DNB-kunder kunne se andres konti under flyttingen av Sbanken

Flyttingen av Sbanken til DNBs systemer har gått alt annet enn knirkefritt. Særlig sparekunder er berørt av en omfattende forsinkelse, og køene for å bytte til aktører som Nordnet og Kron er lange.

Nå bekrefter DNB overfor BankShift at det også var brudd på sikkerhet knyttet til personopplysninger under flyttingen.

Flere kunder har opplevd å få opp konti i sin oversikt, som de ikke lenger har hatt disposisjonsrett til. Omtrent 600 kunder ble berørt, får BankShift opplyst.

«Feilen oppsto i forbindelse med migreringen fra Sbankens systemer til DNBs systemer i påsken. Som et resultat av dette, har noen personer fått opp kontoer de ikke lenger har rett til å disponere,» skriver kommunikasjonssjef Øystein Kløvstad Langberg i en epost til BankShift.

Informasjon som har vært synlig i nettbanken til tidligere disponent, omfatter betalinger som ligger til forfall og utførte betalinger tilbake i tid.

Opplysningene skal ha vært synlige fra 27. mars, men DNB ble ikke oppmerksomme på problemet før 9. april. Feilen ble ifølge DNB rettet tre dager senere.

«Feilen er nå rettet, og du kan være trygg på at ingen andre enn de som skal ha disposisjonsrett til kontoen din nå har innsyn i kontoen,» skrev DNB i et brev til de berørte kundene i helgen.

Feilen skal ikke ha gjort det mulig å betale eller overføre penger fra kontiene som ble synlige.

«Der har de kunnet se fremtidige betalinger som ligger til forfall og tidligere utførte regningsbetalinger. Feilen har ikke gjort det mulig å betale eller overføre penger fra kontoen. Det har heller ikke vært mulig å se korttransaksjoner,» skriver Kløvstad Langberg.

Datatilsynet er informert

De berørte kundene har ifølge DNB fått eller vil få et varsel fra oss om at feilen er funnet, rettet og meldt som avvik til Datatilsynet.

«Vi beklager sterkt til alle som har vært berørt av denne» feilen, avslutter Kløvstad Langberg.

Datatilsynet bekrefter at de har mottatt en såkalt trinnvis avviksmelding i denne sammenhengen.

– Det vi ofte får, er en rask avviksmelding fordi det er oppstått noe, og så forteller den veldig lite, sier fagdirektør teknologi Atle Årnes i Datatilsynet.

Dette gjøres for å overholde fristen om å melde fra innen 72 timer fra problemet oppdages. 

– Og så når de har sett nærmere på hva det dreier seg om, sender de mer. Vi vil be om mer info hvis det ikke følges opp, sier Årnes.