Uppskattningen utfördes på fullbordade brott i augusti 2022 vilket antas gälla för helåret. 1 2 Utöver BankID, så utfärdar även Telia, AB Svenska Pass och Freja e-legitimationer till privatpersoner. Telia e-legitimation innehar inte kvalitetsmärket Svensk e-legitimation. 13 https://digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-legitimering/ tillitsramverk-for-kvalitetsmarket-svensk-e-legitimation. 14 (EU) 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Kapitel II reglerar Elektronisk identifiering och kapitel III Betrodda tjänster. 15 Det finns tre olika tillitsnivåer i eIDAS-förordningen. låg, väsentlig och hög. Dessa skiljer sig något från de tre svenska tillitsnivåerna 2, 3 och 4. 16 Den statliga reboot utredningen (SOU 2017:114) konstaterade att området elektronisk identifiering var underreglerat och föreslog bl.a. införande av ny lag om infrastruktur för elektronisk identifiering och kvalitetsmärket Svensk elektronisk identifiering, för att författningsreglera en godkänd svensk e-legitimation. Förslaget bereds fortfarande i Regeringskansliet. (Observera att utredningen använde termen ”elektronisk identifiering” och inte det idag mer vedertagna begreppet e-legitimation). 17 DIGG: Dnr 2019-540, datum för beslut 2020-10-05. 18 Cooperation Network godkände 2021-09-27 BankID på tillitsnivå väsentlig. BankID är alltså godkända peer review, men ännu inte (januari 2023) ett anmält eID-system enligt eIDAS, den processen pågår. 19 EU 2015/2366 om betaltjänster på den inre marknaden, om ändring av direktiv 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG. 20 EU 2018/389 om komplettering av Europaparlamentets och rådets direktiv (EU) 2015/2366 vad gäller tekniska tillsynsstandarder för ”sträng” kundautentisering och gemensamma och säkra öppna kommunikationsstandarder. RTS — Regulatory Technical Standards (”sträng” är en felöversättning). 2 1 Efterfrågan på kvalificerade betrodda tjänster har ännu inte riktigt uppstått i Sverige, troligen på grund av att vi i Sverige redan innan eIDAS-förordningen trädde i kraft hade ett väl fungerande ekosystem för bl.a. elektroniska underskrifter. 22 Det är dock tillåtet, artikel 24.1 b att skapa en kvalificerad elektronisk underskrift baserat på en identifiering med ett anmält eID-system tillitsnivå väsentlig eller hög. Den kopplingen finns mellan anmälda eID-system och betrodda tjänster. 23 Betalningsinstrument definieras i lagen (2010:751) om betaltjänster 1 kap. 4 § 10 st. som ett kontokort eller någon annat personligt instrument eller personlig rutin som enligt avtal används för att initiera en betalningsorder. 24 RTS, artikel 5 med krav att betalaren ska informeras om belopp och mottagare när stark kundautentisering tillämpas för en betalning. Konstruktionen med dynamiska kopplingar är införd för att även hantera bankdosor och andra metoder för stark kundautentisering som ej har inbyggd funktion för elektronisk underskrift. 25 Exempelvis brottsbalken (BrB) 4 kap. 6 b § om olovlig identitetshantering eller BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg kan bli aktuella. 26 Exempelvis kan BrB 15 kap. 12 § missbruk av urkund i vissa fall bli aktuell. 27 Exempelvis BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg men även särskild reglering i betaltjänstlagen kan bli aktuell. 28 Obehörigt innehav av en e-legitimation, alltså att en annan person än innehavaren själv förfogar över både den fysiska e-legitimationen och den personliga behörighetsuppgiften kan falla in under obehörig befattning med betalningsverktyg. Riksdagen har riktat ett tillkännagivande till regeringen om att även e-legitimation ska kunna definieras som ett betalningsverktyg (motion 2020/21:3852). 29 Använder den bredare definition ”bedräglig” som används i Non-cash-direktivet (EU) 2019/713, då obehörig användning inte nödvändigtvis täcker all bedräglig användning. 30 I departementspromemorian Ds 2020:1 användes termen olovlig befattning med betalningsinstrument, men regeringen ändrade termen till betalningsverktyg (prop. 2020/21:73). Betalningsverktyg utgör ett bredare samlingsbegrepp för olika slags anordningar som kan användas för överföring av pengar eller ett penningvärde. 31 BrB 4 kap. 6 b §. 32 Även obehörig identifiering med e-legitimation är emellertid värd att hantera och agera på från samhällets sida. Det är en fråga om att skydda innehavarens integritet och rättigheter. Vi känner till att obehörig identifiering med BankID bl.a. har använts som ett verktyg i hederskulturer och för ena partnern i osunda parrelationer, att utöva kontroll, övervakning och inskränkning av den verkliga innehavarens fri och rättigheter. 