Nordnets säkerhetsproblem är det värsta jag hört talas om

Få detaljer har ännu kommit ut om Nordnets problem förra veckan men det som redan är känt är extremt allvarligt.

Efter en mjukvaruuppdatering så hamnade en del användare som loggade in på andra personers konton. De fick full tillgång, kunde kolla personlig information, historik, göra affärer (länk till dn.se som har en betalvägg) och initiera uttag.

Säkerhetsproblemen började någon gång på morgonen tisdagen den 11 februari och Nordnet stängde banken runt lunch.

Nordnet räddades av att uttagskonton behöver verifieras innan de kunde användas så ingen hann göra uttag till sina egna konton.

Det här noterades först i Danmark, men gällde även svenska, och norska kunder. Efter en liten stund så insåg Nordnet katastrofen och gjorde det enda de kunde göra, de drog ut sladden till sina system. Sedan var Nordnets internetbank nere mest hela dagen medan folk på Nordnet gjorde något.

En del jämför det här med cache-problem som till exempel Steam hade 2015 men det här är betydligt allvarligare. Cacheproblemen har resulterat i att folk har fått se en webbsida som någon annan skapat vilket kan ha läckt personlig information, men det har inte gett någon full tillgång till någon annans konto.

Det mest specifika som Nordnet har sagt var i pressmeddelandet till börsen:

Orsaken var att en mjukvarukomponent kopplad till inloggning till Nordnets tjänster fungerade bristfälligt.

Exakt vad det betyder är svårt att veta, men det centrala är att det var själva inloggningen som gick fel, inte någon form av webbcache. Det bekräftas också av att människor lyckats handla på andras konton vid minst två tillfällen (enligt Nordnets FAQ)

Jag är Nordnetkund (liksom jag är kund i många banker, inklusive Avanza), och kunde ha varit en av de som drabbades eftersom jag uppfyllde kriterierna Nordnet listat. Jag frågade Nordnet samma dag om någon annan hade varit inne på mitt konto och fick ett par dagar senare ett meddelande om att mitt konto inte exponerats.

Det här är inte bara ett problem för Nordnets anseende utan är antagligen också en serie lagbrott. Banksekretessen är viktig och här bröt Nordnet mot den när de släppte in obehöriga personer på folks konton. Det finns också lagar om att skydda folks personliga uppgifter och banktillgångar är en extra skyddad personlig uppgift.

Jag hoppas det blir offentligt vad som gick fel så att andra kan lära av det. Jag skulle också vilja veta vad som gick fel hos TietoEvry för lite över ett år sedan när de söp bort all data, inklusive backupper för en rad företag och myndigheter. De har sagt att de utsattes för en "ransomwareattack", men hur den lyckades kryptera alla backupper utan att någon märkte något, det är illavarslanda. Den verkar i alla fall vara det som hänt även om TietoEvry inte har bekräftat något offentligt. Antagligen eftersom de blivit stämda och vill säga så lite som möjligt om sin egen inkompetens.

Nordnet har i det här fallet sagt att felet var i någon kod de inte skrivit själva, men mjukvara går sällan sönder av sig själv. Nordnet gjorde något som fick felet att dyka upp. De håller på att fasa ut inloggning utan bank-id så det kan vara relaterat.

Avanza har fått mycket, välförtjänt, skit för sina tekniska problem de senaste åren, men det här är mycket, mycket värre än att vara otillgänglig några timmar eller någon dag. Folk har pratat om dryga böter eller sanktionsavgifter för Nordnet och jag både tror och hoppas att det blir så. Det måste svida i plånboken när man missköter säkerheten för annars kommer banker slarva (göra "besparingar" tills säkerheten är urholkad).