Hans Henrik undrede sig. Kalenderen sagde 6. januar 2020, men hans folkepension var ikke gået ind på hans konto, som den plejede.
- Beløbet på min konto passede lige pludselig ikke, da jeg gik ind og kiggede.
Hans Henrik ringede til Udbetaling Danmark, der gav ham en overraskende besked: Hans folkepension var blevet udbetalt til en anden konto, fordi hans NemKonto var blevet flyttet til en anden bank.
- Og det har jeg jo ikke gjort eller bedt om. Men den er simpelthen blevet omdirigeret, fortæller han.
Det viser sig, at Hans Henrik er ved at blive svindlet. Ukendte gerningsmænd har overtaget både hans NemKonto og hans NemID.
- Jeg følte mig dybt utryg, fordi du ikke aner, hvad der foregår, og du kender ikke grænserne for det, siger Hans Henrik.
Han står ikke frem med sit efternavn, men DR kender hans fulde identitet.
Kviklån og kreditkort
Hans Henrik havde jævnligt brugt sit NemID på computere på det lokale bibliotek.
Men som DR har afdækket, har svindlere installeret ulovligt overvågningsudstyr på computere på en lang række biblioteker landet over.
- Jeg ved, jeg ikke har gjort noget. Jeg har ikke delt mine koder med nogen. Jeg har ikke delt mine oplysninger, jeg har ikke skrevet dem ned. Jeg har ikke handlet uforsigtigt, siger Hans Henrik.
Da svindlerne har fået kontrol med Hans Henriks NemID, optager de lån og bestiller kreditkort i forskellige banker i hans navn.
- Men jeg har ikke modtaget noget kort, så enten har bankerne accepteret at sende kortene til en anden adresse end min uden at tjekke det, eller også er de blevet hugget fra min postkasse, siger Hans Henrik.
39.000 kroner på en dag i Hamborg
Efterfølgende kan Hans Henrik konstatere, at svindlerne har slået sig løs i Hamborg med det ene kreditkort.
Nytårsaftensdag 2019 bruger de over 39.000 kroner i den tyske storby i Hans Henriks navn. Dels i en stribe luksus-butikker som for eksempel Louis Vuitton, dels ved at hæve kontanter i hæveautomater.
- Det er helt ude af min liga at købe i sådan nogle forretninger. Det er slet ikke min kultur. Jeg har ikke penge til det, fortæller Hans Henrik.
NemKonto flyttet til fremmed bank
Men udover forbrugslån og kreditkort har svindlerne altså også brugt Hans Henriks NemID til at ændre hans NemKonto, og på den måde er hans folkepension blevet udbetalt til en bankkonto, som svindlerne har valgt.
- Så ringer jeg jo til Udbetaling Danmark, og så viser det sig, at det er en konto ovre i en sparekasse, som hun giver mig nummer og registreringsnummer på og siger, at den står som min NemKonto.
Men da de siger til dig, at det er din NemKonto, hvad svarer du så?
- Jamen, det forstod jeg slet ikke. Og jeg vidste slet ikke, at man kunne ændre den, siger Hans Henrik.
Svindel med NemKonto i fem år
Alle voksne danskere er forpligtede til at udpege en bankkonto som ens NemKonto. Og det er så den bankkonto, som det offentlige udbetaler penge til. Ofte bliver løn og kviklån også udbetalt til ens NemKonto.
Men nu viser det sig, at NemKonto-systemet i mindst fem år er blevet misbrugt til svindel.
Det fremgår af dokumenter, som DR har fået aktindsigt i hos Digitaliseringsstyrelsen, der er ansvarlig for NemKonto-systemet.
Svindlen foregår ved, at ”kriminelle ændrer en persons NemKonto til anden konto,” står der blandt andet i dokumenterne.
30 advarsler til ansvarlig myndighed
Dokumenterne viser også, at Digitaliseringsstyrelsen er blevet gjort opmærksom på NemKonto-svindlen mere end 30 gange de sidste fem år, og at styrelsens direktion har kendt til sagen siden 2018.
Men på trods af de mange advarsler har styrelsen ikke ændret NemKonto-systemet, så svindlen kan forhindres, viser dokumenterne i aktindsigten.
- Det viser alvorligheden af sagen, og man skal da være meget ignorant for at ignorere så mange advarsler, siger Jan Pries-Heje, der er professor i digitalisering på Roskilde Universitet.
Advarslerne kommer fra adskillige banker, flere politikredse, Skat, finansielle brancheforeninger, privatpersoner og rådgivere for ofre for svindlen.
