Nummeret ditt er nøkkelen: SIM-bytte og kryptotyveri i 2026

Du kan eie den sikreste maskinvarelommeboka på markedet. Du kan ha en seed-frase på 24 ord som ingen andre noensinne har sett, skrevet på stål og låst i en safe. Og du kan likevel våkne til tomme kontoer, uten at tyven noen gang har vært i nærheten av den private nøkkelen din. Det høres ut som en selvmotsigelse, men i 2026 er det en av de vanligste måtene folk mister krypto på. Angrepet heter SIM-bytte, og det retter seg ikke mot nøkkelen. Det retter seg mot telefonnummeret ditt.

Den 31. mars 2026 slo Nasjonal kommunikasjonsmyndighet (Nkom) alarm. Etter et tilsyn med seks mobiloperatører konkluderte tilsynet med at fem av dem brøt kravene til identitetskontroll når kunder bestiller, endrer eller sier opp abonnement. Sagt på en annen måte: det var altfor enkelt å få utstedt et nytt SIM-kort i en annens navn. For en kriminell som jakter på kryptoformuer, er det akkurat den døra som trengs. Med Bitcoin rundt 710 000 kroner (cirka 77 100 dollar) og Ether rundt 20 600 kroner (cirka 2 240 dollar), ifølge CoinGecko, er gevinsten ved én vellykket nummerkapring stor nok til at profesjonelle miljøer har gjort dette til en industri.

Denne artikkelen forklarer hvordan SIM-bytte fungerer, hvorfor det rammer kryptoeiere spesielt hardt, hva norske myndigheter og operatører har gjort galt, og, viktigst av alt, hvordan du gjør nummeret ditt verdiløst for en angriper.

Nøkkelkompromiss uten å røre nøkkelen

De fleste historier om kompromitterte private nøkler handler om nøkkelen selv. Noen stjeler en seed-frase fra en skjermdump. En svak tilfeldighetsgenerator lager en nøkkel som kan gjettes. En bruker signerer blindt en transaksjon som ser uskyldig ut. Lenger frem truer til og med kvantemaskiner selve matematikken som beskytter nøkkelen, et scenario vi har skrevet om i saken om Trail of Bits og kvantetrusselen mot krypto. Felles for alt dette er at angriperen til slutt må få tak i, gjette seg til eller omgå den hemmelige nøkkelen.

SIM-bytte snur problemet på hodet. Her forblir nøkkelen hemmelig og trygg hele veien. Angriperen bryr seg ikke om de 24 ordene dine. I stedet kaprer han telefonnummeret ditt og lar din egen gjenopprettingskjede gjøre jobben: SMS-koden som logger deg inn på børsen, e-posten som tilbakestiller passordet, skylagringen der noen uforsiktig la seed-frasen. Vi kaller det kompromittering av private nøkler via omveien. Nummeret ditt er blitt hovednøkkelen til den digitale identiteten din, og de færreste behandler det deretter.

Det er en ubehagelig innsikt, for den betyr at selvoppbevaring og maskinvarelommebøker, de to rådene nybegynnere får oftest, ikke er noe vern i seg selv. De beskytter nøkkelen. De beskytter ikke nummeret.

Hva SIM-bytte egentlig er

SIM-bytte, på norsk også kalt mobilkapring, går ut på å flytte telefonnummeret ditt over til et SIM-kort angriperen kontrollerer. Oppskriften er nedslående enkel. Først samler svindleren inn personopplysninger om offeret: navn, adresse, fødselsnummer, kanskje et lekket passbilde fra et tidligere datainnbrudd. Deretter kontakter han mobiloperatøren, enten på nett, i en butikk eller via kundeservice, og utgir seg for å være deg. Han ber om et nytt fysisk SIM-kort, aktivering av et eSIM, eller en portering av nummeret til en annen operatør. Går operatøren på det, mister telefonen din signal i det samme øyeblikket, og alle anrop og alle SMS-er som var ment for deg, lander hos angriperen.

