Svensk BankID er vinneren når det kommer til phishing-resistens, ifølge Snorre Garmann i Enso. Slike sammenligninger gir lite verdi, både fordi en utenforstående ikke kjenner BankID-arkitekturen i detalj og fordi løsningene er forskjellige og har ulike styrker og svakheter.
BankID er i stadig utvikling for å møte relevante trusler. Vi er allerede ganske gode til å stanse phishingforsøk og sikter mot null phishing av BankID. Så lenge svindel fortsatt skjer, er vi ikke fornøyd. Vi har alltid noe av lære av andre eID-aktører og sikkerhetsmiljøer, og derfor har vi dialog og erfaringsutveksling blant annet med svensk BankID.
For oss i Stø er sikkerhet og arbeidet med å forhindre svindel vår viktigste oppgave. Vi har derfor de senere årene gjort flere viktige endringer for å gjøre BankID tryggere. En viktig endring har vært å flytte brukerne fra kodebrikke til app. Brukerne aktiverer appen ved å skanne pass eller nasjonalt ID-kort og ansikt, og appen gir i tillegg økt beskyttelse gjennom at den har bedre kontekst om hva man er i ferd med å gjøre.
Et annet viktig tiltak er BankIDs nye antisvindelsystem. Systemet analyserer BankID-autentiseringer på tvers av tjenester og registrerer mistenkelig aktivitet. Mellom 40.000 og 50.000 alarmer sendes ut til bankene årlig, og gjennom samarbeid med bankenes sikkerhetsmiljøer stanses stadig flere ID-tyverier basert på alarmene.
DNB opplyser at banken allerede stanser 96 av 100 BankID-phishingforsøk, og banken peker på at økt datadeling med Stø blir et viktig bidrag for å redusere svindelen ytterligere. Sparebanken Norge forteller at svindeltapene i forbindelse med ID-tyveri er nær null etter at svindelalarmene fra BankID ble tatt aktivt i bruk.
Når flere banker får på plass direkte nedstengning basert på svindelalarmer fra BankID, vil ID-tyveriene ved phishing reduseres betraktelig, om ikke til null.
Trygghet og inkludering
BankID i Norge brukes av nesten hele den voksne befolkningen. Det gir oss et særlig ansvar. Sikkerheten skal være høy, men løsningen må samtidig fungere for mennesker med ulike digitale ferdigheter, ulike enheter og ulike behov. Hvis sikkerhetstiltak blir så krevende at store grupper faller utenfor, skaper vi nye problemer og digitalt utenforskap.
I BankID tester vi nå QR-koder som et sikkerhetstiltak mot phishing, men det blir ikke innført dersom det er for vanskelig for mange av brukerne.
Kristian Gjøsteen, som er professor i kryptografi ved NTNU, mener passnøkler er svaret på å gjøre en løsning phishing-resistent. Passnøkler er allerede innført delvis i BankID med biometri. Vi vurderer fortløpende økt bruk av passnøkler, men teknologien er imidlertid fortsatt ny for mange, og brukervennlighet er derfor avgjørende.
Svindelbildet endres
Det er samtidig viktig å forstå at phishing ikke er hele svindelbildet. Når klassisk phishing blir vanskeligere, flytter kriminelle seg til andre metoder. Stadig oftere handler svindel om sosial manipulering: Falske investeringsmuligheter, kjærlighetssvindel eller såkalt «sikker konto»-svindel, der offeret selv blir presset eller lurt til å gjennomføre handlingen. Nylig varslet Frende om at svindlerne unngår å fiske etter kundens BankID og manipulerer folk på andre måter.
Svindel vil alltid utvikle seg. Det handler om å overvåke trusselbildet kontinuerlig når svindlerne tar i bruk ny teknologi, kombinerer ulike kanaler og tilpasser seg tiltakene som innføres.
Bedre samarbeid er det viktigste sikkerhetstiltaket
Teknologi er viktig, men samarbeid er minst like viktig. Svindel skjer på tvers av banker, digitale tjenester, telekom, sosiale medier og landegrenser. Da må også forsvarsverket vårt fungere på tvers. Banker, BankID, politi, offentlige myndigheter og andre relevante aktører må kunne dele riktig informasjon raskt, trygt og lovlig. Svindelbekjempelse er ikke en konkurranse som kan vinnes alene, den må skje gjennom dialog, deling og samarbeid.
Det betyr ikke at alle skal vite alt om alle. Det betyr at aktører som kan stoppe svindel, må få tilgang til de signalene de trenger når risikoen er reell. Slik kan vi stanse flere forsøk tidligere, hindre at samme BankID misbrukes flere steder og gjøre det dyrere og vanskeligere for kriminelle å lykkes.
BankID er, og skal fortsette å være, en trygg nøkkel til det digitale Norge. Derfor investerer vi i nye sikkerhetstiltak, bedre varsling, mer treffsikker datadeling og løsninger som gir brukerne mer kontroll og beskyttelse. Svindel er et samfunnsproblem. Da må også løsningen være et felles, evig samfunnsprosjekt.
Telia har sperret 88 numre: Frykter at unge kjøper mobilabo for kriminelle
