Diskussion: Tråden för betaltjänsten Swish

Vad har hänt med kort i Swish iden, förutom Sydbanken och Handelsbankens u-sväng har vi inga nyheter om andra banker. När nyheterna kom ut så la jag till swish som betalmetod i Android inställningar men den kraschade ofta, kanske för att Nordea inte stödjer tekniken.

 

Ikväll också

 

Det märkes just innan aktiemarknad stängning och man skulle Swisha Avanza Bank, för passa på köpa på mig mer aktier när det mesta av mina 44 aktiebolag man investerar i lyste rött Flera fallit med över 2-3% perfekt köpläge.

Gick dock inge bra, och man vill gärna inte sälja av några aktier heller för köpa på sig fler andra.

 

Du kan även köra Trustly för realtidsinsättning till Avanza. Det fungerar med alla större banker.

 

Vet du om det funkar dygnet runt med Trustly, och pengarna kommer in direkt oavsett klockslag/helgdag eller dylikt?

För Swish-insättning har avanza en begränsning på kl 7-23 eller liknande, det går alltså inte på natten. Nån som vet varför de begränsat swish på det sättet, kan swish ta extra betalt för att funka dygnet runt eller nått? Det går ju att investera på avanza nattetid, om man redan har pengarna insatta och börsen är öppen vill säga (typ amerikanska eller kanadensiska börsen), så det verkar inte vara skälet att avanza vill ha personal i tjänst vid köp eller något sånt.

 

Så klart valde man det valet, när Swish inte fungerade, men man märkte dock att Swish var nere när den inte ville funka något bra med det valet.

 

Efter kl 23 är inte USA eller Kanada öppen, efterhandeln finns men den erbjuder inte Avanza. Tror de satt tiden för att det inte ska störa eventuella nattjobb etc och att kl7-23 räcker för att täcka alla kunders behov då Avanza inte erbjuder handel utanför dessa tider. Vet inte vad de har för tidsram för Trustly men skulle gissa att den är samma eller snarlik.

 

Nu är skiten DDoS:ad igen.

Swish utsatt för ny överbelastningsattack - Nyheter (Ekot)

 

Detta börjar bli löjligt alltså...

 

Själv om man hade utvecklad Swish, och det drabbade mycket av DDOS attacker så hade jag nog hämtas ip adressen från appen som är installerad.

Säg man har installerad appen på min telefon och har en viss IP så kan endast dessa IP som har appen installerad som kan anropa swish API övriga api från ip adresser som inte har appen installerad kan inte andropa API.

och får man en ny ip adress så hämtar appen ny ip adressen igen och synka.
På det sättet skulle endast folk som har appen installerad på enheten som kan anropa och swisha.

På det sättet kan man inte få en botnätverk att hålla på pinga Swish API server som inte har appen.

Eller det andra lösningen är när man swishar så går den först till banken som gör anropet, så kan man låta banken som är ansluten till Swish att registera en godkänd IP adress.

För banker lär ha en fast ip adress som anropas.
På det sättet är det typ bara godkända anslutna banker som kan ansluta från en viss ip för utföra tasken.

 

Det finns för många problem med att använda ip-adress för identifiering, speciellt som de flesta användare inte får en publik adress längre, vare sig via fiber eller mobilt. Min mobiloperatör (Tre) använder CGNAT exv och den publika adressen kan därmed bytas väldigt ofta utan att mobilen vet om det.

 

Man kan överlåta den delen till typ Swedbank, Länsförsäkringar, Nordea
och banker som är anslutna, så appen anropar banken som verifera saldot om man kan swisha, godkänds den så kan banken skicka till Swish för slutföra transaktioner och låta banken fasta IP adress från deras webbserver göra anropen.

Finns ju ganska många API idag som låses till en viss IP adress där webbservern som gör anropet som slutför det för sedan ta callback från Swish tillbaka för bekräftade.

Tar man från appen skulle inte heller teoretiskt vara omöjligt, eftersom du inte behöver fastställa personen IP adress endast IP adressen för tillfälligt från telefonen som har appen installerad.

Sedan kommer ju givitvis vara många kunder som har samma ip adress bakom en NAT som bara i princip har interna skillnader för känna igen kunden.

Men det skulle begränsa antal IP som faktiskt kan anropas.

Däremot behöver det verifera individen på IP bas så kommer det givitvis vara problematiskt då inte alla har en public ip adress.

Men den absolut säkrast är överlåta IP kontrollera ske från banken server sida till Swish.
Skulle vara typ 6 till 7 ip adresser totalt som kan anropa swish.

Det är en ip från Danske bank, 1 från Hanelsebanken, 1 från LF, 1 från Nordea, 1 från Swedbank.

 

Jag har notiser från Swish vid driftstörningar, har haft det aktiverat under 2024 (hela året) och 2025 (jan-maj).
De har bytt leveransmetod för ett tag sedan, och aviseringarna har därför sett lite olika ut, så sökningen i min inkorg blir rätt vansklig, men jag har försökt vara så noggrann som möjligt. Om jag försöker få fram alla driftstörningar, exkluderat planerat underhåll, men att även Swish-störningar hos bara en viss bank ska vara med, så blir den totala siffran 82 händelser under perioden, dvs under ca 1,5 år.

Om vi ska ta med bara Swish-störningar som påverkat alla användare (inkluderat störningar hos BankID och Riksbanken, men exkluderat störningar hos bara en viss bank) så blir siffran för år 2025 hittills 7 unika händelser. Samma siffra för hela 2024 får jag till 19 unika händelser.

Siffrorna är inte helt vetenskapliga, jag kan ha filtrerat fel i något avseende, men ungefär såhär bör det se ut.

 

Min syster och jag har en liten diskussion. Hon hävdar att det inte går att betala mer än 15 000:- p.g.a nya regler. De skulle sälja en bil idag och köparen kunde inte swisha 51 000:-.
Enligt info på min bank LF så går det att höja till 150 000:- tillfälligt, genom att kontakta telefonbanken.
De banker jag googlat nu har mellan 100 000: och 150 000:- för ett tillfälligt köp under en dag.
Har ni hört något om nya regler?

 

Jag vet att ett nytt betalsystem är på gång och ska förmodligen bli obligatorisk som gör det möjligt att betala offline med kort. Detta för att skydda sig med cyberattacker

Nytt betalsystem i Sverige från 2026