Overgangen til eSIM har gjort angrepet raskere. Der et fysisk kort måtte sendes i posten, kan et eSIM aktiveres digitalt på minutter, og kapringen kan være gjennomført før offeret rekker å lure på hvorfor mobilen ble stille. Det skiller SIM-bytte fra et klassisk phishing-angrep. Ved phishing lures du selv til å oppgi noe eller signere noe. Ved SIM-bytte er det operatøren som blir lurt, ikke du, og det første varselet du får, er gjerne at banken eller børsen plutselig ikke lenger kjenner deg igjen.

Angriperen trenger altså hverken skadevare på telefonen din eller tilgang til lommeboka. Han trenger bare å overbevise en kundebehandler, et selvbetjeningsskjema eller en bestukket butikkansatt om at han er deg. Det er en menneskelig svakhet, ikke en teknisk, og derfor er den så vanskelig å lukke med kryptografi alene.

Gjenopprettingskjeden: slik faller dominobrikkene

Grunnen til at et kapret nummer er så ødeleggende, er at nummeret sitter nederst i en kjede av gjenoppretting som nesten alle tjenester bygger på. Tenk deg rekkefølgen angriperen går gjennom etter at nummeret ditt er hans. Først fanger han opp SMS-engangskoden som to-faktorautentisering sender. Så ber han om å tilbakestille passordet på e-posten din, og tilbakestillingskoden kommer, du gjettet riktig, på SMS. Med e-posten i hånden kan han tilbakestille passord på alt annet, inkludert vekslingsbørsen der kryptoen ligger. Hadde du i tillegg vært uheldig nok til å lagre en skjermdump av seed-frasen i en skytjeneste som låses opp med telefonnummeret, er også selvoppbevaringen din borte.

Poenget er at en kjede aldri er sterkere enn sitt svakeste ledd, og for de aller fleste er det svakeste leddet en gjenopprettingsvei som hviler på telefonnummeret. Det gjelder ikke bare børskontoer. Det gjelder også de nyere løsningene der lommeboka kan gjenopprettes via sosial gjenoppretting eller en skytjeneste, et tema vi har gått grundig inn i under gjenoppretting av smartkontoer. Jo flere bekvemmelige gjenopprettingsveier en tjeneste tilbyr, desto flere dører finnes det å bryte seg inn gjennom.

Tabellen under viser hvilke gjenopprettingsmetoder som faller ved et SIM-bytte, og hvilke som overlever. Mønsteret er tydelig: alt som er bundet til nummeret, ryker, mens alt som er bundet til en fysisk enhet eller en hemmelighet du aldri har lagt på nett, står imot.

«Men BankID, da?» Hvorfor nummeret fortsatt er det svake punktet

Nordmenn flest tenker på BankID som selve låsen foran bankkontoen, og her er det en god nyhet. Den gamle løsningen BankID på mobil, som lå som en applet på selve SIM-kortet, er faset ut og erstattet av BankID-appen, som er bundet til enheten din og ikke til SIM-kortet. Det betyr at en angriper som kaprer nummeret ditt, ikke uten videre får ut en fungerende BankID. Selve den norske eID-en rir ikke lenger på SIM-kortet.

Problemet er bare at kryptoeiere sjelden beskyttes av BankID i det hele tatt. Vekslingsbørser, selvoppbevaringslommebøker og utenlandske tjenester bruker i praksis aldri BankID. De bruker SMS-koder, e-post og autentiseringsapper, altså nettopp de kanalene et SIM-bytte eier fullstendig. Og selv i banksfæren sender mange tjenester fortsatt engangskoder på SMS for innlogging, godkjenning av betalinger og tilbakestilling av passord. Angriperen trenger derfor ikke å knekke BankID. Han trenger bare gjenopprettingskjeden rundt den.

Nkom formulerte kjernen presist da tilsynet la frem funnene sine. Avdelingsdirektør Kamilla Sharma sa: «Telefonnummeret er tett knyttet til identiteten vår. Når kontrollen svikter, kan det få store konsekvenser både for enkeltpersoner og samfunnet.» For en kryptoeier er den koblingen mellom nummer og identitet ikke en abstraksjon. Den er hele angrepsflaten.

