Bedragarna försökte få bankens nätkunder att avslöja sina hemliga koder på en inloggningssida som är en exakt kopia av Nordeas riktiga, och med en adress som är nästan identisk.
I ett mejl som har den synliga avsändaradressen nordea@nordea.com skriver bedragarna att banken har förändrat sitt säkerhetssystem och att man därför måste göra en autentifisering.
Eftersom mottagaren sägs ha använt felaktiga engångskoder uppmanas han eller hon att pröva igen, och hänvisas då till en hemsida med en adress lik Nordeas och där till och med länkarna fungerar och leder tillbaka till den riktiga Nordeasidan.
Strax efter klockan 23 på kvällen, en dryg timme efter att banken uppmärksammats på bedrägeriförsöket, var Nordea på väg att stänga internettjänsten.
Med omedelbar verkan. Det gör vi för att skydda våra kunder, säger Boo Ehlin, informationschef på Nordea.
Han påpekar att banken aldrig skulle skriva brev eller mejl till kunderna och be dem att avslöja sina koder.
Sådant gör vi inte. Får man ett sådant brev eller samtal är det inte från oss.
På måndagskvällen var det fortfarande oklart hur många kunder som drabbats av bedrägeriförsöket.
Det vet vi inte än. Men om det hänt så kommer kunderna att hållas skadeslösa, säger Boo Ehlin.
Mejlet med den felaktiga adressen till inloggningssidan är skrivet på knagglig svenska. Men den som inte är uppmärksam på språket och klickar på adresslänken i mejlet hamnar på den felaktiga sidan som är helt identisk med Nordeas riktiga inloggningssida.
Den som loggar in där skickar personnummer, personlig kod och engångskod som sedan bedragarna kunnat använda på den riktiga nätsidan.
Hur länge bedrägeriet pågått är ovisst. Uppmärksamma kunder ringde Nordea vid 22-tiden. Under kvällen hörde flera personer av sig till DN om de falska mejlen. Trots att den fiktiva avsändaradressen ser ut som en korrekt Nordeaadress varierar de verkliga avsändarna och har olika utländska ändelser.
Ett av flera mejl som DN tagit del av är sänt klockan 21.32 på måndagskvällen till företaget Trulstech, ett företag som sysslar med forskning och utveckling för industriell produktion.
Vi har varit utsatta för flera bedrägeriförsök, bland annat i form av Nigeriabrev. Men det här är ju något helt annat. Här försöker man ju på ett avancerat sätt lura folk att skicka i väg sina koder, säger Mats Nilsson, upprörd utvecklingschef på Trulstech.
Hur länge Nordeas internettjänst kommer att vara stängd kunde inte Nordeas Boo Ehlin svara på under kvällen.
Under tisdagen får vi se hur vi kan gå vidare och också försöka få den falska sidan nedsläckt, säger Boo Ehlin på Nordea.