Fikk ny BankID utstedt i ditt navn av en svindler — hva gjør du?

Hvordan oppdager du at noen har fått utstedt BankID i ditt navn?

De fleste oppdager dette enten fordi de får en SMS eller e-post fra banken som bekrefter en BankID-bestilling de aldri har gjort, fordi de plutselig ikke lenger kommer inn i sin egen nettbank med sin opprinnelige BankID, eller fordi de oppdager ukjente transaksjoner eller en helt ny låneavtale i banken sin. Dette skiller seg fra det mer kjente scenarioet der en svindler lurer deg til å dele koden til din eksisterende BankID - her er problemet at svindleren aldri har trengt din BankID i det hele tatt. I stedet har vedkommende brukt stjålne personopplysninger, som fødselsnummer og kopi av legitimasjon, til å bestille en helt ny BankID i ditt navn direkte fra banken eller BankID-utstederen.

Hvem har ansvaret når selve identifikasjonen er falsk fra starten?

Når identifikasjonsmiddelet i seg selv er utstedt på feilaktig grunnlag, ligger utgangspunktet for ansvar hos den som utstedte det - typisk banken din, som er BankID-utsteder for privatkunder. Bankene har egne rutiner for å kontrollere identitet før en BankID utstedes, blant annet gjennom fysisk fremmøte eller video-legitimering. Svikter denne kontrollen, er det bankens egen prosess som har sviktet, ikke noe du har medvirket til. Dette er prinsipielt en annen situasjon enn når noen stjeler eller lurer til seg tilgang til en BankID du selv allerede eier og bruker - der er spørsmålet om din egen aktsomhet, mens her er spørsmålet om bankens kontrollrutiner ved selve utstedelsen.

Hva skjer med transaksjoner som allerede er godkjent med den falske BankID-en?

Er den falske BankID-en brukt til å godkjenne betalinger fra en konto i ditt navn, vurderes disse transaksjonene etter reglene om uautoriserte betalingstransaksjoner i finansavtaleloven § 4-30. Hovedregelen er at banken skal tilbakeføre beløpet og eventuelt rentetap, siden du aldri har godkjent noe - det er jo ikke engang din egen BankID som er brukt, men en identitet en svindler har fått utstedt i ditt navn. Banken kan bare unngå tilbakeføringsplikten dersom den kan vise at du selv erkjenner ansvar, eller ved å bringe saken inn for Finansklagenemnda dersom den mener noe annet gjelder. I praksis er det sjelden grunnlag for å legge noe ansvar på deg i denne typen saker, siden du ikke har hatt noen befatning med selve identifikasjonsmiddelet før misbruket ble oppdaget.

Hvilke steg bør du ta de første timene?

Ring banken din umiddelbart og be om at den falske BankID-en sperres, og at kontoene dine fryses for videre transaksjoner inntil forholdet er avklart. Be samtidig om en full oversikt over alle transaksjoner og avtaler som er inngått med den falske identifikasjonen, inkludert eventuelle lån eller kreditter. Anmeld forholdet til politiet - dette er identitetstyveri, og en anmeldelse dokumenterer hendelsen overfor både banken, kredittopplysningsforetak og andre aktører du senere må kontakte. Sjekk også om det er søkt om kreditt hos andre banker eller finansieringsselskaper i ditt navn ved å be om innsyn i gjeldsregisteret, og vurder å sperre kredittopplysningene dine hos kredittopplysningsforetakene for å hindre at flere lån innvilges før saken er ryddet opp.

Hvordan beskytter du deg mot at det skjer igjen?

Be banken bekrefte skriftlig at den gamle, falske BankID-en er sperret for godt, og at en ny, korrekt BankID er knyttet til riktig telefon og riktig identitet før du tar den i bruk igjen. Følg med på kredittopplysninger og kontoutskrifter i månedene etter hendelsen, siden identitetstyveri ofte fører til gjentatte forsøk fra samme eller andre svindlere. Vurder å registrere en sperre mot uønsket kredittsøk hos de større kredittopplysningsforetakene, slik at nye lånesøknader i ditt navn krever ekstra bekreftelse. Dokumenter hele forløpet skriftlig - dette letter både bankens behandling og en eventuell senere klage til Finansklagenemnda dersom dere ikke blir enige om ansvarsfordelingen.

Hva om banken hevder at BankID-en faktisk ble bestilt av deg selv?

Det hender at banken i første omgang avviser at det dreier seg om identitetstyveri, og i stedet legger til grunn at bestillingen kom fra deg, fordi den formelt ble registrert med ditt fødselsnummer og din adresse. Da er det viktig å be om konkret dokumentasjon for hvordan identitetskontrollen faktisk ble utført ved utstedelsen - var det fysisk fremmøte med legitimasjon, video-legitimering, eller en enklere prosess som lettere kan omgås. Kan du samtidig dokumentere at du var et annet sted på det aktuelle tidspunktet, eller at du allerede hadde en fungerende BankID fra før slik at det ikke var noen grunn for deg til å bestille en ny, styrker dette saken din betydelig. Har banken skiftet leverandør av legitimeringstjeneste, eller har det vært offentlig kjent at rutinene har vært sårbare i en periode, er dette også relevant dokumentasjon å legge frem. Jo mer konkret du kan vise til hvorfor bestillingen ikke kan ha kommet fra deg, desto lettere blir det for banken å legge til grunn at det faktisk er identitetstyveri saken gjelder.

Kort oppsummert

• En BankID utstedt i ditt navn uten din medvirkning er identitetstyveri, ikke misbruk av din egen BankID.
• Ansvaret for selve utstedelsen ligger i utgangspunktet hos banken, som skal kontrollere identitet før BankID gis ut.
• Transaksjoner godkjent med den falske BankID-en vurderes som uautoriserte etter finansavtaleloven § 4-30.
• Sperr, anmeld og be om full oversikt over avtaler samme dag du oppdager forholdet.
• Følg med på kredittopplysninger i ettertid for å avdekke nye forsøk raskt.