Nkom slo alarm: fem av seks operatører strøk

Fra 1. januar 2025 ble det innført et konkret krav i Norge: kunder må bekrefte identiteten sin med gyldig legitimasjon, som pass eller førerkort, eller med elektronisk ID som BankID, når de kjøper, endrer eller sier opp et mobilabonnement. Hele poenget med regelen var å gjøre det vanskeligere å skaffe seg et SIM-kort i en annens navn, altså selve åpningen i et SIM-bytte.

Da Nkom gjennomførte tilsyn med etterlevelsen, var resultatet nedslående. I rapporten som ble lagt frem 31. mars 2026, hadde tilsynet undersøkt seks operatører: Lycamobile, Lyse Tele (Ice), SMB Mobil, Talkmore, Telavox og Telenor. Fem av de seks fikk varsel om pålegg om retting. Bare Telavox slapp unna uten feil som måtte korrigeres. Nkom beskrev mangelfull dokumentasjon og svak kontroll med identiteten til både privat- og bedriftskunder, og omtalte funnene som alvorlige. Du kan lese tilsynets egen fremstilling hos Nkom.

Dersom de alvorlige avvikene ikke rettes innen fristene tilsynet setter, kan Nkom ilegge tvangsmulkt eller overtredelsesgebyr. Men for en kryptoeier er den viktigste lærdommen ikke sanksjonstrusselen. Den er at kontrollen som skulle stoppe nettopp denne typen svindel, var den kontrollen som sviktet, hos nesten alle. Med andre ord: regelverket fantes, men håndhevingen hos operatørene gjorde at døra sto på gløtt i over et år. For en angriper er det et vindu, ikke en teknisk barriere.

Innsidetrusselen: da noen forsøkte å kjøpe Telenor-ansatte

Hvis svikt i ID-kontrollen er den ene inngangen, er den bestukne innsideren den andre. Og dette er ikke et utenlandsk fenomen Norge har sett på trygg avstand. I januar 2022 ble ansatte i Telenor-butikker og på kundesentre rundt om i landet kontaktet av trusselaktører som ville betale dem for å kapre nummer.

Fremgangsmåten var gjennomtenkt. Angriperne kartla ansatte via LinkedIn, der mange hadde oppgitt at de jobbet i Telenor, sendte kontaktforespørsler og utga seg for å være kolleger, og fulgte opp med e-poster til de ansattes private adresser. Tilbudet var anonym betaling i kryptovaluta, rundt 250 dollar (cirka 2 300 kroner) eller mer per aktivering, med lovnad om at det kunne gjentas daglig, mot at den ansatte aktiverte eksisterende Telenor-nummer på SIM-kort angriperne kontrollerte. Saken er beskrevet av Telenor.

Thorbjørn Busch, senior sikkerhetsanalytiker i Telenor, forklarte at et vellykket SIM-bytte ville gitt de kriminelle full kontroll over nummeret til den rettmessige eieren, slik at de kunne tilbakestille passord og fange opp to-faktorkoder på SMS. Alle de ansatte som ble kontaktet, varslet lederne sine umiddelbart, og saken ble oversendt Europol fordi alle spor pekte ut av landet. Busch understreket samtidig at denne typen målrettet rekruttering av innsidere trolig skjer i langt større omfang enn det man fanger opp. For kryptoeiere er budskapet ubehagelig klart: angriperne er villige til å betale seg inn bak skranken, og de betaler i krypto.

Da angriperne kapret SEC-kontoen

Det mest talende eksempelet på hvor langt ned SIM-bytte kan nå, rammet ikke en privatperson, men en finanstilsynsmyndighet. Den 9. januar 2024 ble den offisielle X-kontoen til det amerikanske børstilsynet SEC kapret. Noen la ut en melding om at SEC hadde godkjent de etterlengtede spot-ETF-ene for Bitcoin. Prisen hoppet umiddelbart rundt 1 000 dollar, før den falt rundt 2 000 dollar da meldingen ble avslørt som falsk. De virkelige godkjenningene kom dagen etter, 10. januar 2024, men skaden og poenget var allerede gjort.

