Beskyt din GatewayAPI konto mod svindlere

*Opdateret august 2026*

SMS svindel er et stort problem på verdensplan, hvor mange oplever, at de bliver chikaneret eller franarret værdier og oplysninger via SMS. 

Svindlen er i stigende grad også begyndt at gå ud over virksomheder, der sender A2P SMS trafik, hvor de oplever, at deres konti bliver hacket som led af forskellige svindelnumre. 

I GatewayAPI tager vi sikkerhed meget seriøst, og har indført en række sikkerhedsforanstaltninger, herunder krav om URL whitelisting og 2FA ved login samt stillet en række værktøjer til rådighed, som kan være med til at beskytte din konto mod misbrug. Derudover monitorerer vi trafik løbende, og griber ind, hvis vi kan se, at der er noget, som skiller sig ud fra normalen. 

Med det sagt, så kan vi ikke fange alt, og vi opfordrer derfor også vores kunder til at gennemgå sikkerheden på deres GatewayAPI konto samt gennemgå sikkerheden på de systemer, som er koblet op på vores API’er for at sikre, at der ikke er nogen sårbarheder. 

Vi vil nedenfor gennemgå de forskellige typer angreb, som finder sted i dag, og bagefter hvad du kan gøre for at beskytte dig imod dem.

Eksempler på SMS svindelnumre

Der findes mange forskellige SMS svindelnumre, hvor målet for svindlerne oftest er at berige dem selv via forskellige sindrige metoder.

For at give dig en forståelse for, hvad svindlere kan få ud af at tiltvinge sig adgang til din konto eller udnytte dit signup flow, så har vi inkluderet nogle af de mest udbredte SMS svindelnumre her: 

• SMS phishing beskeder (også kaldt Smishing) med et link, hvor målet er at udfritte information fra brugeren eller få brugeren til at downloade malware. 
• SMS spam der promoverer fx kviklånstjenester og sider med voksenindhold eller indeholder politiske budskaber.
• SMS traffic pumping, også kendt som SMS toll fraud, SMS 2FA Premium Rate Fraud eller Artificially Inflated Traffic (AIT), hvor one-time passwords (OTPs) udnyttes ved signup flows. Her går en bot ind og anmoder om tusindvis af bekræftelseskoder, som sendes til numre, hvor svindlerne modtager en andel af den omsætning, der genereres.

Nedenfor kan du læse mere om, hvad du kan gøre for så vidt som muligt at sikre, at din konto ikke bliver indblandet i en af de ovenstående svindelnumre.

IP-whitelisting

I dit GatewayAPI-dashboard kan du opsætte IP-whitelisting, så kun godkendte IP-adresser kan sende SMS’er fra din GatewayAPI-konto.

Det betyder, at andre ikke kan bruge din konto til at sende SMS’er, heller ikke hvis dine API-nøgler eller systemer er blevet kompromitteret. IP-whitelisting er derfor en hurtig og effektiv måde at øge sikkerheden på din GatewayAPI-konto markant.

Du kan styrke sikkerheden yderligere ved at kombinere IP-whitelisting med et virtuelt privat netværk (VPN). Hvis din virksomhed bruger VPN, kan du tilføje VPN’ets IP-adresse til listen over tilladte IP-adresser. Selv hvis dit token bliver delt, og nogen får adgang til dit netværk, kan de så ikke foretage API-kald uden også at have adgang til jeres VPN.

Læs mere om, hvordan du opsætter IP-whitelisting på GatewayAPI-platformen, i vores Help Center.

Country & rate limiting

For at beskytte din GatewayAPI-konto effektivt mod misbrug, anbefaler vi kraftigt, at du bruger country & rate limiting-værktøjet i dit GatewayAPI dashboard. Dette sikrer, at din konto kun sender SMS-trafik til godkendte destinationer og holder sig inden for sikre grænser for volumen.

Du kan vælge at blokere SMS-trafik til alle lande undtagen dem, du aktivt sender til. Denne tilgang er ideel, hvis du selv håndterer broadcasts direkte og kender dine måldestinationer på forhånd.

Hvis du driver en SaaS-platform eller en tjeneste med globale brugere, kan det være en udfordring at forudsige destinationerne. I det tilfælde kan du tillade trafik til alle lande og samtidig eksplicit blokere højrisikoregioner. Derudover kan du konfigurere daglige SMS rate limits for enkelte lande. Når et land når sin daglige grænse, bliver efterfølgende beskeder til den destination automatisk blokeret, hvilket giver dig præcis kontrol over volumen uden at skulle blokere trafikken fuldstændigt.

Læs mere om, hvordan du opsætter country & rate limiting i vores Help Center.

Øg sikkerheden på systemer, som er forbundet med API’er

Vi ser ofte, at hackere får adgang til de systemer, som er forbundet med vores API’er. På den måde får svindlerne mulighed for at udsende SMS trafik gennem GatewayAPI, selvom sikkerheden ved GatewayAPI i princippet ikke er blevet kompromitteret. 

Vi har derfor samlet en række af de vigtigste sikkerhedsrelaterede fokusområder, som du kan gennemgå og vurdere relevansen af i forhold til dit system og dit setup. Ofte vil en kombination af disse sikkerhedsforanstaltninger få hackere og bots til at gå videre til nemmere mål.

Opsæt ekstra beskyttelse på login flows

Beskyt dit login flow mod brute force-angreb, hvor en bot afprøver tusindvis af kombinationsmuligheder for at gætte adgangskoden. Dette kan nemmest imødegås ved at opsætte en begrænsning på, hvor mange gange en bruger kan angive en forkert adgangskode inden der indsættes en time-out på login forsøg. Det kan fx være tre forsøg inden en time-out på ét minut indsættes. 

I kan også overveje at implementere strict rate-limiting, honeypots eller moderne invisible bot detection (fx Cloudfare Turnstile eller Proof-of-Work tools).

Derudover kan I opfordre til eller kræve tofaktor autentificering ved oprettelse og login på jeres system. Her er det også vigtigt, at I anvender flere af de andre sikkerhedsmekanismer samtidig, så I ikke er sårbare overfor traffic pumping, som blev beskrevet ovenfor.

Begrænsninger på API endpoints.

Det kan også være en fordel at holde godt styr på alle API endpoints. Selv hvis en af API endpoints’ene er i en testfase, bør der være en begrænsning på, hvor mange beskeder der kan sendes via det endpoint.

Best practices

Som afrunding har vi oplistet en række best practices, når det kommer til IT sikkerhed: 

• Vælg en stærk adgangskode til din GatewayAPI konto og de systemer, der er forbundet til de API’er, der tilhører GatewayAPI.
• Opdater regelmæssigt dine adgangskoder.
• Sikr at det er de rette personer, som har adgang til GatewayAPI samt tilknyttede systemer, og at deres deres adgangsniveau matcher deres brug af dem. 
• Sørg for at adgangskoder og API keys ikke er delt nogen usikre steder. Hvis de er det, så lav en ny adgangskode eller generer nye API keys.

Tak for din interesse i dette blogindlæg. Vi håber, at det har gjort dig klogere på, hvilke yderligere sikkerhedstiltag du kan implementere for så vidt som muligt at undgå, at din GatewayAPI konto uforsætligt bliver inddraget i svindel.

Hvis du har spørgsmål til ovenstående oplysninger, er du altid velkommen til at kontakte os på supportchatten eller på support@gatewayapi.com.