De mange advarsler til styrelsen indeholder i flere tilfælde konkrete eksempler. For eksempel om en NemKonto, der er blevet flyttet 12 gange på to en halv måned.
Styrelse: Loven tilsigter fleksibilitet
Digitaliseringsstyrelsen har afvist at stille op til interview med DR om sagen. I stedet har styrelsen sendt et skriftligt svar.
- Hvis der fandtes én teknisk løsning, der alene kunne stoppe de kriminelle, der misbruger en NemKonto, ville vi selvfølgelig indføre den løsning med det samme, skriver Digitaliseringsstyrelsens vicedirektør, Adam Lebech, til DR.
Af aktindsigterne fremgår det, at det er helt bevidst, at en bankkonto kan benyttes som NemKonto til flere personer, og at man ikke behøver at eje den konto, som bruges som ens NemKonto.
- Hvis man eksempelvis fratog borgerne mulighed for selv at vælge, hvilken konto de gerne ville bruge som NemKonto, ville man gøre det meget besværligt for mange danskere. Der er blandt andet mange par, der gerne vil bruge samme NemKonto, skriver Adam Lebech.
Bankkonto brugt som NemKonto for flere end 100 personer
Men netop fleksibiliteten i NemKonto-systemet har svindlerne udnyttet, viser aktindsigterne.
Bankernes brancheforening, Finans Danmark, orienterer i 2018 Digitaliseringsstyrelsen om en sag, hvor svindlere har brugt en enkelt bankkonto som NemKonto for flere end 100 forskellige personer.
- Det råber jo ’svindel’, og at nogen laver fusk, så det burde man fange og gøre noget ved. Det burde man faktisk allerede have tænkt over på udbudstidspunktet, at lave den der beskyttelse mod, at flere borgere kan pege på samme NemKonto, siger professor Jan Pries-Heje.
Styrelse: Vi forholder os løbende til sikkerheden
Digitaliseringsstyrelsen skriver også til DR, at "Digitaliseringsstyrelsen forholder sig sammen med leverandørerne løbende til konkrete forslag til styrkelse af sikkerheden i de forskellige løsninger," og at styrelsen har "iværksat nye tiltag, der gør det vanskeligere at begå identitetstyveri."
DR’s gennemgang af dokumenterne viser, at en række af de mange svindel-advarsler til styrelsen indeholder forslag til, hvordan NemKonto-systemet kan ændres for at komme i hvert fald en del af svindlen til livs.
Men af dokumenterne fra aktindsigten fremgår det, at Digitaliseringsstyrelsen siden 2017 har besluttet at vente med at ændre NemKonto-systemet, indtil der kommer et nyt NemKonto-system.
- Derfor medtages ændringen til prioritering i forbindelse med det kommende udbud af NemKonto-systemet, skrev Digitaliseringsstyrelsen for eksempel i 2017 i et svar på en advarsel om svindel med NemKonto.
I dag - fem år efter den første advarsel - er udbuddet af et nyt NemKonto-system stadig ikke offentliggjort.
- De oplysninger, som I har fremlagt her, gør, at man må stille spørgsmål ved, om Digitaliseringsstyrelsen lever op til sit ansvar, siger Frederik Waage, der er professor i forvaltningsret på Syddansk Universitet.
Hans Henrik får ikke sin pension
Der er nu gået over et år, siden Hans Henrik blev svindlet med sit NemID og NemKonto. Han kæmper stadig for at undgå at hænge på et af de hurtiglån, som svindlerne fik udbetalt i hans navn.
Også mentalt er han stadig mærket af identitetstyveriet.
- At være i den tilstand, hvor du ikke ved, om der er et eller andet angreb, du slet ikke kender grænserne på, i gang mod dig, dét er ubehageligt, fortæller Hans Henrik.
Han kalder det ”rystende”, at der har været svindel med NemKonto siden 2016, uden at den ansvarlige myndighed har grebet ind.
- Hvis vi slipper en digital udvikling løs og samtidig holder vores sikkerhedsnet nede i nogle besparelser, så er det som at slippe en pandemi løs i min øjne, siger Hans Henrik.
Han kommer ikke til at få udbetalt sin folkepension for december 2019, som blev udbetalt til den forkerte NemKonto.
Udbetaling Danmark oplyser til DR, at loven er skruet sammen på en sådan måde, at pengene ikke kan udbetales igen, uanset hvad politiets efterforskning fører til.
- Det betyder, at vi ikke længere administrerer pengene og dermed ikke kan udbetale pensionen igen, selvom der foreligger en sag om identitetstyveri hos politiet, skriver Udbetaling Danmark til DR.