Bortom mullvadsjakten

INTERNET SWEDEN  ·  ANALYS OCH METOD  ·  3 OKTOBER 2026

Myndigheterna arbetar för fullt. Några mullvadar försvinner. Tusentals återstår. Och under marken finns gångsystemet kvar.

Det är poängen med bilden. Inte att förringa arbetet hos Polisen, Ekobrottsmyndigheten, Skatteverket eller andra myndigheter. Utan att synliggöra skillnaden mellan att hantera det som sticker upp och att komma åt strukturerna som gör att nya upplägg hela tiden kan dyka upp.

En del av lösningen är, enligt min mening, att systematiskt kartlägga och löpande monitorera den svenska delen av internet. För att upptäcka återkommande bedrägeriupplägg, uppmärksamma relevanta aktörer, varna och bidra till att bedragare kan utredas och lagföras – medan de fortfarande har handen i syltburken.

Gångsystemet är ingen ny upptäckt

Redan i Serious and Organised Crime Threat Assessment, SOCTA 2021, beskrev Europol att över 80 procent av de kriminella nätverken verksamma inom EU använde legala företagsstrukturer i sin brottslighet. Bolag och andra juridiska strukturer var alltså ett utbrett inslag i den organiserade brottslighetens verksamhet. [1]

Rapporten angav också att omkring hälften av nätverken upprättade egna legala företagsstrukturer eller infiltrerade företag på hög nivå. Det är mer precist än att säga att hälften enbart ”ägde egna bolag”. Uppgifterna avser Europols bedömning av kriminella nätverk inom EU 2021, inte alla svenska företag eller en ny mätning för 2026. [1]

För mig väcker detta en viktig fråga: tittar vi på bolaget som en isolerad juridisk person, eller försöker vi förstå vilken funktion det fyller i ett större sammanhang?

Att kontrollera att ett företag existerar är en sak. Att förstå hur det används, vad det möjliggör och vilka andra verksamheter det hänger samman med är något annat. Samma fråga kan ställas om en identitet, ett telefonnummer, en domän eller en webbplats.

Internetkopplingen har beskrivits i över ett decennium

När jag går tillbaka till presentationsmaterial som jag sammanställde omkring 2017 hittar jag äldre nyhetsklipp om bedrägeriernas internetkoppling.

I det Expressen-klipp som jag har bevarat och märkt 2012 anges att 85–90 procent av bedrägerifallen var kopplade till nätet, med hänvisning till polisen. [2]

I Aftonbladetartikeln som i mitt material är märkt 2013 resonerar förundersökningsledaren Anders Olofsson om att nio av tio anmälningar skulle försvinna om internet kunde stängas ned. Det är ett tankeexperiment i en intervju, inte en redovisad statistisk undersökning. Men det visar hur central internetkopplingen bedömdes vara redan då. [3]

Den 2 december 2025 rapporterade SVT, med hänvisning till siffror från polisen, att 90 procent av de anmälda bedrägerierna i Sverige var nätrelaterade. Artikeln redovisar inte beräkningsmetoden eller den exakta mätperioden. [4]

Det är olika publiceringar, inte en statistiskt jämförbar tidsserie. De visar ändå att internet under lång tid har beskrivits som centralt för bedrägeribrottsligheten. [3] [4]

Min fråga är hur den kunskapen omsätts i praktisk förmåga att upptäcka och förhindra brott.

Vi behöver komma in tidigare i händelsekedjan

I min förenklade analysmodell beskriver jag sex delar: förberedelser, strukturer, metoder, brott, förädling och legitimering.

Modellen är inte ett påstående om att varje brott följer en rak tidslinje. Delar kan överlappa, återanvändas och ingå i flera parallella upplägg. Men den hjälper oss att rikta uppmärksamheten mot det som behöver finnas på plats före själva bedrägeriet.

Min tyngdpunkt här ligger på förberedelserna, strukturerna och metoderna. Kan vi upptäcka ett upplägg innan det hinner skörda brottsoffer? Och när det redan har börjat – kan vi identifiera och avbryta det innan fler drabbas?

För att hitta strukturerna behöver vi förstå metoderna. Annars riskerar relevanta uppgifter att framstå som isolerade detaljer. Jag efterfrågar därför inte bara mer information, utan en starkare gemensam förmåga att söka, känna igen, värdera och koppla samman det vi ser.

Kartlägg den svenska delen av internet – och följ förändringarna

Med ”den svenska delen av internet” menar jag här den offentligt tillgängliga webbnärvaro som riktar sig mot svenska privatpersoner, företag och organisationer. .se och .nu är naturliga utgångspunkter, men inte hela avgränsningen. Svenska erbjudanden, uppgivna organisationsnummer och kontaktuppgifter kan finnas även under andra toppdomäner.

Det jag vill se är en kombination av sökbar historik och löpande bevakning: vilka webbplatser finns, vad uppger de, vad förändras och vilka uppgifter återkommer?

Telefonnummer, e-postadresser, organisationsnummer, företagsnamn, texter, bilder och sidornas utformning behöver kunna jämföras över tid. Tekniska relationer mellan exempelvis domäner och namnservrar kan vara kompletterande uppslag, men ska inte i sig avgöra vilka verksamheter som hör ihop.

