BankID är ett säkert och smidigt sätt att identifiera sig online. Men i takt med dess ökade popularitet och användning har det blivit en svag länk – en single point of failure – på mer än ett sätt.

Förut användes BankID enbart för att logga in i bankens internettjänster. Bakom BankID står just storbankerna. Det är företaget Finansiell ID-Teknik BID AB som äger BankID, men det i sin tur ägs av storbankerna.

Idag används däremot BankID till mycket mer än att bara logga in i banken. Alla myndigheter så som Skatteverket, Bolagsverket och Försäkringskassan använder BankID. Allt fler företag har också börjat använda BankID, alltifrån digitala brevlådor, post- och fraktföretag, mataffärer, hostingleverantörer, bokföringsprogram med mera. Enligt Finansiell ID-Teknik görs dagligen 18 miljoner identifieringar med BankID.

Det är här som riskerna börjar hopa sig. Vi kan bara föreställa oss konsekvenserna av ett långvarigt driftavbrott av BankID. Vi kan inte logga in i banken för att betala räkningar, inte sköta våra ärenden hos myndigheterna, inte logga in våra dagliga tjänster, inte läsa de digitala brevlådorna, inte köpa något online, inte beställa mediciner på recept, företagare kan inte komma åt sin bokföring och mycket annat.

Detta gör också BankID till ett hett mål för utländska makter som vill störa samhället. Med tanke på alla de hackerattacker och överbelastningsattacker som skett de senaste åren mot både myndigheter, kommuner och företag är det inte otänkbart att även BankID är ett mål för utländska hackare.

Ett sätt att komma runt denna svaga länk är att använda flera olika e-legitimationer, exempelvis även Freja eID. På så sätt blir vi inte lika beroende av en enda leverantör. Än så länge är Freja eID långt ifrån lika populärt som BankID, mycket på grund av att det är betydligt färre företag som idag accepterar Freja jämfört med BankID.

Men även för individen finns risker med den ökade användning av BankID. Den största risken är att bli rånad och tvingad att uppge BankID-koden och lämna ifrån sig mobiltelefonen. Rånaren kan då tömma alla ens konton, köpa dyra lyxprylar online och ta ut stora lån. Rånaren skulle också kunna ta del av alla ens läkarjournaler, hämta ut recept, skriva över domännamn till sig själv och mycket annat.

Denna risken ökar dessutom för exempelvis företagsledare eller styrelseledamöter med firmateckningsrätt. En rånare eller kidnappare skulle kunna skriva över företagets eller föreningens alla tillgångar till sig själv, ta ut lån på miljonbelopp, skriva över eller sälja aktier och mycket annat.

Det enda sättet att komma runt denna risken idag är att inte använda BankID i sin mobiltelefon utan istället ha en sekundär enhet för detta som förblir inlåst. Detta medför dock extra kostnader. Det tar också bort lite av smidigheten med BankID, men det är det kanske värt med tanke på riskerna?

Ett sätt att komma runt detta hade varit om BankID implementerade en “anti-kod”. Inbrottslarm brukar använda funktionen anti-kod, som innebär att användaren knappar in en förutbestämd kod på manöverpanelen om han eller hon är hotad. Detta löser ut ett tyst larm som påkallar uppmärksamhet från bevakningsföretaget eller polisen. En anti-kod för BankID skulle kunna spärra personens BankID och bara kunna låsas upp igen genom ett besök hos banken.