Tre anmälningar hos Konsumentverket leder till ett kluster med 1 642 investeringsdomäner

Ingången var tre konsumentanmälningar

Varningskollens genomgång av Konsumentverkets 1 000 senast diarieförda anmälningar omfattade perioden 1-17 juli 2026. I sammanställningen förekom Fondholm tre gånger. Det var samtidigt samtliga tre träffar som vid kontrolltillfället fanns registrerade på namnet i diariet.

Den dominerande signalen i anmälningarna var vilseledande marknadsföring. Fondholm placerades därmed på tionde plats i Konsumentverkets anmälningstopp för vecka 29 .

Det intressanta uppstod först när namnet i diariet följdes vidare till domänen fondholm-emisvik.com.

En svensk AI-plattform med stora påståenden

Fondholm Emisvik presenterar sig som en AI-driven plattform för handel med kryptovalutor och andra finansiella instrument. Webbplatsen uppmanar besökaren att registrera sig och börja med en insättning från 250.

På webbplatsen påstås bland annat att tjänsten har:

• 65 eller fler tillgängliga kryptovalutor
• 34 miljoner verifierade användare
• 400 miljoner dollar i handelsvolym
• verksamhet i fler än 98 länder
• 85 procents noggrannhet
• säkerhet på banknivå
• efterlevnad av svenska finansiella regler

Någon tydligt identifierad juridisk person, svensk registrering eller kontrollerbar tillståndsgivare framgår däremot inte av marknadsföringen. Vid WHOIS-kontrollen framgick att domänen skapades den 25 mars 2026.

Webbplatsen beskriver sig själv på två olika sätt

På förstasidan framställs Fondholm Emisvik som den plattform där kunden registrerar sig, sätter in pengar och handlar.

I användarvillkoren anges däremot att webbplatsen endast tillhandahåller information om externa tredjepartsplattformar för handel. Integritetspolicyn förklarar dessutom att personuppgifter kan lämnas vidare till flera olika tradingplattformar.

Där anges också att uppgifterna kan delas med tredjepartsplattformar under tolv månader och, efter fortsatt samtycke, under ytterligare tolv månader. Det är ett upplägg som ligger närmare en leadgenerator än den självständiga handelsplattform som förstasidan ger intryck av.

Den svenska sidan använder El Salvadors flagga

Webbplatsen erbjuder endast svenska som språk. I språkvalet används ändå El Salvadors flagga.

Orsaken är att bilden hämtas från https://flagcdn.com/sv.svg. Flaggtjänsten använder tvåställiga landskoder, där SV står för El Salvador. Sveriges landskod är SE, vilket innebär att den svenska flaggan skulle ha hämtats från https://flagcdn.com/se.svg.

Den sannolika förklaringen är att sidbyggaren har använt språkkoden sv för svenska som om den också vore Sveriges landskod. Misstaget är i sig inte bevis för något bedrägeri, men det är ett tydligt tecken på bristande lokal kunskap och automatiserad lokalisering av en internationell webbmall.

Från en domän till IP-adressen 94.26.38.73

En kontroll av domänens tekniska historik visade att fondholm-emisvik.com svarade mot IP-adressen 94.26.38.73.

En reverse-IP- och passiv DNS-kontroll av adressen gav 1 893 poster i gränssnittet. Den exporterade listan innehöll 1 642 unika domännamn. Samtliga rader i exporten var försedda med provideruppgiften BO DA LAI.

En delad IP-adress bevisar inte att samtliga domäner har samma ägare eller operatör. IP-adresser kan användas av många kunder, och historiska DNS-uppgifter kan visa domäner som inte längre ligger på servern.

I det här fallet är det därför inte enbart IP-kopplingen som är intressant. Det är kombinationen av IP-adressen, domännamnens struktur, återanvända investeringsbegrepp, testdomänerna och träffarna mot redan FI-varnade aktörsnamn.

