Norske storselskaper stryker på e-postsikkerhet — uke 32-rapport

Mens NAV og Stortinget topper listen med full beskyttelse, scorer flere av Norges mest kjente selskaper bunnkarakter på e-postsikkerhet denne uken.

Publisert 3. aug. 2026 · Av Terje Otterlei · 4 min lesetid

Ukens oversikt

158 norske domener er analysert denne uken, og snittscore ligger på 64,6 av 100 mulige poeng. 86 domener har DMARC satt til p=reject, som er det høyeste beskyttelsesnivået, mens 13 domener mangler DMARC helt.

Karakterfordelingen viser et tydelig skille: de fleste domener er enten godt sikret (A eller A+) eller henger langt etter (D eller F). Den brede middelgruppen er relativt tynn, noe som tyder på at halvhjertede tiltak er sjeldne — man enten prioriterer e-postsikkerhet eller lar det ligge.

Det offentlige leder an

Topp 10-listen er dominert av offentlige norske virksomheter. nav.no, ssb.no og stortinget.no scorer alle A+ og viser at norsk offentlig sektor tar e-postsikkerhet på alvor. udi.no og telenor.no følger tett med 97 poeng.

nbim.no — Norges Bank Investment Management, som forvalter oljefondet — oppnår også 100 poeng. For en organisasjon som håndterer sensitive finansielle transaksjoner, er dette som det bør være.

Kjente navn med stryk

Det er påfallende at selskaper av denne størrelsen ikke har grunnleggende e-postbeskyttelse på plass. equinor.no, hydro.no og yara.no er alle børsnoterte selskaper med global virksomhet — og domener som brukes til offisiell kommunikasjon. Uten DMARC er det ingenting som hindrer angripere fra å sende e-post som tilsynelatende kommer fra disse adressene.

sparebanken-ost.no er det eneste finansinstitusjonen på bunn-listen, noe som er spesielt bekymringsfullt. Banker er hyppige mål for phishing-angrep, og et domene uten e-postbeskyttelse gjør det enklere å lure kunder.

faedrelandsvennen.no og schenker.no runder ut en bunn-10-liste som dekker bank, energi, industri, media og logistikk — nesten alle sektorer er representert.

Ukens forbedring: Tromsø kommune

Det er registrert én betydelig forbedring denne uken. tromso.kommune.no har gått fra 33 til 53 poeng, en økning på 20 poeng, og er nå oppe i karakter D. Det er fortsatt et stykke igjen til godkjent, men retningen er riktig.

For kommuner som håndterer innbyggerdata og offentlig korrespondanse, er e-postsikkerhet ikke valgfritt. Se hvordan norske kommuner sammenligner seg mot hverandre.

Hva bør du gjøre?

Hvis ditt domene ligner på bunnscorerne over, er dette de viktigste stegene:

1. Start med SPF. Legg til en SPF-record i DNS som lister opp hvilke servere som har lov til å sende e-post på vegne av domenet ditt.
2. Sett opp DMARC. Begynn med p=none for å samle data, og jobb deg opp til p=quarantine og til slutt p=reject.
3. Konfigurer DKIM. Digitale signaturer på utgående e-post gjør det vanskeligere å forfalske meldinger.
4. Følg med på rapporter. DMARC sender deg løpende data om hvem som sender e-post fra ditt domene — bruk dem aktivt.

Sjekk ditt eget domene gratis på data1.no, eller følg med på trendene for å se hvordan norsk e-postsikkerhet utvikler seg over tid.