Kan man sende kontonummer på epost?

Sende kontonummer på epost: Risiko ved identitetsmisbruk

Vurderer du å sende kontonummer på epost? Det kan virke uskyldig, men personlige opplysninger på avveie skaper store problemer for tusenvis av nordmenn. Lær mer om de skjulte farene ved digitale lekkasjer slik at du beskytter din identitet mot uønsket misbruk.

Er det trygt å sende kontonummer på e-post?

Svaret er kort og godt nei - du bør ikke motta eller sende kontonummer via e-post fra din arbeidsgiver eller andre instanser. Sikkerheten rundt digital deling av personopplysninger avhenger sterkt av konteksten, og situasjonen kan være knyttet til flere ulike risikofaktorer. Personlige opplysninger som kontonummer er beskyttet av Offentlighetsloven, og bør ikke deles på denne måten. Det samme strenge sikkerhetsprinsippet gjelder også for personnummer.

Mange tror at e-post er en lukket samtale mellom to personer. Sannheten er mer usikker. Ukryptert e-post kan sammenlignes med å sende et postkort i posten - innholdet passerer flere åpne servere før det når mottakeren. Hvis en kriminell aktør overvåker nettverket eller hacker en e-postkonto, ligger informasjonen helt åpen.

Hvorfor e-post skaper store sikkerhetshull

Jeg har selv jobbet med digital infrastruktur i en årrekke, og jeg har sett hvor sårbare vanlige e-postløsninger faktisk er. I starten av min karriere gjorde jeg en klassisk feil - jeg sendte en liste med sensitive oppføringer til feil mottaker på grunn av en automatisk autofullfør-funksjon i adressefeltet. Den panikkfølelsen jeg opplevde da e-posten forlot utboksen, lærte meg en lekse for livet. E-post har ingen angreknapp som garanterer sletting hos mottakeren.

Når sensitive data som et bankkontonummer blir liggende i innboksen eller utboksen i månedsvis, utgjør det en permanent risiko. Hvis arbeidsgiveren din opplever et datainnbrudd, vil de kriminelle skanne alle tekstlogger etter tallkombinasjoner. Kontonummer og personnummer er førsteprioritet for digitale svindlere.

Risikoen for målrettet ID-tyveri

I løpet av en toårsperiode opplever omtrent 1,5 prosent av den norske befolkningen at identiteten deres blir misbrukt. ^[1] Dette utgjør rundt 70 000 personer som må bruke dager og netter på å rydde opp etter svindel. Et kontonummer alene er sjelden nok til at noen kan tømme bankkontoen din direkte. Men det er en viktig brikke i et større spill.

Kriminelle bruker gjerne det lekkede kontonummeret til å utføre svært troverdige phishing-angrep. De kan sende deg en falsk faktura eller utgi seg for å være banken din, og fordi de allerede kjenner ditt ekte kontonummer, senker du guarden. Det er akkurat slik avansert svindel foregår i dag.

Bedrifters håndtering av sikkerhetshendelser

Undersøkelser viser at bare 12 prosent av virksomhetene som rammes av digitale sikkerhetsbrudd, velger å anmelde hendelsen til politiet.^[2] Dette betyr at de aller fleste digitale lekkasjer skjer i det skjulte uten at offentligheten eller de berørte personene får vite om det. Mørketallene er med andre ord enorme.

Samtidig rapporterer hele 46 percent av de rammede virksomhetene at sikkerhetshendelsene fikk merkbare konsekvenser for bedriften. Dette inkluderer alt fra direkte økonomiske oppfølgingskostnader og driftsforstyrrelser til varig omdømmetap. Når så mange bedrifter sliter med å holde kontroll over egne data, må du selv ta ansvar for hva du sender fra deg.

Hvordan du bør levere sensitive opplysninger

Hvis din arbeidsgiver ber deg om å sende kontonummer på epost, bør du høflig foreslå en sikrere løsning. Seriøse selskaper har i dag etablerte rutiner som beskytter de ansattes personvern i tråd med Offentlighetsloven.

Bruk alltid de offisielle kanalene som krever sikker autentisering: Krypterte personalportaler: Logg inn i bedriftens interne HR-system med BankID for å registrere eller endre dine bankopplysninger. Sikre skjemaer: Benytt toveiskrypterte innsendingsskjemaer dersom bedriften tilbyr dette for eksterne partnere. Personlig oppmøte: Hvis digitale alternativer mangler, kan du skrive ned kontonummeret på et papir og levere det direkte til lønnsansvarlig.

Sammenligning av digitale kommunikasjonskanaler

Valg av kanal har avgjørende betydning for om dine finansielle data forblir private eller blir sårbare for sniffing.

Tradisjonell e-post

• Uegnet - bryter med prinsippene for god informasjonssikkerhet
• Lavt - informasjonen sendes i klartekst gjennom eksterne servere
• Høy - e-posten lagres permanent i sendt-mapper og innbokser

Kryptert personalportal

• Svært godt egnet - den anbefalte metoden for deling av sensitive data
• Høyt - krever verifisering med BankID eller totrinnspålogging
• Svært lav - dataene krypteres under transport og lagres i sikre databaser

Da lønnsinformasjonen havnet på avveie

Lars, en tretti år gammel HR-konsulent i Oslo, ba en nyansatt sende kontonummeret sitt på e-post for å rekke lønnskjøringen. Han var stresset på grunn av en stram tidsfrist.

Den ansatte sendte informasjonen raskt, men Lars tastet feil e-postadresse da han videresendte den til regnskapsføreren. E-posten med kontonummeret havnet hos en ekstern person.

Lars fikk panikk da han innså tabben, men i stedet for å skjule feilen, kontaktet han IT-avdelingen umiddelbart for å tilbakekalle e-posten. Han lærte at hastverk skaper farlige sikkerhetshull.

Etter denne hendelsen endret bedriften sine rutiner permanent, slik at alle bankopplysninger nå utelukkende registreres direkte via en kryptert personalportal med sikker BankID-pålogging.