Unge i 20'erne står bag omfattende spoofing-svindel
En nigeriansk-britisk mand, en røveridømt svensker, som bor i Danmark, og en 21-årig studerende, der taler klingende jysk. Det er bare tre medlemmer i et netværk af unge, som står bag et omfattende svindelnummer, der har kostet danskere millioner.
Det kan TjekDet afsløre på baggrund af hacket materiale, der i detaljer viser, hvordan det kriminelle netværk lænser danskeres bankkonto ved at ringe fra manipulerede telefonnumre og udgive sig for at være fra en myndighed eller offerets bank. Den type svindel er kendt som spoofing.
Det hackede materiale omfatter timevis af lydoptagelser og hundredvis af skærmbilleder- og videoer fra svindlernes indre linjer og giver både et indtryk af, hvordan arbejdsgangen er, og hvem svindlerne er.
Sune Gabelgaard er svindelekspert med en fortid hos blandt andet Danske Bank og politiet, og han har i årevis haft et øje på et dansk netværk af spoofing-svindlere. Derfor falder en del brikker på plads, når han ser og lytter til TjekDets materiale.
“Det er fire års tankespind, hypoteser og antagelser om de her mennesker, som lige pludselig bare rammer fuldstændig plet i forhold til, hvad jeg forestiller mig. De er dog en lille smule mere professionelle, end jeg havde antaget,” siger han og tilføjer:
“Det er aldrig rart at høre folk, der bliver udsat for kriminalitet, men samtidig sidder jeg også med en følelse af, at de godt nok er dygtige de her mennesker.”
Studerende og røveridømt
Spoofing-netværket består af mindst 15 personer, som primært er unge mænd i starten af tyverne. Der er dog også enkelte kvinder involveret.
Langt størstedelen af de 15 personer er callers, der har til opgave at ringe danskere op og svindle dem. TjekDet er i besiddelse af flere end 40.000 spoofing-opkald til flere end 9.000 unikke danske telefonnumre foretaget fra januar 2022 til januar 2025. Det er uklart, om de 15 personer i det netværk, vi har identificeret, står bag samtlige opkald.
Blandt de 15 personer har 3 af dem tilsyneladende mere centrale, organisatoriske roller. De leverer information om ofre til callers, fordeler procenter af fortjenesten og sørger for den telefontjeneste, der kan manipulere callernes telefonnummer.
De tre går internt i netværket under dæknavnene Anzzino, JaelzX8 og Emperor O2.
Emperor O2 er ifølge TjekDets research en 23-årig dansktalende svensker, der bor i København. I Sverige er han dømt for røveri med en pistol mod en dagligvarebutik, og for nyligt blev han sigtet for indbrud i Danmark.
JaelzX8 er en 21-årig mand, der bor i Odense, hvor han også studerer, og Anzzino bor i Manchester i England, men han har sandsynligvis rødder i Nigeria.
Det er uklart, om de tre nøglepersoner modtager ordrer højere oppe fra. Det er også uklart, om de har mødt hinanden i virkeligheden, eller om deres interaktion udelukkende foregår digitalt. Dér har de til gengæld en hel del at gøre med hinanden.
Top G og workers
Deres kommunikation foregår især på beskedtjenesten Telegram, hvor de diskuterer stort og småt om “forretningen” i en fælleschat, de har navngivet ‘North Korea Credit System #1’.
I den kan man på et tidspunkt se, at Emperor O2 deler, hvad der ligner et hjemmelavet organisationsdiagram med ‘Top G’ øverst i hierarkiet og ‘workers’ i bunden. Til sidst er det understreget, at diagrammet viser ‘money flow’ - altså pengestrømmen.
På Telegram deler svindleren med dæknavnet Emperor O2 dette billede, der ligner et slags organisationsdiagram. Foto: Skærmbillede.
Økonomi er generelt noget, Anzzino, JaelzX8 og Emperor O2 ofte diskuterer. Eksempelvis kan man i et gruppeopkald høre dem diskutere, hvor stor en del af kagen en potentielt ny mellemmand skal have. Hans opgave er tilsyneladende at skaffe muldyr, altså personer, der mod betaling stiller deres konti til rådighed for svindlerne, så svindlerne kan sløre deres pengespor.
