, kan de sende al krypto til en wallet, de kontrollerer — på under to minutter.

Kendte sager: Joel Ortiz og Michael Terpin

Joel Ortiz var 20 år gammel, da han stjal krypto for over 34.000.000 kr. (5 mio. USD) fra adskillige investorer via SIM-swap. I 2018 blev han den første person i USA til at modtage fængselsdom specifikt for SIM-swap — 10 år.

Michael Terpin, en prominent kryptoinvestor, mistede i 2018 krypto for 170.000.000 kr. (24 mio. USD) i et SIM-swap-angreb mod AT&T. Han sagsøgte teleselskabet for 2.240.000.000 kr. (224 mio. USD) og gerningsmanden Nicholas Truglia for 71.400.000 kr. (71,4 mio. USD). Sagen fremhæver, at teleselskabernes ansvar er reelt og juridisk anfægteligt.

Angrebsflowet visualiseret

Nedenfor ser du hele angrebet fra forberedelse til tømt konto. Bemærk tidsangivelserne — fase 3-5 kan gennemføres på under 10 minutter, hvis svindleren er forberedt og du ikke har beskyttelse på plads.

Det afgørende er tempoet i fase 3 til 5. Fra det øjeblik dit nummer er overflyttet til svindlerens SIM, har de adgang til alle dine SMS-koder. En forberedt svindler gennemfører fase 4 og 5 på under 10 minutter. Det eneste, der kan stoppe dem, er gode sikkerhedsindstillinger på din konto — implementeret på forhånd.

Et beslægtet angreb er wallet drainer, som tømmer din selvforvaltende wallet via godkendte transaktioner. Begge angreb er hurtige og uigenkaldelige. Vores artikel om kryptosvindel generelt giver et overblik over de mest udbredte angrebstyper og fælles mønstre.

Interaktivt sikkerhedstjek

Sæt hak ved de beskyttelseslag, du allerede har på plads. Scoren viser, hvor godt du er beskyttet mod SIM-swap. Brug de umarkerede punkter som din handlingsplan.

Vil du forstå alle 2FA-metoderne i dybden, kan du læse vores komplette guide til to-faktor-godkendelse. Her gennemgår vi fordele og ulemper ved SMS, autentificeringsapps og hardwarenøgler.

Sammenligning af 2FA-metoder

Ikke alle 2FA-metoder er lige stærke. Tabellen nedenfor sammenligner de mest udbredte metoder med fokus på SIM-swap-modstandsdygtighed, brugervenlighed og pris.

Kilde: ENISA — Threat Landscape for Telecom Sector (2023); FIDO Alliance — State of Authentication Report (2024). "Phishing-resistent" refererer til FIDO2-standarden, der binder nøglen til den specifikke origin og forhindrer man-in-the-middle-angreb.

Bemærk at autentificeringsapps (TOTP) er "delvist" phishing-resistente. En sofistikeret phishing-side kan realtids-proxy din TOTP-kode. Hardwarenøgler og passkeys er de eneste metoder, der er fuldt resistente over for phishing, fordi de kryptografisk binder sig til det specifikke domæne.

Skift fra SMS til sikker 2FA

Det vigtigste enkelt-skridt, du kan tage for at beskytte dig mod SIM-swap, er at skifte din 2FA fra SMS til en app. Det gælder alle konti, men prioritér din kryptobørs og din email. Email er kritisk, fordi mange tjenester sender nulstillingslinks til din indbakke — en kompromitteret email giver adgang til alt.

Trin-for-trin: Skift til autentificeringsapp

1. Download en autentificeringsapp. Google Authenticator, Authy og Microsoft Authenticator er alle gratis og pålidelige. Authy har den ekstra fordel, at du kan lave krypterede backups.
2. Gå til sikkerheds­indstillingerne. Log ind på den konto, du vil sikre — fx Coinbase, Kraken eller Binance — og find indstillingerne for to-faktor-godkendelse under "Sikkerhed".
3. Vælg "Autentificeringsapp" som metode. En QR-kode vises på skærmen. Scan den med din autentificeringsapp. Appen genererer nu en 6-cifret kode, der skifter hvert 30. sekund.
4. Bekræft opsætningen. Indtast den aktuelle kode fra appen for at bekræfte, at det virker.
5. Gem dine backup-koder sikkert. Du modtager typisk 8-10 engangskoder. Print dem og gem dem fysisk — ikke digitalt på den samme enhed. Disse er din redning, hvis du mister telefonen.
6. Deaktivér SMS som 2FA-mulighed. Dette trin glemmer mange. Så længe SMS er aktiveret som en alternativ metode, kan svindleren vælge at bruge den i stedet for appen.

Næste niveau: Hardwarenøgle (YubiKey)

En hardwarenøgle som YubiKey 5 NFC eller Security Key NFC er det stærkeste tilgængelige 2FA-lag. Du sætter nøglen i din USB-port og bekræfter med et enkelt tryk. Ingen software på din computer, ingen koder at taste — og fuldstændig immun over for SIM-swap.

