Vi når nästa nivå av nätfiske: skrivna per brev, tryckta och med våra personuppgifter exponerade

I åratal har vi lärt oss att se med misstänksamhet på e-postmeddelandet som lovar en oväntad återbetalning, sms:et som ber oss att uppdatera ett konto eller WhatsApp-meddelandet som kommer för akut. Nätfiske har fastnat för oss som något digitalt, klistrat på en skärm, på en misstänkt länk eller på en webbplats som försöker se ut som vår banks.

Men den bilden brister. Samma logik av bedrägeri kan också passera dörren till huset inuti ett kuvert, tryckt på papper och med utseendet av en officiell kommunikation. Skillnaden ligger inte så mycket i mekanismen som i sammanhanget.

Istället för att vänta på att vi ska klicka på en länk från vår mobiltelefon försöker angriparen dra nytta av det förtroende vi fortfarande har för viss fysisk kommunikation.

Och just däri ligger risken. Papper kan ge en känsla av legitimitet som ett misstänkt e-postmeddelande inte längre alltid uppnår, även om innehållet är detsamma som alltid: att imitera någon att pressa oss att leverera information som vi inte bör dela. Pappersfiske: den gamla bluffen har hittat en annan brevlåda.

Ett exempel delades nyligen på LinkedIn av Inés Zuriaga del Castillo, som sa att hon hade fått ett fysiskt brev hemma hos sig som påstås ha skickats av Ledger, företaget känt för sina hårdvaruplånböcker, fysiska enheter för lagring av kryptotillgångsnycklar. Enligt dess publikation innehöll kuvertet papper, ett officiellt utseende brevhuvud och en instruktion att skanna en QR med det förmodade syftet att uppdatera enheten och skicka återställningsfrasen. Den sista punkten är den mest uppenbara röda flaggan: återställningsfrasen ska aldrig delas.

Till vänster, fallet med ett falskt brev skickat i Ledgers namn. Till höger, en bedräglig kommunikation upptäckt av socialförsäkringen. Ledger har också varnat för sådana försök på sin supportsida.

Företaget beskriver ett brev som presenterar sig som ett meddelande om "säkerhetsverifiering" och ber användaren att skanna en QR för att ange sin hemliga återställningsfras, förmodligen för att undvika säkerhetsproblem eller avbrott i tjänsten. Företagets rekommendation är tydlig: skanna inte dessa koder, besök inte dessa länkar och dela aldrig de 24 återställningsorden. Det är inte en liten detalj.

Med den frasen kan en angripare ta kontroll över plånboken och flytta de tillhörande medlen. Fallet är inte begränsat till kryptovalutornas värld. Socialförsäkringen har upptäckt i Spanien en kampanj med bedrägliga brev riktade till förmånstagare och pensioner, där personlig dokumentation som DNI eller ett foto av kontoutdraget efterfrågas.

Förevändningen är enligt organisationen att data hade gått förlorade på grund av en påstådd dataangrepp och att denna information skulle behövas för att sätta in ett belopp på pensionärens konto efter en höjning av förmånen. Entiteten kommer ihåg att den aldrig kommer att begära att information eller dokumentation skickas via e-post, en tillräcklig ledtråd för att misstro denna typ av kommunikation.

De två exemplen riktar sig till olika målgrupper, men de delar samma arkitektur. När det gäller Ledger kretsar lockbetet kring en plånbok och en återställningsfras som aldrig ska lämna användarens kontroll.

Inom socialförsäkringen stöds trycket av en förmån, en pension och löftet om en väntande inkomst. De ändrar språket, den personifierade enheten och den typ av data de försöker få, men den bakomliggande manövern är identisk: konstruera en kommunikation som är tillräckligt trovärdig för att offret ska kunna agera innan kontroll. När det gäller Ledger kretsar lockbetet kring en plånbok och en återställningsfras som aldrig ska lämna användarens kontroll.

Frågan som fortfarande svävar är svår att undvika: hur kommer ett brev som detta till en specifik adress. Sanningen är att personuppgifter kan hamna avslöjade på grund av intrång hos företag, leverantörer eller förvaltningar, även om användaren har gjort sin del någorlunda bra: använd starka lösenord, aktivera tvåstegsverifiering eller var försiktig med misstänkta meddelanden. Utan att gå längre rapporterade AEPD att den 2025 mottog 2 765 meddelanden om intrång i personuppgifter, och noterade att de som drabbade flest personer var relaterade till ransomware och intrång som ledde till att stora mängder information slocknade.

Därifrån kommer ytterligare en bit av hjulet in: den stulna informationen används inte alltid bara en gång och den förblir inte heller i händerna på den som skaffade den först. Som vi redan berättade i Xataka kunde dokument som en spansk DNI hittas på illegala internetmarknader för cirka 15 euro. Dessa uppgifter förklarar inte ursprunget till de specifika brev som vi har sett, men de hjälper till att förstå något viktigt: när personlig information börjar cirkulera utom kontroll kan den återanvändas i olika bedrägerier, med olika format och ibland väldigt långt från det ursprungliga intrånget.

I Xataka åt en antropisk arbetare ett mellanmål när han fick ett mejl som han aldrig borde ha fått: det var Mythos. Det finns en enkel regel som fungerar för både digitalt nätfiske och detta pappersnätfiske: ju mer en kommunikation driver oss att agera snabbt, desto långsammare bör vi gå. Ett brev som begär känsliga uppgifter bör ringa varningsklockorna.

Vi bör inte skanna QR:en ur tröghet, inte heller ska vi använda e-postmeddelandet som den föreslår och vi skulle inte ringa telefonnumret som visas som det enda kontaktmedlet. Vad rekommenderas? Verifiera först på egen hand, på den officiella webbplatsen eller på enhetens offentliga kanaler.

Det är mindre bekvämt, ja, men det är också precis det som bryter fällan. I slutändan är formatet nästan det minst viktiga. Det kan vara ett mejl, ett sms, ett WhatsApp-meddelande eller ett brev på brevpapper.

Det som förändras är scenariot, inte avsikten: att få oss att lita på tillräckligt för att leverera något som senare kan vända sig mot oss. Det är därför dessa typer av fall är användbara, även när vi inte känner till alla detaljer om deras ursprung. De påminner oss om att säkerheten inte börjar när vi upptäcker en falsk webbplats, utan ett steg innan: när vi bestämmer oss för att inte automatiskt tro på en kommunikation bara för att den verkar seriös.

Bilder | Xataka med Grok | Inés Zuriaga del Castillo In Xataka | Hur ofta ska vi ändra ALLA våra lösenord enligt tre cybersäkerhetsexperter