BankID-svindel: slik foregår den

Av alt som kan stjeles fra deg på nett, er BankID det dyreste. Et kortnummer kan misbrukes til kjøp. BankID kan brukes til å ta opp lån i navnet ditt, opprette kredittkort, endre kontonummeret ytelsene dine utbetales til og signere avtaler som binder deg. Derfor er dette den ene koden du aldri gir fra deg, uansett hvem som spør og hvor troverdig begrunnelsen høres ut.

Hvorfor BankID er så farlig i gale hender

BankID er juridisk sett din underskrift. Når den brukes, ser motparten en signatur som er like bindende som penn på papir. Banken som utsteder et lån har derfor et dokumentert samtykke fra deg, og du er den som må bestride at det er ditt.

Det praktiske utslaget er at skaden sjelden stopper ved én transaksjon. Et typisk forløp etter et vellykket BankID-misbruk er flere søknader om forbrukslån hos ulike banker i løpet av kort tid, et par kredittkort, og kanskje en endring av kontonummer slik at utbetalingene går et annet sted. Alt dette kan skje i løpet av en ettermiddag, og du merker det først når det første kravet kommer i posten.

Slik foregår det i praksis

Fra offerets side ser det som regel slik ut. Du får en henvendelse — en SMS om en pakke, en e-post om en refusjon, en telefon fra «bankens sikkerhetsavdeling» eller fra noen som sier han er fra politiet. Deretter skjer én av to ting.

Enten blir du bedt om å logge inn et sted for å «bekrefte identiteten din», og siden du havner på ser ut som den ekte. Eller så får du en BankID-forespørsel på telefonen mens du snakker med noen, og blir bedt om å godkjenne den «så vi kan se saken sammen». I begge tilfeller er det du som utfører signeringen. Svindleren står bare og venter på at den skal gå gjennom.

Et tredje forløp er verdt å nevne, fordi det rammer eldre og folk i sårbare situasjoner særlig hardt: noen i nær omgangskrets ber om å få «låne» BankID for å hjelpe til med noe praktisk. Å låne bort BankID er å gi bort signaturen sin. Trenger noen faktisk å hjelpe deg med økonomien, er verktøyet fremtidsfullmakt eller verge, ikke en lånt kode.

Hva banken aldri ber om

• Personlig passord eller engangskode til BankID — verken på telefon, SMS, e-post eller chat.
• At du logger inn i nettbanken mens en ansatt venter på telefonen.
• At du installerer et program slik at noen kan «se skjermen din» og hjelpe deg.
• At du overfører penger til en annen konto for sikkerhets skyld.
• At du oppgir kortnummer og CVC for å motta en tilbakebetaling.

Banken kan derimot sperre kortet ditt, sperre BankID, stanse en betaling og be deg komme innom et kontor med legitimasjon. Alt det gjør den uten en eneste kode fra deg.

Har du oppgitt kode? Gjør dette nå

1. Ring banken din umiddelbart og be om at BankID sperres og at eventuelle betalinger stanses. Bruk nummeret på baksiden av kortet, ikke et nummer du har fått oppgitt.
2. Be uttrykkelig om sperring av BankID, ikke bare av kortet. Det er to forskjellige ting.
3. Ta vare på alt: skjermbilder av meldingen, telefonnummeret, tidspunktet, nettadressen du var innom.
4. Anmeld forholdet til politiet. Bedrageri og ID-tyveri kan anmeldes digitalt på anmeldelse.politiet.no.
5. Sett kredittsperre samme dag, slik at nye kredittsøknader stoppes.
6. Sjekk hva som faktisk er søkt om i navnet ditt de neste ukene, og be om skriftlig svar fra hver bank som har fått en søknad.

Har noen tatt opp lån i navnet ditt?

Da er dette en sak mellom deg og banken som utbetalte lånet, ikke mellom deg og svindleren. Bestrid kravet skriftlig, med dato og en kort beskrivelse av hva som skjedde, og legg ved anmeldelsen. Ikke betal et avdrag «for å ha ryggen fri» mens saken utredes — betaling kan bli lest som en erkjennelse av kravet.

Bevisbyrden ligger hos banken. Etter finansavtaleloven § 3-7 må banken dokumentere at transaksjonen ble autentisert, korrekt registrert og bokført, og at den ikke skyldes teknisk svikt. Dette gjelder også i saker om BankID-misbruk — det finnes ingen egen særlov for BankID. Fører ikke dialogen med banken fram, kan saken klages inn for Finansklagenemnda Bank.

