Norske storselskaper med F i e-postsikkerhet — uke 31-rapport

Equinor, Hydro og Yara scorer alle 0 av 100 på e-postsikkerhet — mens NAV og Stortinget holder toppkarakter.

Publisert 27. jul 2026 · Av Terje Otterlei · 4 min lesetid

Denne uken er det én ting som stikker seg ut i dataene fra 158 analyserte norske domener: Flere av Norges største og mest kjente selskaper ligger helt i bunnen av rangeringen. Det handler ikke om ukjente nisjedomener — det handler om børsnoterte industrigiganter med milliarder i omsetning og titusener av ansatte.

Norske storselskaper uten DMARC-beskyttelse

Tre av selskapene på Oslo Børs' mest fulgte lister scorer 0 av 100 poeng og får karakteren F:

• equinor.no — Norges største selskap
• hydro.no — globalt aluminium- og energikonsern
• yara.no — verdens ledende gjødselprodusent

Også aker-solutions.no og sparebanken-ost.no er på bunnlisten med 0 poeng. For en sparebank er dette særlig bekymringsfullt — e-post er en primærkanal for kundekommunikasjon, og uten DMARC er det ingenting som hindrer kriminelle i å sende e-post som ser ut til å komme fra bankens domene.

Offentlig sektor leverer — igjen

I den andre enden av skalaen ser vi et mønster som har holdt seg stabilt: Norske offentlige etater er blant de best sikrede domenene i datasettet.

NAV håndterer sensitiv informasjon for millioner av nordmenn — at de scorer maksimalt er betryggende. Det samme gjelder Norges Bank Investment Management (nbim.no), som forvalter oljefondet og også scorer 100 av 100.

Ukens største forverringer

To domener har falt markant i løpet av siste uke:

• clas-ohlson.no falt fra 33 til 0 poeng (−33p, karakter F)
• tromso.kommune.no falt fra 53 til 25 poeng (−28p, karakter F)

Clas-Ohlson hadde altså noe på plass tidligere — og har nå mistet det. Dette kan skyldes en DNS-endring, en feilkonfigurert SPF-post etter domeneflytting, eller at en eksisterende DMARC-post er blitt slettet. Uansett årsak er resultatet at domenet nå er uten beskyttelse. Tromsø kommune er i samme situasjon — kommuner behandler personopplysninger og korresponderer med innbyggere daglig, og et fall til F-karakter bør utløse umiddelbar oppfølging fra IT-avdelingen.

Ukens tall i oversikt

Snittscoren denne uken er 64,4 av 100, og 86 av 158 domener har p=reject — altså full DMARC-beskyttelse. 14 domener mangler DMARC helt. Se trendoversikten for å følge utviklingen over tid, eller bruk sammenligningsverktøyet for å sette domener opp mot hverandre.

Hva bør du gjøre?

Hvis domenet ditt ligner på noen av de som scorer dårlig, er dette prioriteringslisten:

1. Sjekk om du har DMARC. Søk opp domenet ditt på data1.no — det tar 10 sekunder.
2. Start med p=none hvis du ikke har DMARC. Det gir deg synlighet uten å risikere å blokkere legitim e-post.
3. Jobb deg mot p=reject. Først p=quarantine, så p=reject — da er du ferdig og beskyttet.
4. Husk SPF og DKIM. DMARC uten korrekt SPF og DKIM gir lav score selv om policyen er satt.

Store selskaper som Equinor og Hydro har ressurser og kompetanse til å fikse dette raskt — spørsmålet er om det blir prioritert. Forhåpentligvis ser noen i disse organisasjonene seg selv i denne rapporten.