Coinbase, Kraken, Binance og de fleste større kryptobørser understøtter alle FIDO2 hardwarenøgler. Prisen er typisk 300 kr.–600 kr. for en nøgle. Køb altid to: én til daglig brug og én backup, gemt sikkert.

Forbrugerrådet Tænk anbefaler i en vejledning om digital sikkerhed, at brugere med store aktiver — herunder kryptovaluta — prioriterer FIDO2-baserede løsninger frem for TOTP-apps. Det er den eneste metode, der er dokumenteret immun over for man-in-the-middle phishing-angreb.

Beskyttelse hos dit teleselskab

Da SIM-swap-angrebet starter hos teleselskabet, er det naturligt at søge beskyttelse der. Det er muligt — men ikke tilstrækkeligt alene. Betragt det som ét lag i en dybdeforsvars-strategi.

Bed om en PIN til portering og SIM-skift

Ring til dit teleselskab og bed specifikt om at tilføje en PIN-kode til portering og SIM-udskiftning. Forklar, at du ønsker ekstra beskyttelse mod SIM-swap. Bed dem notere, at enhver overflytning kræver din PIN, uanset hvad ringer påstår.

Notér datoen for din henvendelse, hvad de svarede, og hvem du talte med. Ring igen om 3 måneder for at bekræfte, at noten stadig er registreret. Systemer opdateres, og noter kan forsvinde.

Begræns din digitale profil

Svindleren har brug for dine persondata for at overbevise kundeservice. Jo færre data de kan finde, jo sværere er angrebet at forberede.

• Offentliggør ikke dit mobilnummer på sociale medier, LinkedIn eller kryptofora.
• Frabed dig offentliggørelse i CPR-registret via borger.dk.
• Brug ikke dit rigtige navn og nummer i offentlige kryptodiskussioner på Discord/Telegram.
• Del ikke størrelsen på din beholdning offentligt.
• Vær skeptisk over for uopfordrede opkald, der beder om persondata.

Husk, at datalæk fra store internationale tjenester kan have eksponeret dit CPR-nummer allerede. Det er uden for din kontrol. Teleselskabets procedure er dermed ikke tilstrækkelig alene — din kryptosikkerhed må ikke afhænge af, at teleselskabet holder svindlerne ude.

Kilde: Finanstilsynet — Vejledning om IT-sikkerhed for forbrugere (2024); Retsinformation.dk — Bekendtgørelse om udbud af elektroniske kommunikationsnet og -tjenester, §§ 14-16 om nummerportabilitet og identifikation.

Sikkerhed på din kryptobørs

Selv om svindleren gennemfører et SIM-swap, kan de rigtige indstillinger på din kryptobørs stoppe dem, inden de når at sende noget ud. Disse indstillinger er din vigtigste forsvarslinje.

Whitelist for udbetalingsadresser

De fleste store kryptobørser — herunder Coinbase, Kraken og Binance — tilbyder whitelist for udbetalingsadresser. Du opretter en liste over godkendte wallet-adresser. Børsen sender kun krypto til adresser på din liste.

Vigtigst: tilføjelse af en ny adresse har typisk en kold periode på 24-72 timer. Svindleren kan ikke straks sende til en ny adresse — selv om de er logget ind. Det giver dig tid til at opdage indlogningen og reagere.

Anti-phishing kode og login-notifikationer

Sæt en anti-phishing kode op på din børs (tilbydes af bl.a. Binance og Kraken). Alle officielle emails fra børsen vil indeholde denne kode — ser du den ikke, er emailen falsk. Aktivér desuden notifikationer ved login og udbetalinger — som email og push-besked på en enhed, der ikke er knyttet til dit kompromitterede nummer.

Flyt din krypto til en selvforvaltende hardware wallet

Det sikreste valg er at opbevare størstedelen af din krypto i en selvforvaltende hardware wallet. En hardware wallet er ikke forbundet til dit telefonnummer eller din email. Et SIM-swap giver ingen adgang til den.

Læs vores guide til den bedste krypto wallet for at sammenligne Ledger, Trezor og andre muligheder. Vil du vide, hvordan du overfører din krypto sikkert fra en børs til en wallet, har vi en komplet guide til overførelse af krypto til wallet.

Vil du vide, hvilke børser har de stærkeste sikkerhedsfunktioner, kan du læse vores sammenligning af de bedste kryptobørser i Danmark. Vi gennemgår bl.a. 2FA-muligheder, whitelistfunktioner og forsikringsdækning.

Hvad gør du, hvis du er ramt?

Trin 1: Ring til dit teleselskab omgående

Brug en anden telefon — lån fra en nabo, ven eller familie. Din egen telefon er ude af drift. Fortæl kundeservice, at du mistænker et SIM-swap-angreb, og bed dem:

• Spærre enhver portering eller SIM-skift på dit nummer med øjeblikkelig virkning.
• Genvinde dit nummer til dit originale SIM-kort.
• Eskalere sagen til en supervisor, hvis den første medarbejder er langsom.

Vær klar til at identificere dig. Hav dit CPR-nummer og din adresse klar. Notér tidspunktet for din henvendelse og hvem du talte med. Det er dokumentation til eventuel politianmeldelse og forsikringssag.