Bak lå Eric Council Jr. fra Athens i Alabama. Han laget falsk legitimasjon, gikk inn i en AT&T-butikk og fikk utstedt et nytt SIM-kort for nummeret knyttet til SECs konto. X bekreftet senere at kompromitteringen skjedde via kontroll over det tilknyttede telefonnummeret, ikke via et innbrudd i X selv. Council tok betalt mellom 1 200 og 1 500 dollar per bytte under kallenavnet easymunny og tjente rundt 50 000 dollar (cirka 460 000 kroner) fra januar til juni 2024. Han erkjente straffskyld 10. februar 2025 og ble i mai 2025 dømt til 14 måneders fengsel pluss tre års tilsyn etter soning, ifølge det amerikanske justisdepartementet (DOJ) og CNBC.

FBI omtalte angrepet som en bevisst overtakelse av en føderal myndighets offisielle kommunikasjonsplattform, en kalkulert handling ment for å villede publikum og manipulere finansmarkedene. Lærdommen er brutal i sin enkelhet: hvis nummeret til et børstilsyn kan byttes over disk i en mobilbutikk, kan nummeret ditt også det.

Skyhvelvet som ble en bakdør: LastPass-lærdommen

SIM-bytte er den reneste formen for angrep på gjenopprettingskjeden, men den samme logikken rammer alt du legger i en skytjeneste for sikkerhets skyld. Det tydeligste eksempelet er innbruddet hos passordforvalteren LastPass i 2022. Angriperne kopierte ut krypterte passordhvelv, knekte svake hovedpassord i ro og mak på egne maskiner, og dekrypterte seed-fraser som ofrene hadde lagret som sikre notater i hvelvet.

Taylor Monahan, ledende produktsjef i MetaMask, var blant de første til å koble sakene sammen, og festet seg ved ett trekk: «The victim profile remains the most striking thing. They truly all are reasonably secure.» Ofrene var altså ikke uforsiktige nybegynnere. Sikkerhetsforskeren Nick Bax oppsummerte hvorfor konsekvensen ble total: «The seed phrase is literally the money. If you have my seed phrase, you can copy and paste that into your wallet, and then you can see all my accounts.» Tapene passerte 35 millioner dollar og over 150 ofre mot slutten av 2023, og i en amerikansk inndragningssak i 2025 var summen vokst til over 150 millioner dollar (over 1,3 milliarder kroner), inkludert et tyveri etterforskere knyttet til Ripple-medgründer Chris Larsen. Rundt 23 millioner dollar (cirka 210 millioner kroner) ble beslaglagt. Sakene er dokumentert av KrebsOnSecurity og BleepingComputer.

Fellesnevneren med SIM-bytte er viktig. I begge tilfeller var selve nøkkelen trygt generert. Det som sviktet, var bekvemmelighetslaget rundt den: skylagringen, passordforvalteren, gjenopprettingsveien. Regelen som følger av dette, er enkel og ettertrykkelig: en seed-frase skal aldri legges et sted som kan nås over nettet, uansett hvor godt kryptert det føles.

De store sakene og tallene

SIM-bytte mot kryptoeiere er ikke nytt, og rettssakene strekker seg flere år tilbake. Investoren Michael Terpin ble SIM-byttet i 2018 og tappet for rundt 24 millioner dollar (cirka 220 millioner kroner). Han vant senere en sivil dom på 75,8 millioner dollar mot gjerningsmannen Nicholas Truglia, og søksmålet hans mot operatøren AT&T ble gjenopplivet av en amerikansk ankedomstol i 2024 under Section 222, regelen som pålegger teleselskaper å beskytte kundedata, ifølge Cointelegraph. Terpin-saken er fortsatt den viktigste prøvesteinen for spørsmålet om operatøren kan holdes ansvarlig.

Mye av dagens SIM-bytte springer ut av et løst miljø av unge gjerningspersoner kjent som The Com, der status og beryktethet driver like mye som penger. Allison Nixon, forskningssjef i etterretningsselskapet Unit 221B, har kartlagt hvordan medlemmene sosialmanipulerer og bestikker butikkansatte i teleselskaper, akkurat slik Telenor-ansatte opplevde. Ett av de mest kjente navnene, Noah Urban fra gruppen Scattered Spider, ble i august 2025 dømt til ti års fengsel og rundt 13 millioner dollar (cirka 120 millioner kroner) i erstatning for tyverier fra 59 eller flere ofre, ifølge KrebsOnSecurity.

