BankID, Trustly och kontosäkerhet: så skyddar du ditt spelkonto [2026]

Ett spelkonto är i dag nästan alltid kopplat direkt till ditt bankkonto. Du loggar in med BankID, sätter in pengar via Trustly och får uttagen tillbaka till samma konto. Det är smidigt, men det betyder också att den som kommer åt din BankID-identifiering i praktiken kommer åt både spelkontot och pengarna bakom det. Den här guiden går igenom hur tekniken fungerar, var angriparna faktiskt slår till och vad du kan göra för att skydda dig.

Fokus ligger på säkerhet, inte på spel. Vi tittar på BankID:s kryptografi, flödet i Pay N Play, kraven i PSD2 och skillnaden mellan sajter med svensk licens och sajter utan.

Så fungerar BankID tekniskt

BankID är en e-legitimation som utfärdas av bankerna och bygger på en vanlig PKI-modell (Public Key Infrastructure). När du skaffar Mobilt BankID skapas ett nyckelpar i appen. Den privata nyckeln stannar i telefonen och skyddas av din säkerhetskod eller biometri, medan den publika nyckeln binds till din identitet i ett certifikat som banken utfärdar.

När en tjänst vill identifiera dig skickar den en begäran till BankID:s server. Din app får en utmaning, du granskar vad som står på skärmen och godkänner med kod eller fingeravtryck. Appen signerar då utmaningen med den privata nyckeln och tjänsten får tillbaka ett verifierat svar med ditt namn och personnummer. Ingen kod eller nyckel skickas i klartext, och tjänsten ser aldrig din säkerhetskod.

Modellen är kryptografiskt stark, och det är precis därför angriparna inte går på tekniken. De går på människan. Det enda som behövs är att rätt person godkänner fel begäran.

BankID har en dominerande ställning. Enligt Riksbankens betalningsrapport 2025 har BankID över 8,5 miljoner användare och är den enda e-legitimationen som i dag kan användas för att identifiera sig hos betaltjänstleverantörer och godkänna betalningar. Det gör den till ett attraktivt mål.

Säker start, QR-koder och varför samtalet är farligast

Sedan den 1 maj 2024 är så kallad säker start obligatorisk för alla tjänster som använder BankID. Startar du inloggningen på datorn måste du skanna en rörlig QR-kod med telefonen, och använder du samma enhet öppnas BankID-appen automatiskt. Möjligheten att starta en inloggning genom att bara skriva in ett personnummer på en annan enhet försvann.

Förändringen stängde en hel kategori av bedrägerier. Tidigare kunde en bedragare mata in ditt personnummer på bankens sajt, ringa dig och be dig “bekräfta din identitet” i appen. Nu måste telefonen som godkänner inloggningen befinna sig framför QR-koden. Bedragaren måste alltså i stället lura dig att skanna en kod som han eller hon visar upp.

Det är just det upplägget som brottslingarna använder i dag. Vanliga upplägg är att någon ringer från “bankens säkerhetsavdelning”, “Polisen” eller en kundtjänst och skickar en länk till en sida där en QR-kod visas. Koden är äkta, men den hör till bedragarens inloggning hos din bank eller ditt spelkonto. Skannar du den loggar du in angriparen.

Omfattningen är fortfarande stor, även om utvecklingen går åt rätt håll. Polisen redovisar att brottsvinsterna från telefonbedrägerier har sjunkit från 712 miljoner kronor 2023 till knappt 302 miljoner kronor 2025, en minskning med nästan 60 procent. Myndigheten konstaterar samtidigt att anmälningarna ligger kvar på höga nivåer, och rådet är entydigt: logga aldrig in med BankID för att någon ringer och ber dig.

Trustly och Pay N Play: open banking i praktiken

Pay N Play är ett flöde där registrering, identifiering och insättning sker i ett enda steg. Du väljer belopp, loggar in i din internetbank via betaltjänsten med BankID och godkänner betalningen. Betaltjänsten förmedlar sedan de identitetsuppgifter som banken redan har kontrollerat till spelbolaget, som skapar kontot i bakgrunden.