Trin 2: Skift adgangskoder fra en sikker enhed

Brug en computer eller tablet, der ikke er kompromitteret. Skift øjeblikkeligt adgangskoden til:

1. Din primære email (Gmail, Outlook, o.lign.)
2. Din kryptobørs
3. Din bank-login
4. Enhver anden konto, der brugte SMS som 2FA

Vælg nye, stærke adgangskoder — brug en password manager. Tjek dine konti for ukendte aktiviteter og gennemførte transaktioner.

Trin 3: Kontakt din kryptobørs' support

De fleste store børser har en sikkerhedsprocedure for mistænkelig aktivitet. Kontakt dem via chat eller email — ikke SMS. Bed dem om at:

• Fryse din konto midlertidigt.
• Blokere afventende udbetalinger.
• Sende dig en rapport over alle logins og transaktioner de seneste 24 timer.

Kryptotransaktioner, der allerede er bekræftet på blockchain, kan ikke rulles tilbage. Men børsen kan stoppe transaktioner, der endnu ikke er gennemført.

Trin 4: Anmeld til politiet

Anmeld angrebet til politiet via politi.dk. Anmeld også til dit teleselskab formelt. Gem al dokumentation: skærmbilleder, transaktionshistorik, emails fra børsen og noter fra kundeserviceopkald. Dokumentationen er afgørende for politiets efterforskning og for forsikringssager.

Ifølge reglerne i straffeloven § 279 (IT-bedrageri) og § 263 (uretmæssig adgang til andres data) er SIM-swap-angreb en alvorlig forbrydelse. Se lovteksten på Retsinformation.dk.

Trin 5: Pas på recovery-svindel

Et varsel: efter et SIM-swap kontakter svindlere ofte ofrene igen — denne gang som "hjælpere". De udgiver sig for at være recovery-eksperter, blockchain-analytikere eller politifolk og tilbyder at hente din krypto tilbage mod et gebyr eller mod din seed phrase. Det er ny svindel oven i svindlen.

Ingen kan hente stjålet krypto tilbage mod et gebyr. Del aldrig din seed phrase med nogen. Rapportér sådanne henvendelser til politiet.

Trin 6: Styrk din sikkerhed fremadrettet

Når den akutte situation er under kontrol, er det tid til at forstå, hvad der gik galt. Brug læringen til at lukke hullerne og forhindre fremtidige angreb.

• Skift til autentificeringsapp eller hardwarenøgle på alle vigtige konti.
• Fjern SMS som 2FA-mulighed overalt, hvor det er muligt.
• Tilføj en PIN til portering hos dit teleselskab.
• Flyt din krypto til en selvforvaltende hardware wallet.
• Begræns offentligt tilgængelige personoplysninger om dig.
• Overvej at skifte til et teleselskab med dokumenteret bedre SIM-swap-procedurer.

Skat og stjålet krypto fra SIM-swap

Et naturligt spørgsmål er, om du stadig skylder skat, når din krypto er stjålet. Svaret er komplekst, og dansk skattelovgivning er ikke eksplicit skrevet med kryptotyveri for øje.

Realiserede gevinster forinden tyveriet

Har du solgt krypto med gevinst og efterfølgende mistet restbeholdningen via SIM-swap, skyldes skatten af gevinsten stadig. Tyveriet af krypto er en separat hændelse fra den skattepligtige realisering. Det er en hård situation, men det er den nuværende fortolkning.

Tab fra tyveri som fradrag?

Det er uafklaret, om tyveri af krypto kan fradrages som et tab i skattemæssig forstand. Skattestyrelsen har ikke udstedt klare retningslinjer. Det generelle princip er, at tab kun kan fradrages, hvis det relaterer sig til en skattepligtig aktivitet. En skatterådgiver med kendskab til krypto er nødvendig her.

Dokumentation er afgørende

Uanset den skattemæssige behandling er dokumentation kritisk. Gem:

• Politianmeldelse med sagsnummer.
• Skærmbilleder af transaktionshistorik fra børsen.
• Emails fra børsen om den uautoriserede aktivitet.
• Kommunikation med teleselskabet.
• Blockchain-transaktions-ID'er for de stjålne beløb.

Læs vores komplette guide til kryptoskat i 2026 for at forstå de generelle regler for køb, salg, gevinst og tab i Danmark. Vi gennemgår de seneste regler fra Skattestyrelsen og EU's MiCA-forordning.

Kilde: EU-Lex — Europa-Parlamentets og Rådets forordning (EU) 2023/1114 (MiCA), artikel 76-83 om investorbeskyttelse; Retsinformation.dk — Statsskatteloven § 4-5 og Kursgevinstloven; Finanstilsynet — Forbrugervejledning om kryptovaluta (2024).

Vil du lære mere om, hvordan du generelt beskytter din krypto, anbefaler vi at starte med vores guide til to-faktor-godkendelse og derefter gennemgå vores artikel om kryptosikkerhed, der dækker alle de vigtigste emner fra wallets til børser.

Overvejer du at handle Bitcoin specifikt, forklarer vores guide til hvordan du køber Bitcoin de sikkerhedshensyn, du skal have med fra første dag som investor.