Hvor store er tapene samlet? FBIs klageportal IC3 fører egen statistikk over SIM-bytte. Tallene varierer fra år til år, men caveatet er viktigere enn selve summene: SIM-bytte er en inngangsmetode, og det meste av det faktiske kryptotapet havner under den langt større kategorien kryptosvindel. I 2025 registrerte IC3 over 181 000 klager om kryptosvindel med tap på over 11 milliarder dollar (over 100 milliarder kroner), en økning på 22 prosent fra året før, ifølge IC3s årsrapport.

Ved en kurs rundt 9,2 kroner per dollar tilsvarer toppåret 2022 rundt 670 millioner kroner bare i direkte rapporterte SIM-bytte-tap. Det reelle tallet er høyere, både fordi mange ofre ikke anmelder, og fordi kryptodelen av tapet telles et annet sted.

SIM-bytte eller mobilskadevare? To angrep som ligner

Det er lett å blande SIM-bytte sammen med ondsinnet programvare på telefonen, for begge ender med at angriperen fanger opp koder eller seed-fraser. Men de treffer to helt ulike lag, og forsvaret er forskjellig. SIM-bytte angriper nummeret ditt, altså telekom- og identitetslaget, og skjer uten at telefonen din berøres. Skadevare angriper selve enheten.

Et godt eksempel på sistnevnte er Android-trojaneren Crocodilus, som sikkerhetsselskapet ThreatFabric avdekket i mars 2025. Den misbruker tilgjengelighetsfunksjonene i Android for å ta over enheten, og legger blant annet opp en falsk beskjed om at brukeren må «ta backup av lommebok-nøkkelen innen 12 timer», slik at offeret selv taster inn seed-frasen rett i hendene på angriperen. Trojaneren spredte seg til åtte eller flere land, ifølge ThreatFabric. Mot et slikt angrep hjelper det ikke å låse SIM-kortet; da må du beskytte enheten. Mot SIM-bytte hjelper det ikke å ha en ren telefon; da må du beskytte nummeret. Å kjenne forskjellen er første skritt mot å forsvare seg riktig mot begge.

Hvem bærer tapet? Finanstilsynet, norsk rett og selvoppbevaring

Sier du at kryptoen din ble stjålet via et SIM-bytte, er det neste spørsmålet uunngåelig: hvem dekker tapet? Svaret i Norge er ubehagelig for de fleste. Kryptoeiendelsloven trådte i kraft 1. juli 2025 og innlemmer EUs MiCA-regelverk i norsk rett gjennom EØS-avtalen. Finanstilsynet fører tilsyn med kryptoforetak, altså vekslings- og oppbevaringstjenester, som må ha tilstedeværelse i EØS og sikre kundenes tilgangsmidler, inkludert private nøkler. Overgangsregler lot registrerte foretak drive videre frem til 30. juni 2026 eller til de fikk eller ble nektet tillatelse, og Firi var det første norske foretaket som fikk CASP-tillatelse under MiCA. Rammeverket er beskrevet hos Finanstilsynet.

Haken er at dette vernet bare gjelder når en regulert tjeneste holder nøklene dine. Oppbevarer du kryptoen selv, i egen lommebok, står du utenfor dette tilsynet. Det finnes ingen innskuddsgaranti slik Bankenes sikringsfond dekker bankinnskudd, og ingen regulert motpart å kreve erstatning fra. Selvoppbevaring gir deg full kontroll, men også fullt ansvar.

Hva så med banken? Finansavtaleloven regulerer ansvaret ved uautoriserte betalinger fra en bankkonto, med en egenandel og strengere ansvar for kunden ved grov uaktsomhet. Men en kryptooverføring, enten du signerer den selv eller en angriper gjør det i ditt navn via en kapret børskonto, faller som regel utenfor dette betalingstjenestevernet. Hvem som faktisk får pengene tilbake etter et tyveri, avhenger ofte mer av en frivillig refusjon eller en nødbryter hos en tjeneste enn av en klar rett, et tema vi har sett nærmere på i saken om nødbryteren som avgjør hvem som får refusjon. Operatøren kan på sin side rammes av Nkoms sanksjoner etter ekomloven, men det er ikke det samme som at du som enkeltkunde får erstatning. Og på gjerningssiden ender ofte bare en liten brikke bak lås og slå, mens bakmennene går fri, et mønster vi kjenner igjen fra andre kryptosaker der promotøren går fri.

