Når et låneselskap blir hacket

Et datainnbrudd hos et låneselskap betyr at uvedkommende kan ha fått tilgang til kundeopplysninger. Vanligvis oppdages hendelsen av selskapet selv eller av leverandører, og det startes strakstiltak for å stanse innbruddet, sikre bevis og vurdere risikoen for berørte kunder.

Du vil ofte få et varsel fra selskapet dersom opplysningene dine kan være berørt. Varselet bør forklare hva som har skjedd, hvilke data som kan være eksponert, hvilke tiltak som er gjort, og hva du selv bør gjøre videre.

I etterkant vil selskapet typisk gjennomføre en gjennomgang av systemer og rutiner, og kunne tilby støtte som veiledning, mulig hjelp til kredittsperre og oppfølging ved mistanke om misbruk.

Hvilke opplysninger kan være berørt

Låneselskaper behandler ofte en bredde av person- og lånerelatert informasjon. Eksempler kan være:

• Kontakt- og identitetsdata som navn, adresse, e-post, telefon og fødselsnummer.
• Økonomiske opplysninger knyttet til søknaden, som inntekt, gjeldsgrad, kontonummer og eventuelle sikkerhetsopplysninger du har oppgitt i prosessen.
• Dokumentasjon du har lastet opp, for eksempel lønnsslipper, kontoutskrifter eller kopi av ID.
• Kundeservice-henvendelser og søknadshistorikk.

Oppgi aldri BankID-koder til noen. Banker og låneselskap vil ikke be om dette på telefon, e-post, SMS eller i sosiale medier.

Hvilke konkrete data som er berørt, avhenger av inngrepet og hvilke systemer som er rammet. Les varselet nøye og be om presiseringer hvis du er usikker.

Hva låneselskapet må gjøre

Ved et datainnbrudd har virksomheten plikter etter personvernreglene. I praksis betyr det at de skal håndtere hendelsen, vurdere risiko og dokumentere funn. Når det foreligger risiko for personers rettigheter og friheter, skal de som hovedregel varsle Datatilsynet innen 72 timer fra de ble kjent med avviket, med mindre risikoen anses som lav.

Dersom risikoen for deg er høy, skal du få informasjon uten ugrunnet opphold. Slike varsler pleier å beskrive hva som har skjedd, sannsynlige konsekvenser, kontaktpunkt hos selskapet og anbefalte tiltak du selv kan iverksette.

Selskapet skal også iverksette egnede tekniske og organisatoriske tiltak for å redusere skade, samt følge opp med forebyggende forbedringer.

Be om skriftlig bekreftelse på om dine data er berørt, hvilke opplysninger det gjelder, og hvilke tiltak selskapet tilbyr. Ta vare på all kommunikasjon.

Dine rettigheter etter et datainnbrudd

Som kunde har du rett til å få informasjon om hendelsen og hvordan den berører deg. Du kan be om innsyn i hvilke opplysninger de har om deg, få rettet feil, be om begrensning av behandlingen i visse tilfeller, og kontakte selskapet for spørsmål.

Du kan klage til Datatilsynet dersom du mener opplysningene dine ikke er håndtert korrekt. Ved økonomisk tap eller belastning som kan knyttes til bruddet, kan du i noen tilfeller ha krav på erstatning. Be om veiledning fra selskapet, og vurder juridisk rådgivning ved tvist.

Hva du bør gjøre steg for steg

Det viktigste er å begrense risiko for misbruk så tidlig som mulig. Følg gjerne disse trinnene:

1. Les varselet nøye og identifiser hvilke opplysninger som kan være eksponert. Notér datoer og referansenummer.
2. Endre passord på berørte tjenester. Bruk unike, sterke passord og aktiver tofaktor der det er mulig.
3. Sikre BankID og kontoer: Kontakt banken umiddelbart ved mistanke om misbruk, og følg bankens råd om sperring eller nye sikkerhetsmidler.
4. Vurder kredittsperre hos kredittopplysningsbyråer for å hindre nye kredittsjekker eller låneopptak i ditt navn. Opphev sperren når det er trygt.
5. Vær oppmerksom på svindel (phishing/SMS/e-post). Ikke klikk på lenker eller oppgi koder. Gå alltid direkte til nettbank eller selskapets nettsider.
6. Overvåk økonomien: Følg med på kontoutskrifter, varslingsinnstillinger i bank og eventuelle fakturaer du ikke kjenner igjen.
7. Dokumenter alt og politianmeld ved faktisk misbruk av identiteten din. Se også råd hos Politiet.
8. Ta opp erstatningsspørsmål med selskapet dersom du har dokumenterte kostnader eller tap som følge av bruddet.

Vurder å sette midlertidige sperrer og ekstra varslinger på kontoer og tjenester i en periode etter hendelsen, særlig hvis ID-dokumenter eller fødselsnummer kan være eksponert.

Varsler og tegn på misbruk

• Uventede kredittsjekker eller forespørsler om lån/kreditt du ikke har søkt om.
• Fakturaer eller brev for abonnementer, kjøp eller lån du ikke kjenner til.
• Endringer i postadresse eller kontovarsler du ikke har gjort.
• Innlogginger fra ukjente enheter eller varsler om passordendring.

Opplever du noe av dette, ta kontakt med aktøren som har sendt henvendelsen, varsle låneselskapet og banken din, og vurder politianmeldelse.

Kostnader og økonomiske konsekvenser

Konsekvenser kan variere fra ekstra tidsbruk til økonomiske tap. Ved misbruk av identiteten din, ta umiddelbart kontakt med aktuelle virksomheter for å bestride krav og stanse videre bruk. Avklar også med låneselskapet hvilke utgifter de kan dekke, for eksempel praktiske kostnader som oppstår på grunn av hendelsen.

Hvis du har hatt målbar skade som følge av bruddet, kan erstatning være aktuelt. Dokumenter alle utlegg og hendelser fortløpende.

Hvis du vil bytte låneselskap

Noen velger å flytte lånet eller søke på nytt hos andre aktører dersom tilliten er svekket. Vurder rentesats, gebyrer, sikkerhetstiltak og kundestøtte før du bestemmer deg. For å se hva markedet tilbyr nå, kan du bruke vår sammenlikning av lån for å vurdere ulike vilkår på ett sted.

Uansett valg bør du be gjeldende låneselskap forklare hvilke konkrete forbedringer de har gjort for å forebygge nye hendelser.

Ofte stilte spørsmål

Må jeg bytte BankID?

Ikke nødvendigvis. Ved mistanke om misbruk skal du straks kontakte banken for råd om sperring og utskifting. Ikke del koder med noen, og ikke klikk på lenker i uventede meldinger.

Kan jeg sette kredittsperre midlertidig?

Ja, det er mulig å be kredittopplysningsbyråer om kredittsperre og senere oppheve den. Dette kan redusere risiko for nye kredittsjekker og låneopptak i ditt navn.

Hvem kontakter jeg først ved misbruk?

Kontakt banken og virksomheten som har utstedt kravet eller abonnementet, informer låneselskapet, og vurder å anmelde forholdet til Politiet.