Skadliga sajter toppade Google – hundratusentals svenskar drabbade

Om du har en Android-mobil har du nog vid ett eller annat tillfälle scrollat i Googles egna nyhetsflöde Google Discover, som dyker upp när du sveper höger på hemskärmen. Discover är anpassat efter dina intressen och kan visa dig artiklar inom alla möjliga olika ämnen från en lång rad olika nyhetskällor.

Vissa nischade artiklar visas bara för några få användare, medan andra kan synas för flera hundratusen. Allt beror på hur många personer som Googles algoritm anser berörs av innehållet.

Google har alltid varit mycket hemlighetsfulla kring hur denna algoritm fungerar. Företaget skriver på sin utvecklarsida att Discover väljer artiklar utifrån liknande kriterier som Googles vanliga sökmotor – för att synas högt upp krävs det att innehållet är hjälpsamt, pålitligt och alltid prioriterar läsarens behov.

Men ibland har algoritmen svårt att uppfylla dessa krav. Nyheter24 har granskat en databas med de drygt 150 000 mest lästa artiklarna i Discover-flödet under perioden 1 september 2024 till 1 september 2025 – och bland dem finns hundratals länkar som leder till bedrägliga och potentiellt skadliga hemsidor. Några av artiklarna har visats för hundratusentals svenska Discover-användare.

Har kapat utgångna domäner från små svenska företag

Hemsidorna i fråga är fem utgångna svenska domäner som omvandlats till bloggar med artiklar:

• manoskoservice.se
• blaladan.se
• culturebydesign.se
• nygammalmat.se
• citylaserklinik.se

Domänerna har tidigare tillhört svenska företag och organisationer. Två exempel är skomakeriet Mano Skomakeri på Östermalm i Stockholm och den numera nedlagda City Laserklinik i Upplands Väsby.

Texterna som läggs ut på dessa hemsidor saknar källor och är av låg kvalitet, med största sannolikhet AI-genererade eller snabböversatta med Google Översätt. Det anges ingen information om vem eller vilka som står bakom publiceringarna, det finns inga kontaktuppgifter och hemsidorna ser slarvigt ihopsnickrade ut.

Alla sajter är uppbyggda på samma sätt, med en logotyp högst upp i vänstra hörnet, en meny med olika artikelsektioner högst upp och sedan artiklarna under "Alla publikationer".

Artiklarna handlar oftast om husmorsknep och andra tips och tricks i hemmet, något som brukar vara populärt i Discover-flödet.

Rubrikerna som används är lockande, men ofta okonventionellt eller felaktigt formulerade. Här är tre exempel:

• "Ta citroner och lägg dem i ugnen. Någon borde få en medalj för det här tricket" (blaladan.se)
• "Den elektroniska enhet som vi alla kastar bort och som innehåller 450 milligram 22 karats guld." (citylaserklinik.se)
• "Den slukar mer el än tvättmaskinen och kylskåpet. Många av oss har den hemma" (nygammalmat.se)

Dessa tre artiklar är några av de som fått störst synlighet i alla kategorier, enligt Nyheter24:s mätverktyg.

Och det är bara några få exempel. Totalt har 520 artiklar från dessa hemsidor synts i Discover-flödet under det senaste året.

LÄS MER: Larmet: Ny Android-trojan kan stjäla pengar och låsa mobilen

Varningen: Anslutningen är inte privat

Vid tidpunkten då artiklarna visades i Discover gick det att klicka in sig på hemsidorna utan problem. Men när Nyheter24 återbesökte domänerna förra veckan var alla fem flaggade av webbläsaren Chrome:

"Anslutningen är inte privat. Det är möjligt att hackare försöker stjäla dina uppgifter från (domänen) (till exempel lösenord, meddelanden eller kreditkort)".

Vid tidpunkten för publicering har några av domänerna nu tagits ner helt och hållet. Andra visar fortfarande varningen ovan.

Om man kikar lite närmare på varningsmeddelandet kan man se att frasen NET::ERR_CERT_AUTHORITY_INVALID står utskriven. Det innebär att webbsidans säkerhetscertifikat är ogiltigt, inte nödvändigtvis att hemsidan är aktivt osäker att besöka, enligt en expert på Googles hjälpforum. Men det utesluter det inte heller.

Så farliga är hemsidorna – experten: "Ett otyg"

Bedrägeriexperten Peter Forsman menar att det sannolikt handlar om en och samma anonyma person bakom alla hemsidor.

Strategin, som han kallar för SEO-spam, är att snabbt fylla sajterna med Google-översatta "nonsenstexter" och få dem indexerade av Google. Först därefter kan innehållet förändras och göras skadligt med hjälp av utgående länkar, exempelvis pop-ups eller redirects, som kan leda till skadlig kod eller andra bedrägliga destinationer på internet.

Det är sannolikt att sidorna flaggades av Google när denna förändring inträffade och att det var då varningen dök upp, tror Peter Forsman. Det är däremot svårt att ta reda på exakt vad avsikten bakom hemsidorna kan ha varit och därmed även hur skadliga de var innan de togs ner.

"SEO-spam är ett otyg, men det är omöjligt att veta vad innehavaren hade för avsikt med sidorna. Och det är svårt att avgöra i efterhand hur stor risken/faran var, då adresserna nu är agerade på", skriver Peter Forsman till Nyheter24.

Scott McNeal, marknadschef på Discover Snoop, ger ytterligare insikter i den möjliga intentionen bakom spam-sajterna och dess strategi.

"Domäner som dessa är kortlivade. De utnyttjar en svaghet i Discover-algoritmerna där nya domäner får förtroende om de visar starka användar-nyckeltal, såsom hög klickfrekvens. Efter ett tag räknas förtroendet om och då åker de ut."

Han nämner ett liknande exempel från Tjeckien, där spam-hemsidor har använts för att sprida rysk propaganda. I andra länder har strategin används för att på olika sätt tjäna snabba pengar, något som också kan vara fallet i Sverige.

LÄS MER: BankID slutar snart fungera för dessa Android-användare

Googles svar: "Brott mot våra policyer"

Google själva ser allvarligt på händelsen.

Joakim Larsson på Googles svenska kommunikationsavdelning skriver i ett mejl till Nyheter24 att hemsidorna bryter mot Googles spampolicy och att de nu flaggats.

"Våra regelverk kring spam förbjuder vilseledande upplägg som syftar till att manipulera sökmotorn eller Discover. De här domänerna har nu flaggats för våra team och vi vidtar åtgärder när vi ser brott mot våra policyer. När det gäller just taktiken att manipulera sökrankning eller Discover genom att ta över utgångna domäner så är detta ett brott mot vår spampolicy."

Det här är inte första gången oärliga hemsidor lyckas dra stora mängder trafik, men Google säger sig arbeta aktivt för att hålla Discover-flödet och vanliga sökresultat fria från dem.

"Vi uppdaterar också själva systemen tusentals gånger per år. De är idag till 99 procent fria från spam, men vi fortsätter att förfina och förbättra allt eftersom webben utvecklas", avslutar Joakim Persson med att skriva till Nyheter24.

Mano Skomakeri: "Rysningar"

Nyheter24 har talat med anställda på Mano Skomakeri, företaget som urpsrungligen ägde den kapade domänen manoskoservice.se som hade 66 artiklar i Discover-flödet. Här kan du läsa hela intervjun.

LÄS MER: Det betyder nya symbolen på din Android – syns inte hos alla