Falsk BankID-varsel i appen — slik kjenner du igjen svindelen

Hvordan oppstår et falsk BankID-varsel du ikke selv har bedt om?

Et push-varsel i BankID-appen dukker opp når noen - deg selv eller en annen som har startet prosessen med din identitet - forsøker å logge inn eller godkjenne en handling som krever din bekreftelse. Svindlere som har fått tak i fødselsnummeret ditt, ofte gjennom datalekkasjer eller sosial manipulering, kan starte en innloggings- eller betalingsprosess i ditt navn uten at de selv har tilgang til telefonen din. Da sendes varselet automatisk til din BankID-app, fordi det er koblet til din identitet, ikke til svindlerens enhet. Får du et slikt varsel du selv ikke har startet, betyr det at noen aktivt forsøker å bruke identiteten din akkurat nå.

Hva kjennetegner et legitimt varsel sammenlignet med et svindelforsøk?

Et legitimt varsel kommer alltid som en direkte konsekvens av noe du selv nettopp har gjort - for eksempel at du har trykket «logg inn med BankID» på en nettside eller startet en betaling i nettbanken. Varselet skal vise konkret informasjon om hva du godkjenner: hvilken tjeneste du logger inn på, eller beløp og mottaker dersom det gjelder en betaling. Et svindelforsøk kjennetegnes ved at varselet kommer uventet, uten at du selv har gjort noe umiddelbart før, eller ved at informasjonen i varselet er vag, ufullstendig eller ikke stemmer med det du forventer å godkjenne. Kommer varselet samtidig med at du er midt i en telefonsamtale med noen som utgir seg for banken, politiet eller det offentlige, er det et sterkt varsku.

Hvorfor er det farlig å godkjenne «for å se hva det er»?

Mange forbrukere godkjenner et uventet varsel av nysgjerrighet, eller fordi de tror det er en feil de kan avvise etterpå. Problemet er at selve godkjenningen er en bindende handling i det øyeblikket den utføres - trykker du godkjenn, er handlingen som hovedregel gjennomført, enten det er en pålogging som gir svindleren tilgang til kontoen din, eller en betaling som sender penger til en fremmed konto. Det finnes ingen «angre»-knapp etter at en betaling er godkjent. Godkjenner du et varsel du i ettertid ikke kan forklare hva gjaldt, styrker det bankens argument om at du har opptrådt uaktsomt, noe som er relevant for egenandelen din etter § 4-32.

Hvilken betydning har det å godkjenne et varsel du ikke forstår?

Godkjenner du et varsel uten å forstå hva det faktisk innebærer, og det viser seg å være en uautorisert betaling, vil banken vurdere om dette utgjør uaktsomhet eller grov uaktsomhet etter § 4-32. Har varselet vist tydelig informasjon om beløp og mottaker som du burde ha lest før du godkjente, trekker det i retning av at du har opptrådt uaktsomt eller grovt uaktsomt. Var informasjonen i varselet derimot uklar, manipulert eller villedende på en måte du ikke med rimelighet kunne avdekket, styrker det heller argumentet for at ansvaret bør ligge hos banken etter hovedregelen om tilbakeføring i § 4-30.

Hva bør du gjøre umiddelbart hvis du mottar et uventet varsel?

Avvis varselet umiddelbart dersom du ikke selv har startet handlingen det gjelder. Ikke la deg presse av noen som ringer eller sender melding samtidig og forsøker å forklare hvorfor du «må» godkjenne akkurat nå - legitime henvendelser fra banken krever aldri at du godkjenner et varsel du ikke forstår. Kontakt banken din direkte gjennom et nummer du selv har funnet, ikke et nummer du har fått oppgitt av den som ringte, og be om at BankID-en sperres midlertidig dersom du mistenker at noen prøver å misbruke identiteten din akkurat nå.

Hvorfor er push-varsler mer sårbare for denne typen svindel enn kodebrikker?

En eldre, fysisk kodebrikke krever at du selv fysisk trykker en knapp og taster inn tall du selv leser av skjermen på brikken, noe som gjør det vanskeligere for en svindler å få deg til å godkjenne noe uten at du samtidig ser nøyaktig hva du bekrefter. Et push-varsel i en app er derimot designet for å være raskt og enkelt - ofte holder det med ett trykk for å godkjenne. Denne brukervennligheten er nettopp det svindlere utnytter: jo enklere godkjenningen er, desto mindre tid og oppmerksomhet bruker du på å lese hva du faktisk sier ja til. Mange brukere har dessuten blitt vant til å godkjenne varsler nærmest reflekssmessig i andre sammenhenger, for eksempel ved innlogging på egne tjenester flere ganger daglig, noe som gjør at et uventet varsel lettere godkjennes uten ettertanke. Bevisstheten om at et push-varsel krever like mye oppmerksomhet som å taste inn en kode manuelt, er derfor en viktig del av å beskytte seg mot denne typen svindel.

Kort oppsummert

• Et uventet BankID-varsel betyr som regel at noen andre har startet en prosess med din identitet.
• Et ekte varsel skal alltid vise konkret hva du godkjenner, og komme som følge av noe du selv nettopp gjorde.
• Å godkjenne «for å se hva det er» kan være en bindende handling du ikke kan angre.
• Om godkjenningen fører til tap, vurderes ansvaret ditt etter finansavtaleloven § 4-32.
• Avvis uventede varsler, og kontakt banken via et nummer du selv har funnet - aldri via den som ringte deg.