ID-tyveri: de første 24 timene

Det første døgnet handler om to ting: å stanse blødningen, og å sikre rettighetene dine. Begge deler har frister, og begge fristene er formulert som «uten ugrunnet opphold» — altså med én gang du ble oppmerksom på det.

Rekkefølgen under er satt etter hvor mye hvert skritt stanser, ikke etter hvor naturlig det føles. De fleste ringer banken først. Kredittsperren burde kommet før.

Time 1: kredittsperre hos alle fem

En kredittsperre gjør at det bare er informasjon om sperren som kan utleveres om deg. Kredittyteren får dermed ikke gjennomført kredittvurderingen og kan ikke innvilge nye lån eller kort i ditt navn.

Sperren settes hos hvert av de fem kredittopplysningsforetakene — Experian, Dun & Bradstreet Norge, Creditsafe, Bislab og Tietoevry — og krever elektronisk ID. Det er nettopp derfor den virker: tyven har fødselsnummeret ditt, men ikke BankID-en din, og kan derfor ikke fjerne sperren. Framgangsmåten står i Kredittsperre: slik setter du den.

Ti minutter her stopper mer enn de neste ti timene til sammen. Sett sperren før du begynner å lete etter hvordan det skjedde.

Time 1–2: varsle banken og sperr kortene

Blir du oppmerksom på tap, tyveri eller uberettiget bruk av et betalingsinstrument, eller uberettiget kontotilgang, skal du uten ugrunnet opphold varsle den banken har oppgitt, jf. finansavtaleloven § 4-24 første ledd.

Varselet har direkte økonomisk virkning. Etter § 4-30 femte ledd bokstav a svarer du ikke for tap som oppstår etter at du har varslet — med mindre du har opptrådt svikaktig. Alt som skjer etter varselet, er bankens risiko. Alt før er ditt, opp til egenandelene på 450 og 12 000 kroner.

Be samtidig om skriftlig bekreftelse på varselet, med klokkeslett. Det er den bekreftelsen som senere avgjør hvilke transaksjoner som ligger på hvilken side av grensen.

Time 2–3: sperr den elektroniske ID-en

Er BankID-en din kompromittert, må den sperres hos utstederen — normalt banken din. Også her gjelder en varslingsplikt: den som har rett til å bruke en elektronisk signatur, skal ved misbruk varsle uten ugrunnet opphold etter rutinene tjenesteyteren har oppgitt, jf. finansavtaleloven § 3-19 annet ledd.

Konsekvensen av å vente er alvorlig. Varsler du ikke uten ugrunnet opphold etter at du fikk kjennskap til misbruket, taper du retten til ansvarsbegrensning etter § 3-20 — altså vernet som ellers ville begrenset ansvaret ditt til 450 eller 12 000 kroner. Det samme gjelder hvis du ikke har varslet senest 13 måneder etter at du måtte forstå at et misbruk hadde funnet sted.

Samme dag: politianmeld

Anmeldelsen er ikke først og fremst et håp om oppklaring. Den er dokumentasjonen som bærer resten av saken din — overfor banken, overfor kredittopplysningsforetakene og overfor kreditorene som senere kommer med krav.

Ta med alt du har: gjenpartsbrev, kravbrev, skjermbilder, klokkeslett for da du oppdaget det, og hva du har gjort siden. Be om saksnummer, og bruk det i all senere korrespondanse.

Samme dag: se hva som allerede er gjort

Nå gjelder det å finne ut hvor langt tyven har kommet. Fire steder:

1. Kredittopplysningene. Innsyn hos alle fem foretakene, og be særskilt om utleveringshistorikken for de siste seks månedene — hvem som har fått opplysninger om deg, og når. Det er der du ser søknadene. Se Sjekk deg selv gratis.
2. Gjeldsregistrene. Innsyn er gratis for den opplysningen gjelder, og viser usikret gjeld i sanntid. Er et forbrukslån eller en kredittramme innvilget i ditt navn, står det der. Se Slik leser du din egen gjeldsregisterrapport.
3. Altinn. Sjekk innboksen og hvilke roller og fullmakter som er gitt på vegne av deg.
4. Brønnøysundregistrene. Kontroller at det ikke er registrert et enkeltpersonforetak eller en rolle i ditt navn.

Kontroller også at adressen din i Folkeregisteret er uendret. En adresseendring er et klassisk første skritt i et identitetstyveri, fordi den flytter både gjenpartsbrev og kravbrev bort fra postkassen din.

Innen 24 timer: dokumenter alt

Lag én fil, digital eller fysisk, og legg alt der. Den vil bli spurt etter mange ganger.

• Tidspunktet du oppdaget forholdet, og hvordan
• Skjermbilder og kopier av alt du har mottatt
• Bekreftelse på kredittsperre hos hvert foretak, med dato
• Bekreftelse på varsel til banken, med klokkeslett
• Anmeldelsens saksnummer
• Innsynsrapportene fra kredittopplysningsforetak og gjeldsregistre, med dato
• Logg over hvem du har snakket med, når, og hva som ble sagt

Uke 1: bestrid kravene skriftlig

Kommer det krav på en kreditt du ikke har tatt opp, skal du bestride dem skriftlig, både overfor kredittyteren og overfor et eventuelt inkassoforetak. Bevisbyrden er ikke din: banken skal ved avtaleinngåelsen ha påsett at det ble brukt en betryggende autentiseringsmetode, og avtalen er bare bindende dersom det faktisk skjedde.