JaelzX8 taler på én linje med Anzzino og Emperor O2 og på en anden linje med mellemmanden, der ikke er tilfreds med, at de kun vil give ham 25 procent af fortjenesten. JaelzX8 påpeger, at det er 12.500 kroner, hvis de tjener 50.000, men mellemmanden er stadig skeptisk, og JaelzX8 spørger derfor Anzzino og Emperor O2, om det kan lade sig gøre at give mellemmanden 30-40 procent.
Han bliver dog hurtigt afbrudt med et “hell no” og mindet om, at de skal afholde mange udgifter for at få svindelnummeret til at løbe rundt, heriblandt adgang til den tjeneste, hvorfra svindlerne kan manipulere deres telefonnummer, når de ringer til ofre.
Anzzino og Emperor O2 forklarer også JaelzX8, at det er normalt at starte på 25 procent, og hvis man så præsterer, kan man få en større del af kagen på et senere tidspunkt.
Herunder kan du høre JaelzX8 skiftevis diskutere procentdelen med mellemmanden - som JaelzX8 kalder 'mid' - og Anzzino og Emperor O2.
Resten af kagen deler Anzzino, JaelzX8 og Emperor O2 tilsyneladende mellem sig.
For eksempel skriver Emperor O2 på et tidspunkt med JaelzX8 om en anden form for svindel end spoofing og foreslår at oprette profiler til det formål til dem begge og Anzzino. Han fastslår derefter, at de “deler profitten som sædvanligt”.
I et andet eksempel skriver Emperor O2 til de to andre i fælleschatten, at han har fået adgang til nogle nye fullz - altså “pakker” med information om potentielle ofre - som han vil bruge til at ringe ud. JaelzX8 spørger, om han behøver hjælp, men Emperor O2 afviser, at det er nødvendigt.
Han forsikrer dog JaelzX8 om, at han “selvfølgelig” deler en eventuel fortjeneste “30/30/30” med ham og Anzzino. Du kan se samtalen herunder.
I en intern chat på Telegram skriver svindlerne om, at de har fået nye pakker med informationer om potentielle ofre, Emperor O2 forsikrer JaelzX8 om, at han deler fortjenesten ligeligt med ham og Anzzino. Foto: Skærmbillede.
En svindlers drejebog
Anzzino er som nævnt bosat i Manchester i England og taler med tyk britisk dialekt, og modsat Emperor O2 og JaelzX8 har TjekDet ingen eksempler på, at han foretager svindelopkald til danskere.
Til gengæld lader han til at varetage en mere overordnet administrativ rolle, der ikke kun omfatter svindel i Danmark. På Telegram efterlyser han eksempelvis muldyr og callers i mange forskellige lande, blandt andet Australien, New Zealand, Canada, Tyskland, Estland, Letland og Litauen.
Det kan du se på billedet herunder.
Storbritannien, Canada, Tyskland, Litauen og Estland er blandt de lande, hvor Anzzino efterlyser personer, der kan tage del i svindlen. Her ses, hvordan han rækker ud efter personer i en lang række lande og åbent skriver, at formålet er spoofing-svindel. Foto: Skærmbillede.
Den daglige kontakt med de danske callers står JaelzX8 og Emperor O2 for.
På beskedtjenesten Telegram er der adskillige eksempler på, at Emperor O2 sender fullz rundt til callers og instruerer dem i, hvilke bankkonti svindlede beløb skal overføres til. Han og JaelzX8 vejleder også callers i, hvordan de skal svindle deres ofre - nogle gange foregår det endda, mens svindlen er i gang. .
Herunder kan du se, hvordan Emperor O2 - i dette tilfælde under brugernavnet Jimmy TwoTimes - deler en fullz med en svindler og opildner ham med ordene “crush him” - altså “knus ham” eller “ødelæg ham”. Det er TjekDets vurdering, at Emperor O2 og Jimmy TwoTimes kan være én og samme person, men det er ikke lykkedes at bekræfte med fuldstændig sikkerhed.
I pakken af informationer om et potentielt offer indgår alt fra CPR-nummer til adresse. Her er det oplysningerne på en dansk mand, der deles med ordene "knus ham". TjekDet har sløret ofrets oplysninger samt navnene på en række øvrige personer i svindlerens indbakke. Foto: Skærmbillede.
På kommunikationsplatformen Discord vejleder JaelzX8 en person i forskellige metoder til at få svindlen til at lykkes.
