Kunne logge inn på Vismas fakturatjeneste med både nytt og gammelt passord

Det kan være mange årsaker til at man bør bytte passord, for eksempel dersom man i en bedrift har en felles innlogging til en tjeneste som tidligere ansatte ikke lenger bør ha tilgang til. Ved å bytte passord unngår man at tidligere ansatte får tilgang til det som kan være fortrolig eller forretningskritisk informasjon.

Det var dette de trodde de hadde sørget for, en Digi.no-leser og mannen hennes, da de i fjor byttet passordet til kontoen det lille firmaet deres har i Webfaktura-løsningen til Visma. For firmaet var dette ekstra viktig, da det har hatt en «utro tjener» ansatt, som senere har startet en konkurrerende virksomhet.

Men også etter passordbyttet kunne leseren og mannen se at den tidligere ansatte fortsatt gikk inn i fakturaløsningen og hentet informasjon derfra.

Varslet for flere måneder siden

Leseren, som ikke ønsker å bli navngitt da hun også er ansatt i en stor IT-bedrift, skjønte da at det gamle passordet fortsatt fungerte – samtidig med det nye. 27. januar i år tok hun kontakt med Visma om problemet. Før den tid skal også mannen hennes ha forsøkt å få Visma til å løse problemet.

Etter hvert fikk hun følgende beskjed:

«Fikk svar fra teknisk nå på saken, det som har vært årsak er at brukeren din var en webfaktura bruker og når så blitt konvertert til en visma.net bruker. Så blir det en "dobbel" bruker i Webfaktura (uten at dette kan sees for deg) og da henger det gamle passordet ditt igjen i webfaktura»

Deretter gikk tiden. Hun purret flere ganger, men fikk bare beskjed om at supportavdelingen skulle ta dette opp med utviklingsavdelingen.

Kan ha levd i god tro

21. april var det slutt på tålmodigheten, og hun tok kontakt med Digi.no.

– Det er absolutt ikke sikkerhetsmessig forsvarlig uansett hvordan man vrir og vender på det. De færreste sjekker det gamle passordet i ettertid, og Vismas kunder har da levd i god tro om at det gamle passordet ikke fungerer lenger – i og med at det nyeste passordet fungerer, skriver leseren i en e-post til Digi.no.

Digi.no tok kontakt med Visma samme dag. Visma kunne ikke svare umiddelbart på dette, men mandag 25. april fikk vi en bekreftelse på at leseren hadde rett. Visma hadde da også endret det gamle passordet, slik at den tidligere medarbeideren ikke lenger hadde tilgang.

Gammel og ny løsning

– Webfaktura ble opprinnelig designet med et proprietært system for innlogging og er senere integrert med Visma.net som ny påloggingsløsning. I en overgangsperiode har løsningen vært å logge inn på gammel påloggingsløsning. Enkelte kunder har typisk lagret den tidligere URL-en og funnet det utfordrende å komme seg videre til ny løsning med pålogging via Visma.net. Dette er bakgrunnen for at man har beholdt gammel løsning i en overgangsperiode, opplyser Johnny Bjerkvik, som har tittelen «service owner WebFaktura» i Visma, i en e-post til Digi.no.

Digi.no får også svar fra Bjerkvik på noen spørsmål:

– Kan det være flere av Vismas Webfaktura-kunder som tror at de har endret passord, uten å vite at det gamle fortsatt fungerer?

– Ja, det kan være at det finnes enkelte flere slike brukere i lignende scenarioer, typisk fordi man ikke har offboardet tidligere ansatte, eller at man deler brukernavn/passord på tvers av flere brukere i virksomheten. Vi kommer til å stenge denne muligheten. Vi regner med å implementere endringen innen de neste to ukene.*

– Kommer Visma til å varsle de berørte kundene om dette?

– Det vil bli lagt tydeligere informasjon i Webfaktura om påloggingen til ny løsning. Hvis man prøver å logge inn med gammel bruker, vil man da få tilbud om å bli sendt videre til Visma.net-innlogging med en mer eksplisitt forklaring på hvorfor og hvordan.

Fortsatt kritisk

Leseren er selvfølgelig glad for at problemet er løst for deres del, men er likevel ikke fornøyd.

– Jeg er meget kritisk til at de klarer å løse problemet kun noen få dager etter jeg tipset dere, skriver leseren. At hun ville gå til pressen, ga hun Visma beskjed om samme dag som hun tipset Digi.no.

På spørsmål om hvorfor Visma ikke har løst dette problemet for kunden før etter at Digi.no tok kontakt, svarer Bjerkvik kort:

– Vi beklager at vi ikke har løst dette problemet tidligere.

Et råd med på veien

Bjerkvik og Visma ønsker samtidig å benytte anledningen til å komme med et råd:

– Vi vil gjerne gjenta oppfordringen om å unngå å dele brukernavn og passord mellom flere medarbeidere, men passe på å ha separat brukernavn og passord for hver medarbeider for alle applikasjoner. Dette gir mye bedre kontroll over brukerne og mulighet til enkelt å offboarde medarbeidere som slutter, avslutter Bjerkvik.

* Bjerkvik uttalte dette 27. april.