Bevakningen ska kunna uppmärksamma när ett dokumenterat kännetecken dyker upp på nytt, när en befintlig verksamhet byter uppgifter eller när en kombination av likheter motiverar en närmare granskning.

En ny domän eller ett nytt namn ska inte innebära att kunskapen om ett bedrägeri börjar om från noll.

Följ generationerna – inte bara det senaste namnet

Tänk ett hypotetiskt exempel där ett verifierat bedrägeri följs av nya webbplatser med återkommande kännetecken:

Det är så jag vill kunna hitta nya generationer av samma slags upplägg och undersöka om samma bedragare återkommer. En träff är ett undersökningsspår, inte en färdig personidentifiering. Kopierat innehåll, kapade företagsuppgifter och gemensamma tjänsteleverantörer är alternativa förklaringar som behöver prövas.

Det behövs inte heller en helt identisk webbplats för att en granskning ska vara relevant. Poängen är att kunna se kombinationer av uppgifter och förändringar som annars går förlorade när varje domän behandlas för sig.

Ett register över webbnärvaro – inte över misstänkta

Att ett företag finns i ett företagsregister innebär inte att företaget är misstänkt för brott. Ett brett informationsunderlag och en riktad brottsbekämpande granskning fyller olika funktioner.

Det är samma principiella skillnad jag menar här. Kartläggningen ska beskriva den offentliga webbnärvaron. Granskningen riktas mot relevanta observationer, misstänkt missbruk, osanna uppgifter och möjliga lagöverträdelser – inte mot alla verksamheter bara för att de finns med i underlaget.

Anta att ett telefonnummer blir relevant i ett pågående bedrägeri. Då vill jag kunna undersöka var numret förekommer nu, var det förekom tidigare och vilka andra uppgifter det har uppträtt tillsammans med.

Vi ska inte behöva börja samla kunskap först när vi vet exakt vad vi letar efter. Det breda underlaget gör det möjligt att söka bakåt. Den löpande bevakningen gör det möjligt att upptäcka nästa återkomst.

Jämförelsen med företagsregister gäller funktionen, inte att olika register har samma rättsliga förutsättningar. En sådan kartläggning behöver utformas med tydliga ändamål, rättsligt stöd, uppgiftsminimering, relevanta lagringstider och kontroll över åtkomst och rättelser. Förslaget avser offentlig webbnärvaro, inte generell övervakning av privat kommunikation.

När de har handen i syltburken

Insamlingen är bara början. Den praktiska kedjan jag efterfrågar är att monitorera, upptäcka, dokumentera, granska, uppmärksamma och varna – och ge underlag för ingripanden, utredning och lagföring där brott kan styrkas.

Med ”handen i syltburken” menar jag att vi behöver fånga vad verksamheten faktiskt gör och påstår i det aktuella ögonblicket. Vilket erbjudande används? Vilket företag utger den sig för att representera? Vilka kontaktvägar anges? Hur försöker den få människor och företag att agera?

Relevant innehåll bör sparas med tydlig adress, tidpunkt och sammanhang, så att det går att följa vad som har observerats och vilka slutsatser som dragits. Dokumentationen kan bidra till en utredning, men ersätter inte bevisning om vem som gjort vad eller om brottets övriga förutsättningar.

När flera aktiva webbplatser visar relevanta samband ska de kunna undersökas tillsammans. Vi ska inte behöva vänta på att varje enskild sida först ska generera egna brottsoffer och anmälningar innan återkomsten ens uppmärksammas.

Olika aktörer har olika mandat. Men informationen behöver nå dem som kan agera medan det fortfarande går att förhindra nästa brott. Det är något annat än att enbart dokumentera en stängd webbplats i efterhand.

Mät förmågan att förhindra nästa brott

En sådan satsning bör inte bedömas efter hur många domäner som samlats in eller hur många automatiska varningar som skickats. Jag vill utvärdera hur tidigt relevanta upplägg upptäcks, hur snabbt observationer kan granskas och omsättas i åtgärder, samt om åtgärderna minskar verksamhetens möjlighet att nå nya brottsoffer.

Träffsäkerheten behöver också följas upp. Felaktiga samband ska kunna rättas, och oskyldiga verksamheter ska inte drabbas av ogenomtänkta slutsatser. Förmågan att hitta och förmågan att skilja rätt från fel behöver utvecklas tillsammans.

I mina egna resonemang har jag prövat en möjlig ökning av de årliga ekonomiska förlusterna med uppemot 50 miljarder kronor från ett år till nästa som riskscenario. Det är en arbetshypotes, inte uppmätt svensk tillväxt eller en fastställd ökning av brottsvinster. AFI-underlaget som ingått i resonemanget avser brittiska bedrägeriförluster, inte svenska brottsvinster. [5]

Behovet av att pröva andra arbetssätt står inte och faller med just den siffran. Den konkreta frågan är vad vi kan upptäcka och göra medan ett upplägg byggs upp eller fortfarande är i gång.

#TrueStory2026   #OutsideTheBox