Toppleder og sentrale ansatte i Husbanken kan ha vært utsatt for e-post-snoking i lang tid

(OPPDATERT den 20. februar 2023 kl 08.35 med kommentar fra politiet.)

Husbanken har grunn til å frykte at hele e-postboksen til flere sentrale ansatte er på avveie, etter at de nylig oppdaget uautorisert tilgang i Active Directory/Exchange.

Kontoene tilhører blant annet en toppleder og en HR-medarbeider i Husbanken, og inneholder sensitiv informasjon, både om virksomheten og personer.

E-posten skal ha vært kompromittert over et lengre tidsrom, fra august 2019 til april 2021. Det ble ikke oppdaget før i januar 2023, viser en avviksmelding til Datatilsynet.

Husbanken er en statlig norsk etat, som tilbyr bostøtte, tilskudd og lån til bolig til vanskeligstilte. Bare i fjor lånte de ut 16 milliarder kroner.

Ikke ekstern hacking

Det er i forbindelse med en personalsak at etaten har gjort undersøkelser, som avdekket tilganger som ikke skulle vært der.

– Husbanken ser alvorlig på de forhold som er avdekket og følger opp på egnet måte. Noen av forholdene er så alvorlige at det er anmeldt til politiet, skriver fagdirektør kommunikasjon Are Martin Sauren til Digi.

– Det er ikke snakk om ekstern hacking, opplyser han senere på telefon.

Ingen i Husbanken har vært villige til å la seg intervjue om saken. De vil heller ikke gi ytterligere kommentarer. Det blir begrunnet med at personalsaken ikke er avsluttet og at forholdet er politianmeldt.

Digi har vært i kontakt med partneradvokat i Advokatfirmaet Kvale, som bistår Husbanken i den pågående personalsaken. Hun har ingenting å tilføye.

Vurderer tiltak

Ifølge avviksmeldingen er det tre sentrale medarbeidere, herunder en toppleder i Husbanken som er berørt av den antatte kompromitteringen.

Brudd på rutiner er oppstilt som hovedårsaken til avviket.

Etaten opplyser overfor Datatilsynet at de vurderer å innføre tiltak for å kunne ha to trinn når tilgang skal delegeres til andres epost.

Videre «for å redusere skadevirkninger» oppgir Husbanken at de har satt i gang tiltak overfor vedkommende, en annen medarbeider, som har hatt uautorisert tilgang. Hva det innebærer fremgår ikke.

Har sett anmeldelsen i innboksen

Husbanken har hovedkvarter i Drammen, men også regionkontorer en rekke andre steder i landet. Hva som er status på anmeldelsen er uvisst ved publisering. Digi har rettet en forespørsel til Sør-Øst politidistrikt.

Saken er oppdatert: Flere dager etter at denne saken ble publisert mottar vi svar søndag morgen.

– Sør-Øst politidistrikt mottok inneværende uke en anmeldelse fra Husbanken. På grunn av andre mer presserende saker som det jobbes med for tiden, er det ingen verken av påtalejurister eller etterforskere som har satt seg inn i saken. Av den grunn kan vi derfor ikke på nåværende tidspunkt uttale oss om dette er en anmeldelse som gir grunn for å iverksette etterforsking eller hvor høy prioritet anmeldelsen eventuelt skal få.

Det skriver seksjonsleder Jan Stapnes ved Sør-Øst politidistrikt i en epost til Digi.