Bankerne sjusker med NemID-nøglekort: Kostede ung lærer 270.000 kroner
Den 29-årige lærer Ronja Larsen blev for nylig svindlet for 270.000 kroner, fordi hendes bank, Arbejdernes Landsbank, ukritisk sendte et nyt NemID-nøglekort, da svindlere ringede og udgav sig for at være hende. Derefter fiskede svindlerne nøglekortet op af postkassen før hende selv og loggede ind på netbanken med Ronjas kode til NemID, som de havde stjålet ad andre veje. Ingeniøren og Version2 har foretaget en stikprøve hos seks banker for at undersøge, hvor meget kunder skal oplyse om sig selv for at få tilsendt et nyt NemID-nøglekort. Alle seks opkald til bankerne blev foretaget af kunder i banken og fra kundens eget nummer. Vi har ringet til Nordea, Sydbank, Arbejdernes Landsbank, Lån & Spar, Jutlander Bank og Merkur Sparekasse. Fra Sydbank og Merkur Sparekasse fik vi sendt nye nøglekort og oplyst adresserne på ofrene uden at oplyse andet end kundens navn. I Arbejdernes Landsbank og Jutlander Bank fik vi tilsendt nøglekort og oplyst kundens adresse ved at opgive et CPR-nummer. I Nordea blev vi trukket gennem en omfattende udspørgen, hvorefter vi fik udstedt et nyt nøglekort. Det er denne praksis, Nets anbefaler bankerne til at følge. Lån & Spar Bank udsteder slet ikke nøglekort efter henvendelser over telefonen. Torben Bruun Jørgensen, Områdedirektør Sydbank: »Det er jo tydeligt, at vores procedurer ikke er blevet overholdt i dette tilfælde. Det er dybt beklageligt, at der ikke bliver stillet de nødvendige kontrolspørgsmål, og at vi sender et nøglekort af sted på så spinkelt et grundlag.« Charlotte Skovgaard, direktør, Merkur Sparekasse: »Vi ser med alvor på den konkrete sag. Vi har i dag genopfrisket vores interne retningslinjer over for medarbejderne for at understrege vigtigheden af, at vi altid behandler vores kunders fortrolige oplysninger ordentligt.« Peter Froulund, kommerciel direktør, Arbejdernes Landsbank: »I den konkrete sag må vi erkende, at vi desværre ikke har udvist tilstrækkelig omhu og agtpågivenhed ift. at forhindre angrebet. Sagen har endvidere betydet, at vi har indskærpet vores interne procedurer.« Bjarne Hvirring, kommunikationschef, Jutlander Bank: »Vi ser med dyb alvor på det her, der tydeligvis er et brud på de retningslinjer, vi har fået udstukket af Nets.« Nordea trak os i vores stikprøve gennem en omfattende spørgerunde for at få bekræftet kundens identitet, hvilket svarer til den praksis, Nets anbefaler. Lån & Spar Bank oplyser i en e-mail til Ingeniøren og Version2, at banken slet ikke tillader udstedelse af nøglekort telefonisk, netop af hensyn til sikkerheden.Banker sender nøglekort uden at få ID
Det siger bankerne
»Jeg er dybt skuffet over min bank, og jeg ønsker ikke for nogen som helst, at de oplever at vågne op til en tom konto og en postkasse fyldt med regninger for ting, man ikke selv har købt,« siger Ronja Larsen, som ikke anede, at der var en storm på vej mod hende.
Bankerne sender nemlig ingen form for notifikation, når der bestilles et nyt nøglekort i éns navn.
Og Ronja Larsens historie er ikke et enestående eksempel. Ifølge finanssektorens brancheorganisation, Finans Danmark, har mindst fem andre oplevet det samme i år, og sidste år var der ‘endnu flere’, skriver organisationen, der ikke ønsker at stille op til interview, i en e-mail til Ingeniøren og Version2.
Fire ud af seks fejler i stikprøve
Efterfølgende har Ingeniøren og Version2 med en række kunders vidende ringet til Arbejdernes Landsbank og fem andre danske banker for at bestille nye nøglekort.
Arbejdernes Landsbank sendte et nyt nøglekort, så snart vi opgav et CPR-nummer. Også Jutlander Bank sendte et nyt nøglekort, da den fik oplyst et CPR-nummer.
Hvis man vil bestille et nyt nøglekort gennem selve NemID eller Borgerservice, kræver det derimod enten pas eller kørekort, der er langt vanskeligere for svindlere at skaffe end CPR-nummeret.
Endnu værre ser det ud for kunder hos Sydbank og Merkur Sparekasse, der sendte nye nøglekort hjem til kunderne, uden at vi behøvede at opgive en adresse. Den oplyste bankerne selv i telefonen.
Dermed fik eventuelle svindlere at vide, hvor de skulle fiske det nye nøglekort op af postkassen.
Bankernes lemfældige omgang med kundernes NemID-nøglekort sætter – hvis den misbruges – den ekstra såkaldte tofaktor-identifikation ud af funktion. Det gør det enklere for it-kyndige svindlere at overtage identiteten fra deres ofre.
»Hvis man overtager NemID, har man begået det ultimative identitetstyveri i Danmark,« siger Jacob Herbst, medejer af sikkerhedsfirmaet Dubex, og opfordrer samtidig til at kigge sikkerheden i NemID efter i sømmene med henblik på en opdatering.
»En klar svækkelse«
Kriminolog Peter Kruize, der har udgivet en række rapporter om e-kriminalitet, kalder det en klar svækkelse af NemID, hvis nøglekortet kompromitteres. Han påpeger, at stadigt flere tjenester kobles til NemID.
»Jo mere NemID låser op for, des mere værdifuld bliver kontrollen over det,« siger han.
Et internt dokument, Ingeniøren og Version2 er i besiddelse af, viser, at banker, der sender nøglekort uden at tjekke ID, bryder anbefalingen fra Nets, som driver NemID.
Ifølge Nets bør bankerne sikre sig en »stærk identifikation« af kunden, før de fremsender nyt nøglekort. Det kræver mere end et CPR-nummer, f.eks. at banken spørger til nylige kontohandlinger.
De fire banker, som ukritisk sendte nøglekort, understreger alle over for Ingeniøren og Version2, at det strider imod deres retningslinjer. Arbejdernes Landsbank erkender »ikke at have udvist tilstrækkelig omhu og agtpågivenhed« i Ronja Larsens sag, og hun har fået erstattet sit tab.
»Vi har indskærpet vores interne procedurer for at forhindre lignende sager fremover,« skriver bankens kommercielle direktør, Peter Froulund, i en e-mail.
Ligesom Finans Danmark afviser Digitaliseringsstyrelsen at stille op til interview, men de to parter skriver i en fælles mail, at de »ikke er bekendt med, at danske banker udleverer nye nøglekort uden at legitimere kunden overhovedet«.
Denne artikel stammer fra den trykte udgave af Ingeniøren, som udkommer i dag. Version2 bringer mere om sagen mandag.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
