Norske storselskaper stryker på e-postsikkerhet — uke 39-rapport
Equinor, Hydro og Yara scorer alle 0 av 100 på e-postsikkerhet — mens NAV og Stortinget leverer perfekte resultater.
158 norske domener ble analysert denne uken. Snittscoren ligger på 64,6 av 100, og 85 domener har aktivert p=reject — den strengeste DMARC-innstillingen som faktisk blokkerer falske e-poster. Men det er bunnen av listen som virkelig stikker seg ut denne uken.
Kjente norske merkevarer med 0 poeng
Blant de ti dårligst rangerte domenene denne uken finner vi noen av Norges mest kjente selskaper og merkevarer:
- equinor.no — Norges største selskap, børsnotert internasjonalt
- hydro.no — globalt aluminium- og energiselskap
- yara.no — verdensledende gjødselproduent
- aker-solutions.no — energiteknologi med internasjonal virksomhet
- sparebanken-ost.no — norsk sparebank med privatkundebase
Alle fem scorer 0 av 100. Det betyr ikke nødvendigvis at disse organisasjonene er fullstendig ubeskyttet på alle e-postflater — men de respektive .no-domenene mangler grunnleggende e-postautentisering som DMARC, SPF eller begge deler.
equinor.no eller hydro.no, og mottakerens e-postserver har ingen teknisk grunn til å avvise den. Dette er en vanlig angrepsvektor for phishing og CEO-svindel.
Offentlig sektor leverer — privat sektor henger etter
Topp 10-listen denne uken domineres av offentlige norske virksomheter:
| Domene | Karakter | Score |
|---|---|---|
| nav.no | A+ | 100 |
| ssb.no | A+ | 100 |
| stortinget.no | A+ | 97 |
| udi.no | A+ | 97 |
| telenor.no | A+ | 97 |
NAV håndterer sensitive opplysninger om millioner av nordmenn daglig — at de scorer perfekt er både forventet og betryggende. Det samme gjelder nbim.no (Oljefondet), som også oppnår 100 poeng. Disse virksomhetene viser at det absolutt er mulig å implementere full e-postbeskyttelse, selv i komplekse organisasjoner.
Slik fordeler karakterene seg
Av 158 analyserte domener denne uken:
- A+ og A: 63 domener (40 %) — god til utmerket beskyttelse
- B og C: 48 domener (30 %) — delvis konfigurert, men hull i sikkerheten
- D og F: 47 domener (30 %) — svak eller ingen beskyttelse
13 domener mangler DMARC helt. Det er disse som utgjør den høyeste risikoen — uten DMARC finnes det ingen mekanisme for å varsle eier om misbruk, og ingen mulighet til å blokkere falske avsendere. Se trendoversikten for å følge utviklingen over tid.
Hva bør du gjøre?
Er du ansvarlig for et norsk domene? Her er tre konkrete steg:
- Sjekk status nå. Søk opp ditt domene på data1.no og se hvilken score og karakter du får. Det tar 30 sekunder.
- Publiser en DMARC-post — selv
p=noneer bedre enn ingenting. Det gir deg rapporter om hvem som sender e-post på vegne av domenet ditt, uten å blokkere noe. - Trapp opp til
p=reject. Når du har oversikt over legitime e-postkilder, skjerp policyen. Det er først vedp=rejectat beskyttelsen er reell.
Vil du sammenligne deg med konkurrenter eller bransjekollegaer? Bruk sammenligningsverktøyet for å se hvordan ditt domene stiller seg mot andre norske aktører.