Blir du rammet, er den praktiske marsjordren likevel klar: anmeld forholdet til politiet, som kan involvere Kripos eller Økokrim ved alvorlige saker, siden både identitetskrenkelse og databedrageri rammes av straffeloven. Og husk at et tap kan ha skattemessige sider du må håndtere overfor Skatteetaten i skattemeldingen.

Forsvar 1: få nummeret ut av gjenopprettingen

Siden ansvaret i praksis er ditt, er forebygging alt. Det første og viktigste laget er å bryte selve gjenopprettingskjeden, slik at et kapret nummer ikke lenger låser opp noe som helst. Målet er å gjøre telefonnummeret verdiløst for en angriper.

• Dropp SMS-basert to-faktor overalt det er mulig, og bytt til en autentiseringsapp (TOTP) eller, enda bedre, en FIDO2-basert passkey eller en fysisk sikkerhetsnøkkel. Disse er bundet til appen eller enheten, ikke til nummeret, og overlever et SIM-bytte.
• Fjern telefonnummeret som gjenopprettingsvei på e-postkontoen din. Så lenge e-posten kan tilbakestilles med en SMS, er e-posten like svak som nummeret.
• Fjern nummeret fra gjenoppretting og innlogging på alle vekslingsbørser og kryptotjenester. Nummeret skal ikke kunne tilbakestille noe.
• Opprett en egen, hemmelig e-postadresse som bare brukes til kryptokontoer, atskilt fra den offentlige hverdagsadressen din.
• Legg aldri seed-frasen i en skytjeneste, et bildegalleri eller en passordforvalter. LastPass-ofrene gjorde alt annet riktig og tapte likevel alt.

Dette ene laget nøytraliserer flertallet av SIM-bytte-angrep. En angriper som kaprer nummeret ditt, men møter en autentiseringsapp og en e-post uten SMS-gjenoppretting, sitter plutselig med et stykke plast uten verdi.

Forsvar 2: lås SIM-kortet og porteringen

Det andre laget handler om å gjøre selve nummerkapringen vanskeligere hos operatøren. Her er det konkrete grep som tar minutter, men som kan være forskjellen på et mislykket og et vellykket angrep.

• Sett en SIM-PIN på det fysiske kortet, slik at det ikke uten videre kan flyttes til en annen enhet.
• Ring kundeservice og be om en porteringssperre og ekstra verifisering, altså et krav om personlig oppmøte eller BankID før operatøren tillater bytte av SIM eller portering av nummeret.
• Reager umiddelbart på uventet tap av signal. Mister telefonen dekning uten grunn, ring operatøren fra en annen telefon og kontakt banken og børsen for å stanse transaksjoner, før angriperen rekker å tømme kontoene.

At myndighetene presser operatørene i denne retningen, er en internasjonal trend. I USA vedtok telekomtilsynet FCC regler i november 2023 som pålegger operatørene sikker autentisering før et SIM byttes eller et nummer porteres, varsling til kunden med en gang, og en gratis kontolåsmulighet, ifølge FCC. I Norge er hovedløftestangen Nkoms håndheving av ID-kontrollen. Som kunde bør du spørre operatøren din rett ut hvilken beskyttelse mot nummerkapring de faktisk tilbyr, og be om det strengeste alternativet.

Forsvar 3: skill hverdagslommeboka fra langtidslageret

Det tredje laget handler om å begrense skaden selv om de to første skulle svikte. Prinsippet er å aldri ha alt på ett sted som kan nås gjennom en enkelt kompromittering. En luftgapet seed i egen oppbevaring er i praksis immun mot SIM-bytte, rett og slett fordi det ikke finnes noe nummer, ingen kode og ingen innlogging å avskjære. Her er «ikke dine nøkler, ikke dine mynter» bokstavelig talt riktig: det er den custodial-bekvemmeligheten med SMS-innlogging som er fellen.