Domänlistan liknar en produktionslinje

De 1 642 domänerna ser inte ut som en samling oberoende och organiskt framvuxna företag. De följer i hög grad samma modell: ett positivt eller finansiellt laddat ord kombineras med ett konstruerat teknik-, investerings- eller handelsord.

Exporten innehåller bland annat:

• 1 518 domäner under .com
• 43 domäner under .org
• 37 domäner under .best
• 14 domäner under .net
• 13 domäner under .app
• 11 domäner under .pro

Totalt 1 361 domäner, motsvarande knappt 83 procent, är konstruerade med bindestreck. Ordled som fund, gain, lux, flow, dex, invexa, valnex, finlore och paycore kombineras om och om igen.

Namnen är samtidigt språkligt anpassade för olika marknader. I listan finns ord och uttryck som hämtats från bland annat svenska, norska, danska, tyska, franska, polska, tjeckiska, spanska, italienska, nederländska, turkiska och asiatiska språk.

Testmiljön ligger kvar i samma export

Samtliga 37 domäner under .best har namn som tydligt antyder utveckling, testning eller produktion. Exempel är:

• testprod11.best
• testprodsource100b.best
• testtemplatest1.best
• testshablon104.best
• testscrapprod111.best
• testdevsourcecol94.best

Orden template, prod, source, scrap och det ryska ordet shablon, som betyder mall, stärker bilden av en teknisk produktionsmiljö där nya sajter och varianter genereras löpande.

Minst tio träffar mot FI-varnade namn

När domännamnen jämfördes med Finansinspektionens varningar hittades minst tio tydliga namnträffar. Det handlar inte alltid om exakt samma domän som anges i FI-varningen. I flera fall är det en närmast identisk bindestrecksvariant av samma särpräglade aktörsnamn.

Finansinspektionen uppgav den 5 juni att de varnade aktörerna inte fanns i myndighetens företagsregister och saknade rätt att erbjuda finansiella tjänster i Sverige. FI beskrev hur aktörerna lockar med AI, automatiserad trading och snabba vinster, medan kunderna i praktiken riskerar att inte få tillbaka insatta pengar.

Träffarna innebär inte automatiskt att varje annan domän på IP-adressen används för samma ändamål. Men de visar att den tekniska miljön innehåller flera namn som redan har identifierats av svensk finansmarknadstillsyn.

BO DA LAI, TaleStar och en hostingaktör som bytt identitet

Provideruppgiften BO DA LAI i exporten förefaller vara historisk. Äldre tredjepartsuppgifter för det autonoma systemet AS202412 anger nätverksnamnet TaleStar och organisationsobjektet ORG-BDL8-RIPE, registrerat som BO DA LAI med adress i Taiwan.

Organisationsobjektet går inte längre att hitta som aktivt objekt i RIPE-databasen. I aktuella RIPEstat-uppgifter anges i stället OMEGATECH-AS och Omegatech LTD som innehavare av AS202412.

Det går inte utifrån dessa uppgifter att avgöra om verksamheten har bytt namn, överlåtits eller om nätresurserna har flyttats till en ny operatör. BO DA LAI bör därför inte beskrivas som den säkert nuvarande hostingleverantören.

Det som går att konstatera är att samma ASN har en föränderlig registreringshistorik och att den aktuella IP-adressen ligger i en miljö som i dag hänförs till Omegatech LTD.

Säkerhetsprodukter reagerar vid stickprov

Vid manuella stickprov på ett antal av domänerna blockerade den lokala säkerhetsprodukten Avast besöken med klassificeringen phishing.

En sådan produktklassificering är en relevant risksignal, men den är inte ett självständigt bevis för att samtliga domäner är skadliga. Resultatet bör ses tillsammans med de övriga observationerna: myndighetsvarnade namn, återanvända mallar, investeringsnarrativ, testdomäner och den gemensamma infrastrukturen.