Ur säkerhetssynpunkt har modellen flera fördelar. Spelbolaget får aldrig dina kortuppgifter eller bankinloggning, och uttag går tillbaka till samma verifierade bankkonto, vilket försvårar för en angripare att leda om pengarna. Kommunikationen mellan betaltjänst och spelbolag sker via signerade API-anrop och callbacks, samma typ av mekanism som vi beskriver i vår guide om HMAC-signaturverifiering för webhooks.

Svagheten är densamma som för BankID i stort. Kommer någon åt ditt godkännande kommer de åt både insättningen och kontot. Pay N Play gör det också så friktionsfritt att sätta in pengar att det kan påverka spelbeteendet, vilket är ett skäl att använda insättningsgränserna aktivt.

PSD2 och stark kundautentisering

Bakom flödena ligger EU:s betaltjänstdirektiv PSD2 och de tekniska standarder som preciserar kravet på stark kundautentisering, delegerad förordning (EU) 2018/389. Stark kundautentisering innebär att minst två av tre oberoende faktorer används: något du vet (kod), något du har (telefonen) och något du är (biometri).

Förordningen kräver dessutom dynamisk länkning vid betalningar. Autentiseringskoden ska vara knuten till ett specifikt belopp och en specifik mottagare, och betalaren ska få se båda innan godkännandet. Ändras beloppet eller mottagaren blir koden ogiltig. Det är därför BankID-appen visar vad du skriver under, och det är därför du alltid ska läsa texten innan du godkänner.

En jämförelse av hur inloggningsmetoderna står sig mot de vanligaste attackerna:

Inloggningsmetod	Faktorer	Skydd mot nätfiske	Vanligaste risk
BankID med säker start	Innehav + kunskap eller biometri	Högt, om du själv startat inloggningen	Social manipulation, delade QR-koder
Pay N Play via bank och BankID	Samma som BankID	Högt	Samma som BankID, plus impulsinsättningar
E-post och lösenord	Kunskap	Lågt	Återanvända lösenord, credential stuffing
Lösenord + SMS-kod	Kunskap + innehav	Medel	SIM-byte, koder som lämnas ut i telefon
Lösenord + autentiseringsapp (TOTP)	Kunskap + innehav	Medel	Nätfiskesidor som vidarebefordrar koden i realtid
Passkey (FIDO2)	Innehav + biometri eller kod	Mycket högt	Förlorad enhet utan återställningsplan

Svensk licens jämfört med sajter utan svensk licens

För spelbolag med svensk licens styr spellagen (2018:1138) en stor del av säkerheten. Enligt 12 kap. ska licenshavaren registrera spelaren och kontrollera identiteten på ett betryggande sätt genom tillförlitlig elektronisk identifiering eller motsvarande. Spel får inte ske innan bolaget har kontrollerat att spelaren inte har stängt av sig via Spelpaus. Vid onlinespel måste spelaren dessutom ange en övre gräns för sina insättningar.

I praktiken blir BankID därför standard hos svensklicensierade sajter. Den som vill jämföra hur olika casinon hanterar BankID-inloggning och verifiering kan läsa genomgången på casinofia.se, som också tar upp skillnaden mellan klassisk BankID-inloggning och Pay N Play.

Sajter utan svensk licens omfattas inte av de här kraven. Där är e-post och lösenord vanligast, och identitetskontrollen sker ofta i efterhand genom att du laddar upp en bild på passet eller körkortet och en räkning som adressbevis. Det skapar två risker. Kontot skyddas bara så starkt som ditt lösenord och eventuell tvåfaktorsautentisering, och dina id-handlingar hamnar hos ett bolag i en jurisdiktion där tillsynen kan vara svag. Spelpaus gäller inte heller där.

Hur lång tid uttag tar påverkas också av verifieringen. Vi har gått igenom tidsramarna i detalj i den engelska artikeln How long do casino withdrawals take.

