Industrigiganter med null i e-postsikkerhet — uke 25-rapport

Norske storselskaper som Equinor, Hydro og Yara scorer 0 av 100 på e-postsikkerhet — mens NAV og Stortinget leverer perfekte resultater.

Publisert 15. jun 2026 · Av Terje Otterlei · 4 min lesetid

Ukens oversikt

158 norske domener er analysert denne uken, med en snittscore på 64,6 av 100. 86 domener har p=reject — det vil si full DMARC-beskyttelse — mens 12 domener mangler DMARC-oppføring helt. Det er en grei andel med toppkarakter, men bunnen av listen er oppsiktsvekkende.

Det offentlige leverer

Øverst på listen denne uken finner vi en rekke offentlige etater og store aktører med perfekt score:

• nav.no — A+ (100p)
• ssb.no — A+ (100p)
• stortinget.no — A+ (97p)
• udi.no — A+ (97p)
• telenor.no — A+ (97p)

Det er oppløftende at sentrale offentlige domener som NAV, SSB og Stortinget ligger helt i toppen. Disse domenene håndterer e-postkommunikasjon med millioner av nordmenn, og det er nettopp her solid e-postsikkerhet betyr mest. oslomet.no er også verdt å fremheve — universitetet henger med de beste med 97 poeng.

Den store overraskelsen: Industrigigantene

Dette er kanskje ukens mest slående funn. equinor.no, hydro.no, yara.no og aker-solutions.no er alle selskaper med tusenvis av ansatte, internasjonale samarbeidspartnere og store mengder forretningskritisk e-post. Likevel mangler de grunnleggende beskyttelse mot e-postforfalskning.

Det betyr i praksis at hvem som helst kan sende e-post som ser ut til å komme fra @equinor.no eller @hydro.no — uten at mottakernes e-postserver har noe grunnlag for å avvise det. Dette er en åpen invitasjon til leverandørsvindel, CEO-fraud og phishing-angrep rettet mot ansatte og samarbeidspartnere.

Også sparebanken-ost.no ligger på bunn med 0 poeng. At en bank mangler DMARC-beskyttelse er bekymringsfullt — bankdomener er blant de mest attraktive for phishing-aktører.

Bransjer under lupen

Mønsteret denne uken er tydelig: Offentlig sektor og teknologibransjen scorer høyt, mens tung industri og deler av finanssektoren henger etter. Se sammenligning av bransjer for en bredere analyse på tvers av sektorer.

faedrelandsvennen.no er også på bunn-listen med 0 poeng — et mediedomene som daglig kommuniserer med kilder, lesere og annonsører uten e-postbeskyttelse på plass.

Hva bør du gjøre?

Hvis domenet ditt havner i F- eller D-sjiktet, er dette prioriteringslisten:

1. Opprett DMARC-oppføring — start med p=none for å samle data uten å blokkere e-post.
2. Sett opp SPF — definer hvilke servere som har lov til å sende e-post på vegne av domenet ditt.
3. Legg til DKIM-signering — sørg for at utgående e-post signeres kryptografisk.
4. Stram inn DMARC — når du har verifisert at legitim e-post passerer, gå til p=quarantine og til slutt p=reject.

For store organisasjoner som Equinor og Hydro er ikke dette primært et teknisk hinder — det er et prioriteringsspørsmål. Verktøyene finnes, standarden er gratis å implementere, og risikoen ved å la være er godt dokumentert.

Sjekk hvordan ditt domene scorer på data1.no, og følg utviklingen over tid på trendoversikten.