«Insider as a Service» truer bankene: DNB skjerper sikkerheten

I en fersk sikkerhetsrapport fra DNB, som publiseres årlig, legges det vekt på trusler fra innsiden av organisasjonen.

– Innsidetrusselen mot finansbransjen er en kjent problemstilling både internt i DNB og i andre norske finansinstitusjoner, sier Torgeir von Essen, administrerende sikkerhetsdirektør i DNB, i en pressemelding. 

Se DNBs fire tiltak mot innsidetrusselen nederst i saken.

«Insider as a Service» 

I rapporten fortelles det om en økende tendens til at ansatte i finansnæringen utnyttes av eller samarbeider med organiserte kriminelle. Sistnevnte skjer blant annet gjennom konseptet «Insider as a Service», hvor personer med tilgang til sensitiv informasjon selger sine tjenester for å bistå med svindel, hvitvasking eller andre former for økonomisk kriminalitet.

Man har sett flere tilfeller av slike tilbud anonymisert, hvor ansatte beskriver hvilken bransje man tilhører og hvilke rettigheter og tilganger en har – se skjermdump lenger ned i saken.

Bank- og finansnæringen er overrepresentert, men ifølge DNB er det ennå ikke avdekket slike tilfeller i Norge.

Nedbemanning fører til misnøye

Selv om det totale antallet innsidesaker i DNB har gått ned i 2024 sammenlignet med tidligere år, fortsetter trenden med misbruk av firmakort, uautoriserte kundeoppslag, interessekonflikter og informasjonslekkasjer, ifølge rapporten.

Et eksempel fra året som gikk, var en ansatt som lekket konfidensiell informasjon om endringer i kundebetingelser til en nær bekjent.

Banken vedgår også at den store nedbemanningen med 500 årsverk og tilhørende omorganiseringen, er en typisk situasjon som kan skape usikkerhet og misnøye blant ansatte, og dermed øke innsidetrusselen. 

Til tross for at banken melder at de ikke har sett en konkret økning i trusler i denne sammenhengen, står det i rapporten at DNB har merket seg at det har vært flere angievelig ansatte som har uttalt seg kritisk til prosessen på det anonyme sosiale mediet Jodel.

Et av de mest alvorlige tilfellene av utro tjenesyte i 2024, var da en ansatt i DNB overførte penger fra kundekontoer til egne kontoer – et underslag på 9,5 millioner kroner.  

– Da vi ble kjent med mistenkelige transaksjoner hos en ansatt hos oss, iverksatte vi en intern granskning som gav oss grunn til å kontakte politiet for å dele våre funn. Så langt er det ingenting som tilsier at kunder er berørt. Vi samarbeider godt med politiet for å komme til bunns i hva som har skjedd, og er glade for at siktede også har vist samarbeidsvilje. Mer har vi ikke mulighet til å si nå, siden dette er en personalsak og en pågående etterforskning, sier von Essen i pressemeldingen. 

Dette er ikke første gang det er utro tjenere i DNB, og i november kom det frem at Økokrim undersøker minst syv tilfeller hvor bankansatte har samarbeidet med kriminelle.

Tiltak mot utro tjenere

Von Essen sa i et intervju med BankShift før jul at DNB arbeider ut fra et prinsipp om gjensidig lojalitet. 

– Vi forventer at ansatte er lojale overfor DNB, samtidig som vi har en tydelig forpliktelse til å utvise omsorg for deres trivsel og trygghet. På denne måten blir personellsikkerhet en slags beskyttelsesbarriere, og det gir en viss trygghet at vi kan fange opp bekymringer på et tidlig stadium.

I rapporten kommer det frem at DNB også har iverksatt flere tiltak for å redusere risikoen at ansatte ikke misbruker sin tilgang til sensitive systemer. Tiltakene fokuserer på både forebygging, overvåking og oppfølging av sårbare ansatte:

• DNB har etablert et rammeverk for ansatte i stillinger med tilgang til de mest kritiske systemene. Dette inkluderer økt sikkerhetsoppfølging, bevisstgjøring og en egen kommunikasjonskanal for ledere innen disse rollene for rask tilgang til oppdatert informasjon.
• En tverrfaglig arbeidsgruppe med representanter fra ulike forretnings- og støtteområder er opprettet for å håndtere personellsikkerhet på tvers av banken. Gruppen møtes jevnlig for å diskutere saker, dele erfaringer og sikre en helhetlig tilnærming til sikkerhetstiltak.
• Beskyttelse av ansatte med tilknytning til høyrisikoland – DNB anerkjenner risikoen for at enkelte lands etterretningstjenester kan utøve press på ansatte med bakgrunn fra disse landene. Banken har derfor innført risikoreduserende tiltak for å beskytte sine ansatte, uten å mistenkeliggjøre dem, men heller som en del av sitt ansvar som arbeidsgiver.
• Banken utvider arsenalet for avdekking av utro tjenere som kan misbruke sin stilling. Dette inkluderer opplæring av ledere og ansatte i hvordan de kan identifisere og rapportere mistenkelig adferd, samt utvikling av digitale overvåkingsverktøy som kan avsløre uregelmessigheter uten å kompromittere personvernet.