Kontokapning och kloner: så ser attackerna ut

Utöver telefonbedrägerierna finns några återkommande mönster som riktar sig mot spelkonton:

• Nätfiskekloner. Falska kopior av kända spelsajter, ofta via sponsrade sökresultat eller sms, som visar en äkta BankID-QR-kod som tillhör angriparens session.
• Credential stuffing. Läckta e-postadresser och lösenord från andra tjänster testas automatiskt mot spelsajter med vanlig lösenordsinloggning.
• Infostealers. Skadlig kod som stjäl sparade lösenord och inloggade sessioner, så kallade sessionskakor, direkt från webbläsaren. Då behövs ingen inloggning alls.
• SIM-byte. Angriparen tar över ditt mobilnummer hos operatören och tar emot dina SMS-koder.
• Falsk kundtjänst. Konton på sociala medier som utger sig för att vara ett spelbolags support och ber om inloggning “för att låsa upp ett uttag”.

Checklista: skydda ditt spelkonto

• Starta alltid inloggningen själv, från en adress du har skrivit in eller sparat som bokmärke.
• Läs texten i BankID-appen innan du godkänner. Stämmer inte tjänsten eller beloppet, avbryt.
• Lägg på om någon ringer och ber dig legitimera dig, oavsett vem de säger att de är.
• Skanna aldrig en QR-kod som du har fått via sms, e-post eller chatt.
• Använd unika lösenord och en lösenordshanterare på sajter utan BankID.
• Välj autentiseringsapp eller passkey framför SMS-koder när det finns.
• Håll telefon och webbläsare uppdaterade och installera inga okända tillägg.
• Sätt insättningsgränser direkt när du skapar kontot.
• Kontakta din bank omedelbart och spärra BankID om du misstänker att du har lurats. Polisanmäl via 114 14.

Om spelandet börjar kännas som ett problem kan du stänga av dig hos alla svensklicensierade spelbolag via Spelpaus och prata med Stödlinjen på 020-81 91 00, anonymt och kostnadsfritt.

Vanliga frågor

Kan någon logga in på mitt spelkonto med bara mitt personnummer?

Inte hos tjänster som följer BankID:s krav på säker start. Sedan maj 2024 måste inloggningen startas med QR-kod eller på samma enhet. Risken är i stället att du luras att skanna en kod som någon annan har startat.

Är Pay N Play säkrare än vanlig registrering?

Den tekniska säkerheten är hög eftersom identifieringen sker via banken och BankID, och spelbolaget får aldrig dina bankuppgifter. Den svaga punkten är densamma som för BankID: att du godkänner något du inte själv har startat.

Varför räcker inte SMS-koder som tvåfaktorsautentisering?

SMS kan fångas upp vid ett SIM-byte och koder kan lämnas ut under ett telefonsamtal. En autentiseringsapp är bättre, och en passkey är bäst eftersom den är knuten till rätt webbplats och inte går att återanvända på en nätfiskesida.

Vad gör jag om jag har godkänt en BankID-begäran jag inte känner igen?

Ring din bank direkt och be dem spärra BankID och granska kontot. Byt lösenord på berörda tjänster, kontakta spelbolagets support via den officiella sajten och polisanmäl händelsen.

Källor

• Sveriges riksbank, Betalningsrapport 2025: En statlig e-legitimation kan stärka motståndskraften, riksbank.se/sv/betalningar–kontanter/sa-betalar-svenskarna/betalningsrapport-2025/
• Polisen, Brottsvinsterna för telefonbedrägerier fortsätter att minska (januari 2026), polisen.se/aktuellt/nyheter/nationell/2026/januari/brottsvinsterna-for-telefonbedragerier-fortsatter-att-minska/
• Kommissionens delegerade förordning (EU) 2018/389 om stark kundautentisering, eur-lex.europa.eu/legal-content/SV/TXT/?uri=CELEX:32018R0389
• Spellag (2018:1138), 12 kap. och 14 kap., riksdagen.se/sv/dokument-och-lagar/dokument/svensk-forfattningssamling/spellag-20181138_sfs-2018-1138/
• BankID, Säker start, bankid.com/foretag/saker-start