Innsigelsen har også en umiddelbar virkning i registeret: inkassoopplysninger fra en omtvistet fordring skal ikke brukes i kredittopplysningsvirksomhet. Hele framgangsmåten står i Lån tatt opp i ditt navn, og er en anmerkning allerede registrert, i Feilaktig anmerkning.

Uke 2 til 8: følg saken til den er død

Den vanligste feilen etter et godt håndtert første døgn er å slutte å følge med. Et identitetstyveri gir etterskjelv i flere måneder, fordi krav og anmerkninger dukker opp i takt med at kreditorene oppdager mangelen på betaling.

• Åpne hvert eneste gjenpartsbrev. Nye brev er beviset på at noen fortsatt søker i ditt navn — og på hvilken dato de gjorde det.
• Nytt innsyn etter to uker og etter to måneder hos alle fem foretakene. Se etter nye registreringer, ikke bare etter dem du allerede kjenner.
• Kontroller gjeldsregistrene på nytt. Er en kreditt innfridd av banken etter at du bestred den, skal den forsvinne når gjelden er innfridd og kredittrammen avviklet.
• Sjekk at anmerkninger er trukket. En anmerkning på et bestridt krav skal ikke stå. Se Feilaktig anmerkning.
• La kredittsperren stå til hele saken er ryddet, og gjerne lenger.

Slik skjer det som regel

Å vite hvordan tilgangen ble skaffet, er ikke bare nysgjerrighet — det avgjør hva du må sikre for at det ikke gjentar seg. Fire mønstre går igjen.

Falsk innlogging. En lenke i en SMS eller e-post fører til en side som ser ut som banken eller en offentlig tjeneste, og du logger inn med BankID på angriperens forespørsel. Dette er den alvorligste varianten, fordi den gir en gyldig autentisering.

Telefonsvindel. Noen ringer og utgir seg for å være fra banken, politiet eller en teknisk support, og ber deg bekrefte «for å stoppe et svindelforsøk». Ingen legitim aktør ber deg noen gang autentisere deg på deres initiativ.

Post på avveie. Kravbrev, gjenpartsbrev og kort i postkassen. En endret folkeregistrert adresse gjør dette systematisk i stedet for tilfeldig — derfor står adressekontrollen på sjekklisten.

Lekkasjer fra tredjeparter. Navn, fødselsnummer og kontaktopplysninger fra et datainnbrudd et helt annet sted. Her har du ikke gjort noe galt, og det er nettopp derfor kredittsperren er verdt å ha stående permanent.

Sjekklisten i rekkefølge

Når	Hva	Hvorfor
Time 1	Kredittsperre hos alle fem	Stanser ny kreditt i ditt navn
Time 1–2	Varsle banken, sperre kort	Du svarer ikke for tap etter varselet
Time 2–3	Sperre elektronisk ID	Manglende varsel fjerner ansvarsbegrensningen
Samme dag	Politianmeldelse	Dokumentasjon for hele saken
Samme dag	Innsyn: kredittopplysninger og gjeldsregistre	Kartlegger hva som er gjort
Samme dag	Altinn, Brønnøysund, Folkeregisteret	Roller, foretak og adresse
Innen 24 timer	Samle dokumentasjon og logg	Beviser at du handlet uten opphold
Uke 1	Bestrid kravene skriftlig	Omtvistet krav gir ingen anmerkning

Forsikring, og hva den dekker

Flere selskaper selger ID-tyveriforsikring, ofte som tillegg til innboforsikringen. Dekningen er i hovedsak bistand: juridisk hjelp til å rydde opp, ikke erstatning for beløpene i seg selv. Den arvede artikkelen Forsikring mot ID-tyveri går gjennom hva slike dekninger inneholder.

Sjekk hva du allerede har før du kjøper noe nytt. Både innboforsikring, kort og medlemskap kan inneholde bistandsdekninger du ikke vet om. Se Forsikring gjennom jobben og fagforeningen.

Det som ikke hjelper

Å bytte fødselsnummer. Fødselsnummeret er ikke en hemmelighet, og det byttes ikke fordi det er kommet på avveie. Vernet ligger i autentiseringen — BankID og sterk kundeautentisering — ikke i at nummeret er ukjent.

Å slette seg fra registre. Kredittopplysningsforetakene henter grunndata fra Folkeregisteret og Brønnøysundregistrene, og du kan ikke reservere deg mot at de behandles. Det du kan, er å sperre utleveringen — altså kredittsperren.

Å vente og se om det går over. Hver dag som går uten varsel, svekker ansvarsbegrensningen din. Vilkåret er «uten ugrunnet opphold», og det tolkes strengt.