Norsk e-postsikkerhet uke 45: Tunge industrinavn scorer null — mens staten leverer

Blant 158 analyserte norske domener skiller uke 45 seg ut ved en slående kontrast: statlige virksomheter topper listen med perfekte score, mens noen av Norges største industrikonserner ligger på bunn uten noen form for e-postbeskyttelse.

Publisert 2. nov. 2026 · Av Terje Otterlei · 5 min lesetid

Ukas overblikk

Snittscoren blant de 158 analyserte domenene ligger på 64,9 av 100 — et middels resultat som dekker over store forskjeller. 87 domener har satt DMARC-policyen til p=reject, som betyr full beskyttelse mot e-postforfalskning. Men 13 domener mangler DMARC helt, og hele 21 domener får karakteren F.

Staten og finanssektoren leder an

Tre statlige virksomheter troner øverst på listen med perfekte 100 poeng: nav.no, ssb.no og stortinget.no. At Nav og Statistisk sentralbyrå scorer maksimalt er særlig relevant — begge sender e-post som berører millioner av nordmenn, og konsekvensene av vellykket e-postforfalskning mot disse avsenderne ville vært alvorlige.

Like bak finner vi nbim.no (Oljefondet) og forsikringsselskapet fremtind.no med henholdsvis 100 og 97 poeng. telenor.no holder seg også i toppsjiktet med 97 poeng.

Store industrinavn uten grunnleggende beskyttelse

En score på 0 betyr ikke nødvendigvis at domenene mangler alle sikkerhetstiltak, men det indikerer at grunnleggende konfigurasjoner som DMARC, SPF og DKIM enten mangler, er feil satt opp, eller ikke håndheves. For domener som brukes i kommunikasjon med myndigheter, investorer og leverandører, er dette en betydelig risiko.

Også sparebanken-ost.no havner på F-listen. En bank som sender e-post til privatpersoner om økonomi og kontoforhold bør prioritere e-postautentisering høyt — phishing-angrep som utgir seg for å komme fra banker er blant de vanligste svindelmetodene.

Andre F-domener denne uken inkluderer faedrelandsvennen.no, clas-ohlson.no og schenker.no.

Ukas bevegelser: Mattilsynet klatrer

Det er registrert én betydelig forbedring denne uken: mattilsynet.no har hoppet fra 55 til 80 poeng — en økning på 25 poeng og ny karakter A. Det er en solid oppgradering, og viser at det er fullt mulig å løfte e-postsikkerheten raskt når noen prioriterer det.

På den andre siden har talkmore.no falt 25 poeng, fra 80 til 55, og havner nå på C. Hva som har endret seg i konfigurasjonen er ikke kjent, men et slikt fall kan skyldes at en DMARC-policy er endret, at en DNS-oppføring er blitt feil, eller at en tjeneste har sluttet å sende med riktig signering. Det er verdt å undersøke nærmere.

Hva bør du gjøre?

Hvis du forvalter et domene som brukes til e-post, er her de viktigste stegene rangert etter prioritet:

1. Sjekk om domenet ditt har DMARC. 13 domener i denne analysen mangler det helt. Uten DMARC kan hvem som helst sende e-post som ser ut til å komme fra deg. Bruk data1.no for å sjekke statusen din.
2. Sett policyen til p=reject når du er trygg på at all legitim e-post er dekket av SPF og DKIM. p=none gir ingen reell beskyttelse — det er bare overvåking.
3. Aktiver DMARC-rapportering med rua-feltet slik at du faktisk ser hva som sendes fra domenet ditt.
4. Vurder MTA-STS for å sikre at e-post til domenet ditt alltid transporteres kryptert.

Se trendoversikten for å følge utviklingen over tid, eller bruk sammenligningsverktøyet for å se hvordan ditt domene ligger an mot andre i samme bransje.