Blandt andet forklarer han, at man bedst sikrer sig de penge, man svindler sig til, ved at overføre fra offerets konto til en konto i den digitale bank Lunar og derfra indsætte pengene på en app til investering i kryptovaluta. Derefter kan pengene overføres til ens egen cryptowallet, altså digitale pengepung. JaelzX8 understreger derefter, at det ikke går at købe kryptovaluta direkte for offerets penge, fordi der er risiko for, at det bliver afvist af banken.
JaelzX8 forklarer også, hvordan man kan skaffe holders - muldyr - på Facebook i fordækte Messenger-grupper ved at spørge: “Hvem vil lave 6.000 kroner i dag hurtigt, skal bare have en Lunar, intet ulovligt”.
Han bliver derefter spurgt, hvad man siger, hvis muldyret alligevel mistænker, at det er ulovligt. Til det svarer han, at man bare skal sige til muldyret, at han eller hun skal hjælpe med at veksle penge for et firma, som investerer i aktier eller kryptovaluta. Han understreger også, at man ikke skal bruge tid på de muldyr, der ved for meget.
Du kan se JaelzX8 - der på Discord kalder sig ‘foreignihha’ - forklare det herunder:
JaelX8 - her kaldet 'foreignihha' - forklarer, hvad man kan sige til muldyrene, hvis de mistænker, at svindelforretningen er ulovlig. Foto: Skærmbillede.
Udover fyldestgørende indsigt i hvervningsprocesser har JaelzX8 også digitale kompetencer, som ikke er alle forundt.
Blandt andet kopierer han på et tidspunkt skat.dk, så han gennem den falske SKAT-side kan få danskere, der skal betale skat af deres investeringer i kryptovaluta, til at indsætte deres wallet - en slags online pengepung - på den falske skat.dk-hjemmeside. Dernæst kan han få kontrol over pungen og automatisk stjæle de beløb, den indeholder.
Ifølge svindelekspert Sune Gabelgaard viser det flere ting.
“Det fortæller noget om, at de har et lidt højere teknisk niveau, end jeg havde regnet med. Det fortæller måske også, at de har noget erfaring og har været i gang længe, for som kriminel er det ikke dér, man starter. Jeg ville have forventet, at de havde købt sig til det hele hos andre svindlere og ikke lavet den slags selv,” siger han.
Herunder kan du se, hvordan det går til, når JaelzX8 kopierer skat.dk:
Svindlerne kopierer legitime hjemmesider for at franarre ofre personlige oplysninger, der kan bruges i svindlen. Her det Skats hjemmeside, der er ved at blive kopieret. Foto: Skærmoptagelse.
Øvelse gør mester
Længere nede i hierarkiet finder vi de såkaldte callers.
Der er eksempler på, at enkelte af dem er involveret i hvervningsprocessen af andre callers, men i udgangspunktet beskæftiger de sig kun med at ringe danskere op og forsøge at svindle dem. De holder sig fra de mere strategiske, overordnede opgaver, som Anzzino, Emperor O2 og JaelzX8 varetager.
TjekDet har identificeret i alt 40 forskellige dæknavne i de flere tusinde lydoptagelser, vi er i besiddelse af. De 40 dæknavne fordeler sig på 12 callers, hvoraf vi kender identiteten på tre af dem. De tre blev i oktober 2024 varetægtsfængslet sigtet for spoofing-bedrageri.
Det er uklart for TjekDet, hvorfra og hvordan nye callers bliver hvervet, men i et konkret eksempel kan man se en potentielt ny caller byde sig til over for JaelzX8 på beskedtjenesten Discord.
Den potentielt nye caller skriver, at han svindlede sig til 14.000 kroner dagen forinden og sender derefter en lydfil som dokumentation. JaelzX8 svarer, at calleren er “varm” og skriver i en anden chat, at de vil lade ham starte med opkald, hvor der kun er indsamlet begrænset information om offeret på forhånd, så han kan bevise sit værd.
Herunder kan du se, hvordan den potentielt nye caller sælger sig selv over for JaelzX8.
For at vise sit værd fortæller en potentiel ny caller, at han allerede har svindlet sig til 14.000 kroner dagen forinden. Det imponerer tilsyneladende JaelX8, der her går under navnet 'foregnihha'. Foto: Skærmoptagelse.
Når først callerne er kommet ind i folden, får de et manuskript i hænderne, som de kan bruge til at ringe ud fra.
Det kører efter en helt fast skabelon, hvor de først introducerer sig med en opdigtet identitet, forklarer det opdigtede problem for offeret og på den måde får vedkommende til at tro, at de er der for at hjælpe.
