DNB og Brønnøysund tar store steg — uke 42-rapport

Norske storbanker og offentlige etater forbedrer e-postsikkerheten merkbart, men industritungtvektere som Equinor og Hydro scorer fortsatt null poeng.

Publisert 12. okt. 2026 · Av Terje Otterlei · 5 min lesetid

Denne uken er 158 norske domener analysert av data1.no. Snittscore er 64,7 av 100, og 86 domener har satt DMARC-policyen til p=reject — det høyeste beskyttelsesnivået. 13 domener mangler DMARC helt. Det mest interessante denne uken er likevel ikke hvem som allerede er i toppsjiktet, men hvem som beveger seg dit.

Ukens største hopp

Tre domener utmerker seg med tydelige forbedringer siden forrige uke:

DNB er ukas tydeligste suksesshistorie. Fra 75 til 95 poeng er et solid hopp for en av Norges største banker, og plasseringen i A+-sjiktet er godt fortjent. Banker er et yndet mål for e-postsvindel og phishing, og en sterk DMARC-konfigurasjon er kritisk for å hindre at kriminelle sender e-post som later som den kommer fra dnb.no.

Brønnøysundregistrene (brreg.no) klatrer til 80 poeng og karakter A. Et offentlig register som håndterer informasjon om norske selskaper bør ha sterk e-postsikkerhet — dette er et steg i riktig retning.

NRK gjør det prosentvis største hoppet: fra 28 til 53 poeng. Det løfter dem fra F til D, noe som isolert sett høres beskjedent ut — men det viser at arbeid pågår. nrk.no er fortsatt under snittet på 64,7, og det er mer å hente.

Offentlig sektor dominerer toppen

Topp 10-listen er dominert av offentlige etater og internasjonale e-postsikkerhetsaktører:

• nav.no — 100p (A+)
• ssb.no — 100p (A+)
• stortinget.no — 97p (A+)
• udi.no — 97p (A+)
• telenor.no — 97p (A+)

At NAV, SSB og Stortinget scorer maksimalt er betryggende. Disse avsender store mengder e-post til norske innbyggere, og er attraktive merkevarer for svindlere å etterlikne. Full score betyr at de har konfigurert SPF, DKIM, DMARC med p=reject, MTA-STS og øvrige protokoller korrekt.

Store navn på bunn — null poeng

Det er påfallende at flere av Norges tyngste industri- og energiselskaper havner på bunnen:

• equinor.no — 0p (F)
• hydro.no — 0p (F)
• yara.no — 0p (F)
• aker-solutions.no — 0p (F)

Det er viktig å presisere at disse selskapene gjerne bruker andre domener for faktisk e-postutsending — men .no-domenene deres er likevel sårbare. Uten DMARC-beskyttelse kan hvem som helst sende e-post som tilsynelatende kommer fra disse adressene, uten at mottakernes e-postservere advares eller blokkerer meldingene.

sparebanken-ost.no er også i bunnsjiktet med 0 poeng, noe som er bekymringsfullt for en finansinstitusjon. Banker er særlig utsatt for merkevaresvindel via e-post.

Slik fordeler karakterene seg

64 domener — over 40 prosent — scorer B eller lavere. Det er fortsatt et stort forbedringspotensial blant norske domener. Se trendoversikten for utvikling over tid, eller sammenlign domener i din bransje.

Hva bør du gjøre?

1. Sjekk ditt eget domene på data1.no — det tar under ett minutt.
2. Har du DMARC? Sett policyen til minst p=quarantine om du ikke allerede er på p=reject.
3. Mangler du DMARC helt? Da er det ingenting som hindrer andre i å sende e-post i ditt navn. Start med en p=none-policy og aktiver rapportering for å få oversikt.
4. Scorer du under 70? Sjekk om MTA-STS og TLS-RPT er satt opp — det er ofte der de siste poengene ligger.