Praktisk går det som regel slik: du kontakter hver enkelt bank skriftlig, ber om kopi av lånesøknaden og av signeringsloggen, og opplyser at forholdet er anmeldt. Deretter tar det tid. Be om å få vite hvem som er saksbehandler, sett en frist for svar, og purr skriftlig når fristen går ut. Ikke la deg presse til en «minnelig løsning» der du dekker en del av beløpet før du vet hva dokumentasjonen viser.

Er det snakk om en betaling fra kontoen din og ikke et lån, gjelder egenandelene i finansavtaleloven § 4-30: 450 kroner ved uaktsomhet og 12 000 kroner ved grov uaktsomhet. Meld fra uten ugrunnet opphold og senest 13 måneder etter belastningen, jf. § 4-24.

Slik ser en typisk sak ut

Mønsteret gjentar seg med små variasjoner. Det begynner med en SMS om en pakke som ikke kan leveres. Du klikker, taster inn litt informasjon, og hører ingenting mer. Neste dag ringer noen som sier han er fra banken og har oppdaget mistenkelig aktivitet på kontoen din. Han vet at du klikket på en lenke i går — noe som virker som bevis på at han er den han sier — og ber deg bekrefte identiteten din i BankID mens dere snakker sammen.

Du godkjenner. På skjermen står det noe om en avtale, men du rekker ikke lese det, for stemmen i telefonen forklarer samtidig hva som skjer. To uker senere kommer det brev fra to banker du aldri har vært kunde i.

Alle de fem klassiske svindelmekanismene er med: tidspress, autoritet, isolasjon, en historie som er akkurat troverdig nok, og at du selv utførte handlingen. Se hvordan du kjenner igjen svindel for hvordan de virker sammen.

Kodebrikke, app og BankID på mobil

BankID finnes i flere former, og de har litt ulike svake punkter. Med kodebrikke taster du inn en kode som vises på brikken — den koden er det svindleren ber om å få lest opp. Med BankID i app godkjenner du i telefonen, og da vises en tekst om hva du signerer. Med BankID på mobil kommer forespørselen som en dialog på telefonen din.

Det ene rådet som dekker alle tre: les hva som står før du godkjenner, og godkjenn aldri noe som er startet av en annen. Står det navnet på en bank du ikke er kunde i, eller et beløp du ikke kjenner igjen, avbryt. Teksten i signeringsvinduet er den siste bremsen mellom deg og et lån.

Kredittsperre er det billigste forsvaret du har

En frivillig kredittsperre registreres hos kredittopplysningsforetakene og gjør at nye kredittsøknader i ditt navn blir stoppet. Den hindrer ikke at noen prøver, men den gjør forsøket verdiløst, fordi banken som skal innvilge lånet ikke får den kredittopplysningen den trenger. Du kan selv oppheve sperren når du faktisk skal låne.

Sammen med sperren hører to vaner: sjekk kredittopplysningene dine av og til, og les varslene du får når noen gjør et kredittsøk på deg. Et søk du ikke kjenner igjen er ofte det første synlige tegnet på at BankID-en din er misbrukt. Søstersidene våre går grundigere gjennom både hvordan du setter kredittsperre og hva en kredittsjekk viser.

Trenger du forsikring mot ID-tyveri?

Etter en slik sak kommer spørsmålet nesten alltid. Svaret er som regel nei: rettighetene dine følger allerede av finansavtaleloven, banken har bevisbyrden, og selve oppryddingsjobben er noe du langt på vei må gjøre selv uansett. Mange har dessuten en slik dekning liggende i innboforsikringen eller gjennom et kredittkort uten å vite det. Arkivartikkelen om hvorfor du bør droppe forsikringen mot ID-tyveri går gjennom regnestykket.

Det som faktisk hjelper, koster ingenting: kredittsperre, varsling på transaksjoner, og at du leser signeringsteksten i BankID.

Vaner som gjør deg vanskelig å ramme

Slå på varsling på alle transaksjoner i nettbanken, sett en lav beløpsgrense for overføringer til nye mottakere, og bruk en egen e-postadresse til bank og offentlige tjenester som du ikke oppgir andre steder. Les alltid teksten i BankID-appen før du signerer — den forteller deg hva du faktisk godkjenner, og det er den siste bremsen som finnes.

Én ting til, som gjelder alle: ikke godkjenn noe mens du går, kjører eller står i kø. De fleste feilsigneringene skjer når man gjør to ting samtidig og bare vil bli ferdig. Stopp opp de fem sekundene det tar å lese teksten.

Har uhellet allerede skjedd, ta rekkefølgen i artikkelen om hva du gjør når du er blitt svindlet, og se også trygg bruk av Vipps og nettbank for hvordan du sikrer selve nettbanken.