Øvelse gør som bekendt mester, og i flere tilfælde træner callerne hinanden i at følge manuskriptet. Det viser ifølge Henrik Høgh-Olsen, der er professor ved Psykologisk Institut på Aarhus Universitet, at svindlerne er velforberedte og professionelle.
“De må tænke, at hvis det her skal virke, så skal de have et minimum af tjek på tingene. De tager det seriøst, sådan som andre også ville gå til en opgave, de tager alvorligt. Det er ligesom et band, der har øvet sig, inden de spiller numrene første gang for publikum,” siger han.
Herunder kan du høre et eksempel på en caller, der ringer til en anden caller og øver sin svindel-introduktion.
Men det er ikke kun i forberedelsen, at callerne trækker veksler på hinanden. Det gør de også, mens de svindler.
Først og fremmest samarbejder de ved at være flere om et opkald, så de undervejs kan overtage samtalen og på den måde bilde offeret ind, at han eller hun viderestilles til en kollega i anden afdeling.
Men de bruger også hinanden i det skjulte. Ofte sætter de offeret på hold undervejs i en samtale under påskud af at skulle undersøge noget, hvorefter de rådfører sig med andre callers. Nogle gange lytter andre callers endda med på samtalen fra start til slut.
Det kan både handle om konkrete råd eller vejledning, hvis et offer viser sig “besværlig”, men en caller kan også bruge sine kolleger til at få informationer om offeret, for eksempel kreditkort-information eller MitID-brugernavn.
Herunder kan du høre, hvordan en caller efterspørger offerets “cc” - altså credit card information - hos en “kollega”, mens han har sat offeret på hold.
Svindelekspert Sune Gabelgaard kalder det “absurd teater at sidde og lytte til” callerens fremgangsmåde og bemærker især, hvordan han på et splitsekund skifter fra høflig jysk dialekt i samtalen med offeret til engelske svindler-udtryk, når han taler med sin “kollega” på den anden linje.
“Han har jo fuldstændig styr på det, han sidder og laver. Det virker super professionelt, og hvis man tog konteksten ud af det, han siger, så ville man jo tro, at man sidder og lytter til en gammel garvet supportmedarbejder,” siger Sune Gabelgaard.
Han tilføjer, at callerens ubesværede evne til at skifte personlighed tyder på en form for radikalisering, hvor svindlerne langsomt bliver mere og mere kyniske.
“De driver det her som en forretning, hvor man sælger toiletpapir eller noget andet uskyldigt. Der er ingen refleksion over, at man potentielt ødelægger en anden persons liv. Det er virkelig råt,” siger han.
“Død frem for vanære”
Radikaliseringen - eller i hvert fald den kyniske tilgang til svindlen - skinner også igennem i flere andre tilfælde.
Blandt andet kan man i ét tilfælde høre en svindler, der næsten er i mål med at snyde en kvinde, sætte hende på hold og skifte til et opkald med en anden caller. Her griner de sammen, og calleren siger, han ville ønske, han kunne lave det samme svindelnummer på en navngiven person.
Det kan du høre herunder:
TjekDet har også set adskillige eksempler på callers, der over for andre callers blærer sig med, at det er lykkedes dem at franarre ofre store beløb, og deres generelle skruppelløse adfærd taler sit tydelige sprog ifølge Lau Lilleholt Harpviken, der er adjunkt ved Institut for Psykologi på Københavns Universitet.
“Fra forskningen ved vi, at folk, som er villige til at lyve over for andre med det formål at udnytte dem, typisk har høje niveauer af det, psykologer kalder for antisociale eller mørke personlighedstræk,” skriver han i en mail.
TjekDet har over for Anzzino, JaelzX8 og Emperor O2 forelagt vores dokumentation for deres involvering i svindlen.
Både JaelzX8 og Emperor O2 benægter i en telefonsamtale og et efterfølgende mailsvar at have noget med svindlen at gøre. Anzzino skriver på Telegram, at han ikke har nogen kommentarer, hvorefter han tilføjer: “Død frem for vanære”.
TjekDet er bekendt med JaelzX8 rigtige identitet. Vores research viser også med stor sikkerhed, hvem Emperor O2 er. Vi har valgt ikke at bringe deres rigtige navne.
Denne artikel er en del af en serie om spoofing-svindel. Du kan læse alle artikler i serien på tjekdet.dk/spoof, hvor vi også løfter sløret for, hvem der står bag svindlen og i detaljer afdækker deres metoder.