I praksis betyr det å holde en liten hverdagslommebok for daglig bruk atskilt fra et kaldt langtidslager der hovedtyngden ligger offline. Det betyr å vurdere multisignatur eller en passordfrase, slik at ingen enkelt kompromittering gir angriperen alt, en tankegang vi har sett konsekvensene av da sikringen sviktet i saken om multisignatur på én laptop og Halborn. Og på børsen betyr det å slå på hviteliste for uttaksadresser og en venteperiode for nye adresser, slik at en kapret økt ikke umiddelbart kan sende alt til en ukjent lommebok.

Ari Redbord, global policy-sjef i TRM Labs, har pekt på det samme mønsteret overfor The Block: det mest effektive forsvaret er å redusere eksponeringen og styrke nøkkelhåndteringen. Konkret innebærer det å begrense offentlige signaler om kryptoeierskap i sosiale medier, å bruke multisignatur eller passordfrase-beskyttede lommebøker, og å skille hverdagslommebøker fra langtidsbeholdningen. Jo mindre en angriper vet om at du eier krypto, og jo mer spredt beholdningen din er, desto mindre er både sannsynligheten for å bli valgt ut og skaden dersom det skjer.

Summen av de tre lagene er et enkelt, men kraftfullt forsvar. Ta nummeret ut av gjenopprettingen, lås kortet og porteringen hos operatøren, og spre beholdningen slik at ingen enkelt dør fører rett inn til alt. Ingen av tiltakene krever teknisk spesialkompetanse. De krever bare at du behandler telefonnummeret ditt som det det har blitt: en nøkkel.

Ofte stilte spørsmål

Hva er SIM-bytte, og hvordan rammer det kryptoeiere?

SIM-bytte, også kalt mobilkapring, er når en svindler flytter telefonnummeret ditt over til et SIM-kort han kontrollerer, som regel ved å utgi seg for å være deg overfor mobiloperatøren. Kryptoeiere rammes hardt fordi nummeret ofte sitter nederst i gjenopprettingskjeden: det låser opp SMS-koder, e-posttilbakestilling og innlogging på vekslingsbørser. Angriperen trenger dermed aldri å røre den private nøkkelen din.

Kan kryptoen min stjeles selv om jeg bruker maskinvarelommebok?

Ja, hvis verdiene dine kan nås gjennom en konto der gjenopprettingen hviler på telefonnummeret, for eksempel en vekslingsbørs eller en e-post med SMS-tilbakestilling. En maskinvarelommebok beskytter nøkkelen, men ikke nummeret. En seed som er generert på en luftgapet enhet og aldri har vært på nett, er derimot i praksis immun mot SIM-bytte, fordi det ikke finnes noen kode eller innlogging å avskjære.

Beskytter BankID meg mot SIM-bytte?

Delvis. Den gamle BankID på mobil som lå på SIM-kortet, er faset ut, og BankID-appen er i dag bundet til enheten din, ikke til nummeret, så et SIM-bytte kan ikke uten videre klone BankID-en din. Men kryptotjenester bruker nesten aldri BankID; de bruker SMS, e-post og autentiseringsapper, og mange banktjenester sender fortsatt engangskoder på SMS. Det er denne gjenopprettingskjeden rundt BankID et SIM-bytte utnytter.

Hvordan sikrer jeg meg mot SIM-bytte?

Bytt fra SMS-basert to-faktor til en autentiseringsapp eller en FIDO2-passkey, og fjern telefonnummeret som gjenopprettingsvei på e-post og på alle kryptotjenester. Sett en SIM-PIN og be operatøren om porteringssperre og ekstra verifisering. Legg aldri seed-frasen i en skytjeneste, og hold en liten hverdagslommebok atskilt fra et kaldt langtidslager.

Hvem er ansvarlig hvis jeg mister krypto i et SIM-bytte i Norge?

Oppbevarer du kryptoen selv, er ansvaret i praksis ditt, og det finnes ingen innskuddsgaranti slik det gjør for bankinnskudd. En kryptooverføring faller som regel utenfor betalingstjenestevernet i finansavtaleloven. Finanstilsynet fører tilsyn med regulerte kryptoforetak, Nkom med operatørene, og selve forbrytelsen bør anmeldes til politiet, som kan involvere Kripos eller Økokrim.

Av Anneke de Vries, sikkerhetsredaktør i HOGE Wire.