Identitetstyveri: Hva er det og hvordan skjer det?

Hva er identitetstyveri?

Identitetstyveri er en form for kriminalitet der en person ulovlig tilegner seg og bruker en annens personopplysninger – som navn, fødselsnummer, bankopplysninger eller passord – for å oppnå en fordel eller påføre offeret skade. Det kan dreie seg om å ta opp lån i en annens navn, bestille varer, åpne bankkontoer eller begå svindel ved å utgi seg for å være noen andre.

For offentlig sektor er identitetstyveri en særlig alvorlig utfordring, fordi kommuner, etater og direktorater forvalter enorme mengder sensitiv personinformasjon om innbyggerne. Et vellykket angrep mot et offentlig system kan ramme mange tusen mennesker på én gang og undergrave tilliten til digitale offentlige tjenester.

Hvordan skjer identitetstyveri?

Kriminelle benytter et bredt spekter av metoder for å stjele identiteter. Det er viktig at offentlig sektor kjenner til de vanligste fremgangsmåtene for å kunne forebygge dem effektivt.

• Phishing: Falske e-poster eller SMS-er som lurer mottakeren til å oppgi sensitiv informasjon eller klikke på skadelige lenker som installerer skadevare.
• Datainnbrudd: Hacking av databaser hos virksomheter eller offentlige etater der store mengder persondata lagres usikkert.
• Sosial manipulasjon: Kriminelle ringer og utgir seg for å være bankansatte, politi eller IT-support for å lure offeret til å gi fra seg informasjon.
• Skimming: Ulovlige enheter monteres på minibanker eller betalingsterminaler for å kopiere kortdata uten offerets viten.
• Dokumenttyveri: Fysisk tyveri av pass, bankkort, brev fra offentlige etater eller annen dokumentasjon med personopplysninger.
• Datalekkasjer via tredjeparter: Persondata hentes fra svake ledd i leverandørkjeden, for eksempel gjennom en underleverandør med utilstrekkelig datasikkerhet.

Omfang og skadeomfang i Norge

Identitetstyveri er et voksende problem i Norge. Kripos og Datatilsynet dokumenterer en jevn økning i antall saker, og det reelle mørketallet antas å være betydelig høyere enn de offisielle rapporterte tallene.

Konsekvenser for enkeltpersoner og virksomheter

For den som rammes av identitetstyveri kan konsekvensene være svært alvorlige og langvarige. Å rydde opp etter at identiteten er misbrukt kan ta måneder eller år. Falsk kredittkortgjeld, betalingsanmerkninger og ødeleggelse av kredittverdighet er vanlige ettervirkninger. I tillegg kommer psykiske påkjenninger – mange ofre opplever angst, stress og en intens følelse av krenket privatliv og tap av kontroll.

For offentlige virksomheter innebærer et identitets- eller datalekkasjehendelse ikke bare direkte skade på enkeltpersoner, men også et juridisk ansvar under GDPR og personopplysningsloven. Kommuner og etater kan ilegges bøter fra Datatilsynet, og den omdømmemessige skaden kan svekke innbyggernes tillit til digitale offentlige tjenester i lang tid fremover – tillit som er svært vanskelig å gjenoppbygge.

Lovverk og plikt til å beskytte persondata

Offentlig sektor er underlagt strenge krav til behandling og beskyttelse av personopplysninger gjennom GDPR, implementert i norsk rett via personopplysningsloven av 2018. Lovverket pålegger virksomheter å ta i bruk egnede tekniske og organisatoriske tiltak for å sikre persondata, og å varsle Datatilsynet innen 72 timer dersom det oppstår et databrudd som medfører risiko for registrertes rettigheter og friheter. Manglende varsling kan i seg selv utløse sanksjoner.

"Offentlig sektor sitter på noe av den mest sensitive personinformasjonen som finnes – fra helseopplysninger til skattedata. Forventningene til datasikkerhet er deretter, og vi ser dessverre at mange virksomheter fortsatt undervurderer trusselen fra identitetsrelaterte angrep."

Slik forebygger offentlig sektor identitetstyveri

Effektiv forebygging av identitetstyveri i offentlig sektor krever en kombinasjon av tekniske tiltak, opplæring og klare rutiner. ID-porten og BankID er sentrale autentiseringsverktøy som bidrar til å verifisere identitet ved pålogging til offentlige tjenester, men disse mekanismene er ikke tilstrekkelige alene hvis de bakenforliggende systemene er sårbare for angrep.

Konkrete tiltak offentlige virksomheter bør iverksette inkluderer: regelmessige risikovurderinger av IT-systemer, innføring av tofaktorautentisering for ansatte, opplæring i phishing-gjenkjennelse, kryptering av persondata i hvile og under overføring, samt streng tilgangsstyring etter prinsippet om minste privilegium. I tillegg bør det foreligge en oppdatert og øvd beredskapsplan for håndtering av datainnbrudd, slik at den lovpålagte varslingsfristen på 72 timer faktisk kan overholdes.

Fremtidige utfordringer og veien videre

Kriminalitetsbildet rundt identitetstyveri vil trolig bli mer komplekst i årene fremover. Kunstig intelligens gjør det enklere for kriminelle å lage overbevisende falske dokumenter, deepfake-videoer og svært personaliserte phishing-meldinger tilpasset enkeltpersoner. Offentlig sektor må kontinuerlig oppdatere sine sikkerhetstiltak og trusselbilder for å holde tritt med en teknologiutvikling som gagner begge sider av kampen mot kriminalitet.

Norsk offentlig sektor investerer mer i digital identitetsforvaltning, og arbeidet med en nasjonal digital ID-lommebok – der innbyggere kan lagre og dele offentlig verifiserte identitetsopplysninger – er i gang. Slike løsninger kan gjøre tjenester enklere og sikrere samtidig. Men de krever robuste underliggende systemer, tydelig regulering og høy digital kompetanse i befolkningen for å faktisk leve opp til sitt potensial som sikkerhetsmekanisme.