Året er 2019 og de største bankene i Norge lar forbrukerne ta opp lån, søke om kredittkort og opprette nye kontoer hvis en er i besittelse av BankID og tilhørende passord. BankID brikken kan være utstedt av hvilken som helst Norsk bank. Selve idéen bak BankID er at bankene, Altinn, Skatteetaten, NAV og private forsikringsselskaper skal kunne identifisere kunder sikkert og entydig. Kundene på sin side er ansvarlig for at BankID-brikke samt passord ikke havner i hendene på uvedkommende. Dersom dette skjer kan identiteten bli misbrukt i svindel og ID tyveri. Hvis kunden er uaktsomme og overlater BankID og passord til en tredjepart, vil de som hovedregel bli holdt ansvarlig for lån og kredittkort som blir tatt opp i deres navn. Dette høres jo ut som et ganske sikkert system tenker dere kanskje?

Hvem er så ansvarlig for at utsendt BankID havner i hendene på riktig person i utgangspunktet? Året har nå bikket 2020 og enkelte norske banker sender fortsatt ut BankID som vanlig brevpost. Bankene hevder imidlertid at sikkerheten er ivaretatt siden de sender BankID og passord i separate brev. Men dersom en tyv, svindler eller et uærlig postbud greier å få tak i den ene forsendelsen, så er det overveiende sannsynlighet for at de også greier å få tak i den andre forsendelsen. Likevell hevder altså bankene at denne praksisen er sikker, og at ansvaret ligger på kundene dersom begge deler skulle falle i hendene på uvedkommende.

Men ID tyveri rammer da ikke meg…

Du er selvsagt forsiktig med din BankID og tar alle forhåndsregler ved å ikke dele passord eller BankID-brikke med noen, selv ikke nærmeste famile. Kan en da bli utsatt for ID tyveri via BankID tenker du kanskje?

Nylig skrev E24 en sak om Shadi Maleki Ghozlo der en ukjent mann top opp millionlån i 12 ulike banker i hennes navn. Hun hadde avsluttet sitt kundeforhold og sine kontoer i DNB da hun flyttet boliglånet over til en annen bank, og antok derfor at kundeforholdet til DNB var lukket og avsluttet på en trygg måte. Likevell greier en svindler få utstedt ny BankID brikke i Shadi sitt navn ved å ringe DNB. Dette til tross for at svindleren ringer fra et telefonnummer, samt benytter en e-post adresse, som ikke er tilknyttet den tidligere DNB kunden Shadi Ghozlo på noen som helst måte. DNB sendte så den nye BankID-brikken, samt nytt brev med passord, til Shadi Ghozlo sin gamle adresse hvor svindleren fikk tilgang på begge deler. Det kommer frem at dette ID-tyveriet ble muliggjort ved at DNB ikke avsluttet nettbankavtalen da kundeforholdet ble sagt opp. På spørsmål om hvordan dette kunne skje svarer DNB følgende til E24.

I dette tilfellet mener vi rutinene for utlevering av BankID har blitt overholdt. Banken sier den aldri sender både kodebrikke og personlig kode i samme brev til kunden, og sier at dette ikke har skjedd i denne saken. Dersom vi har gjort en feil så har vi ikke problemer med å innrømme det, og iverksette eventuelle tiltak for å forbedre oss. Dersom kunden bestiller ny kodebrikke forsikrer vi oss om at kunden er den vedkommende gir seg ut for å være. Dette er fast rutine, skriver DNB.

Det som er desto mer kritikkverdig er at en ny konto som svindleren oppretter i  Shadi Ghozlo sitt navn blir anmeldt etter at svindleren benytter denne til kontantuttak fra den utstrakte lånesvindelen mot 12 banker. Etter anmeldelsen stenger DNB denne kontoen, uten å på noen måte informere  Shadi Ghozlo om eksistensen av denne kontoen, eller at den er benyttet til svindel. Er virkelig alle rutinene blitt fulgt i denne saken DNB?

 Det som skjer videre i denne saken er at en svensk statsborger blir identifisert og siktet i saken. Vedkommende er nå etterlyst, men ikke pågrepet. Til tross for dette har forbrukslånbanken Bank Norwegian nå gått til søksmål mot søksmål mot Shadi Ghozlo for å inndrive dette lånet som svindleren opprettet i hennes navn. Bank Norwegian argumenterer at dersom noen har klart å få tak i koden eller kodebrikken, er det fordi personen BankIDen er registrert på har opptrådt uaktsomt. De mener derfor det er grunnlag for å stille offeret for identitetstyveri som erstatningsansvarlig. En av de andre bankene, Komplett Bank, avventer til februar med å ta ut et eventuelt søksmål mot Shadi Ghozlo.

Tror du fortsatt at du er sikret mot ID-tyverei via BankID selv om du gjør alt riktig og tar alle forhåndsregler?

Hvordan kan du sikre deg mot ID tyveri?

For det første må du alltid kreve at banken sender BankID-brikke samt brev med passord som rekomandert sending. Dersom banken nekter å gjøre dette er det god grunn til å bytte bank til en som tar din sikkerhet på alvor. I 2020 er det ingen gode argumenter for at en bank ikke skal sende dine viktigste person-ID-dokumenter rekomandert. Hevder de noe annet er det kun et kostnadsspørsmål fra banken sin side. Et slikt useriøst selskap ønsker du ikke å ha som din bankforbindelse.   

For det andre finnes det en måte å forhindre at uvedkommende tar opp lån i ditt navn. Dette gjør du ved å sette frivillig kredittsperre på ditt personnummer. En kredittsperre fører til at det ikke er mulig å foreta en kredittvurdering av deg, noe som gjør det langt vanskeligere for andre å starte abonnementer, søke om kredittkort eller ta opp nye lån i ditt navn. En kredittsperre vil derfor gjøre ID-tyveri med økonomiske konsekvenser langt vanskeligere.

I Norge har Datatilsynet gitt konsesjon til fire selskaper som kredittvurderer privatpersoner (Bisnode, Creditsafe, Experian og ERVY). For å sperre for kredittvurdering må en derfor ta kontakt med disse fire selskapene og reservere deg ved bruk av selskapenes sperretjeneste. Vi har gjort det enklere for deg og listet opp disse fire selskapene under, med direkte link til sperretjenestene for kredittvurdering.

Eller trykk dere inn på samme linker via sidene til www.datatilsynet.no.