Storselskaper stryker på e-postsikkerhet — mens NAV og SSB scorer perfekt

Uke 38-analysen av 158 norske domener avslører et slående paradoks: noen av Norges mest ressurssterke selskaper har fullstendig fraværende e-postbeskyttelse, mens offentlige etater topper listen.

Publisert 14. sep. 2026 · Av Terje Otterlei · 5 min lesetid

Ukens tall i korte trekk

158 norske domener ble analysert denne uken. Snittscore endte på 64,6 av 100 poeng — et middelmådig resultat som skjuler store sprik mellom topp og bunn. 85 domener har p=reject, som gir full DMARC-beskyttelse, mens 13 domener mangler DMARC-record helt.

Over halvparten av domenene (63 av 158) scorer B eller bedre. Men med 21 stryk og 26 D-er er det fortsatt mye å ta tak i — særlig når man ser hvem som befinner seg i bunnsjiktet.

Offentlig sektor dominerer toppen

Fire av de ti best beskyttede domenene er norske offentlige etater eller institusjoner:

• nav.no — 100 poeng, A+
• ssb.no — 100 poeng, A+
• stortinget.no — 97 poeng, A+
• udi.no — 97 poeng, A+

At NAV og SSB begge scorer 100 poeng er ikke tilfeldig. Disse etatene håndterer enorme mengder sensitiv kommunikasjon med innbyggere, og de har åpenbart prioritert e-postsikkerhet deretter. Norges Bank Investment Management (nbim.no) er det eneste finansaktøren som når toppkarakter denne uken, med 100 poeng.

telenor.no er eneste private norske teleoperatør på topp 10, med 97 poeng. Det viser at det er fullt mulig å oppnå høy score selv med kompleks e-postinfrastruktur.

Store navn i bunnsjiktet — uten unnskyldning

Bunnlisten denne uken inneholder navn som overrasker:

• equinor.no — F (0p)
• hydro.no — F (0p)
• yara.no — F (0p)
• aker-solutions.no — F (0p)
• sparebanken-ost.no — F (0p)
• faedrelandsvennen.no — F (0p)
• clas-ohlson.no — F (0p)
• schenker.no — F (0p)

At tre av Norges største børsnoterte industrikonserner — Equinor, Hydro og Yara — alle scorer 0 poeng på sine .no-domener er bemerkelsesverdig. Disse selskapene er høyprofilerte mål for phishing og e-postsvindel. Fraværet av DMARC betyr at kriminelle kan sende e-post som utgir seg for å komme fra @equinor.no eller @hydro.no uten teknisk hindring.

For sparebanken-ost.no er situasjonen ekstra alvorlig — bankens kunder er en naturlig målgruppe for phishing-angrep, og manglende e-postautentisering gir angripere unødvendig fordel.

En bransje som skiller seg ut: Energi og industri

Det er slående at energi- og industrisektoren er overrepresentert i bunnsjiktet denne uken. Equinor, Hydro, Yara og Aker Solutions er alle globale selskaper med store IT-avdelinger. Likevel er det tilsynelatende .no-domenene deres som faller igjennom — kanskje fordi fokus settes på primærdomener brukt i internasjonal kommunikasjon, mens de norske domenene får mindre oppmerksomhet.

Se hvordan norske energiselskaper sammenligner seg på sammenligningssiden, eller følg utviklingen over tid på trendoversikten.

Hva bør du gjøre nå?

Er ditt domene blant de som mangler DMARC, eller scorer lavt? Her er de viktigste stegene:

1. Sjekk statusen din. Søk opp domenet ditt på data1.no for å se nøyaktig hva som mangler.
2. Start med p=none. Sett opp DMARC i overvåkingsmodus først, slik at du kan samle rapporter uten å blokkere e-post.
3. Sørg for gyldig SPF og DKIM. DMARC fungerer bare hvis disse er på plass og korrekt konfigurert.
4. Trappe opp til p=reject. Når rapportene viser at legitim e-post passerer, skrur du opp beskyttelsesnivået gradvis via p=quarantine.
5. Ikke glem sekundærdomener. Mange selskaper sikrer primærdomenet, men glemmer .no-varianter og andre domener de eier.

Et domene som scorer 0 poeng er ikke et teknisk komplisert problem å løse — det krever prioritering. Offentlige etater som NAV og SSB viser at det lar seg gjøre å nå 100 poeng. Spørsmålet er om norske storselskaper vil ta utfordringen.