33 Se NJA 2021 s. 1107. 34 Utgivaren av BankID kan sitta på teknisk information och bevisning som är väsentlig för bedömning av ärendet om det rör sig om obehörig underskrift eller inte. Men på grund av banksekretess så får ej sådan relevant information lämnas över till kreditgivaren. 3 5 Friendly fraud, även kallat First-Party fraud är vanligt begrepp i bankvärlden. Innehavaren agerar svikligt och är själv delaktig eller bidrar till bedrägeriet men nekar till all kännedom om underskriften eller händelsen. 36 ”Casinomålet”; Uppsala tingsrätt mål B 6683-17, Svea hovrätt mål B 1187-20. 37 Uppskattningsvis så används BankID som ett betalningsinstrument i 95% av alla underskrifter. 3 8 I målet som ledde fram till HD:s avgörande i NJA 2022 s. 522 var det nya regler till följd av GDPR som utnyttjades. 39 Polisen: De organiserade bedrägerierna — En rapport om bedrägerier kopplade till organiserade kriminella miljöer. Dnr: A354.340/2021 s. 16. 40 Polisen: De dödliga bedrägerierna — En rapport om bedrägeribrottslighet och skjutvapenvåldet Dnr: A554.314/2022. 4 1 Polisen: Bedrägerier och penningtvätt — Analys av bedrägerier ur ett brottsvinstperspektiv. Dnr: A697.130/2021 s. 10. 42 Polisen: De dödliga bedrägerierna - En rapport om bedrägeribrottslighet och skjutvapenvåldet. Dnr: A554.313/2922 s. 7. 4 3 Då det råder banksekretess, så måste det finnas en sekretessbrytande regel för att information ska kunna utbytas. Brottsutredande myndigheter har frågerätt enligt bank- och finansrörelselagen 1 kap. 11 §, samt lag om åtgärder mot penningtvätt och finansiering av terrorism (PtL) 4 kap. 6 §. Men informationsutbyte mellan verksamhetsutövare är starkt begränsad via PtL 4 kap. 9 § till att enbart röra sig om uppgifter som rör samma kund och samma transaktion. 44 Det ter sig som en onödig belastning att process i domstol först måste påbörjas, innan nödvändig information kan delas. 45 SOU 2019:14 Ett säkert statligt ID-kort — med e-legitimation. 4 6 Se video https://cdn.bankid.com/video/kontrollera-id-handling.mp4. 47 Pass och nationellt ID-kort utfärdat av polisen kan via NFC (Near Field Communication) läsas av en mobiltelefon varefter ID-handlingens äkthet kan valideras elektroniskt och giltigheten automatiskt verifieras mot polisen. 48 Förlitandepart är den term som vanligtvis används för den part som förlitar sig på BankID. Exempelvis tillhandahållaren av själva e-tjänsten där BankID kan användas. 49 Ungefär 3 miljoner medborgare saknar ett giltigt pass (hösten 2022). 5 0 Se video https://cdn.bankid.com/video/instruktion-skaffa-bankid-sv-sub.mp4. 51 Det finns givetvis andra omständigheter exempelvis hot, som kan göra ett ingånget avtal ogiltigt. 52 (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (GDPR) 53 GDPR artikel 7 p 4. 5 4 https://www.bankid.com/foretag/stark-koppling. 55 Se resonemanget i kap. 6.2 då allt för många personer i samhället idag saknar giltigt pass eller nationellt ID-kort utfärdat av polisen. 5 6 Ett sms eller telefonsamtal ser ut att komma från en annan avsändare än den gör, så kallade spoofade nummer. 57 Blockera att det inte länger går att surfa till en specifik webbsida. 5 8 Jag inser att det finns både tekniska och legala utmaningar kring detta. Men varför skulle inte polisen kunna ges befogenheten att förverka ett telefonnummer, IP-adress eller för den delen en e-legitimation som används i brottslig verksamhet? Sen ställa krav på telefonoperatörerna i Sverige som är en reglerad verksamhet.
Hänvisas från p. 4 (s. 431)
1.Att bedrägeribrottsligheten är ett stort samhällsproblem kan knappast ha undgått någon. Den engagerar den organiserade brottsligheten och finansierar enligt polisen även terrorism. Bedrägerierna göder även samma kriminella nätverk som sysslar med knarkhandel och uppmärksammade skjutningar. Polisen och myndigheterna som samverkar mot bedrägerier publicerar regelbundet dystra rapporter och statistik över utvecklingen. Redan 2020 var brottsvinsterna från bedrägeribrott som i huvudsak drabbar privatpersoner på 2,1–2,3 miljarder kronor, vilket är i nivå med det uppskattade värdet av vinstmarginalerna för narkotikaförsäljning i första ledet i Sverige. Och då är ändå inte välfärdsbedrägerier, försäkringsbedrägerier och övriga bedrägerier medräknade. Anmälningsgraden varierar mellan olika typer av bedrägeribrott och främst kan mörkertalet i antalet ej fullbordade brott inom vissa kategorier antas vara mycket högt. Under 2021 stod 195 902 anmälda bedrägeribrott för 13% av samtliga anmälda brott i Sverige. Tabell 1: Källa Polisen Noa Brottsvinster exklusive moms-, välfärds-, försäkrings- och övriga bedrägerier. Preliminära siffror helåret 2022 visar att antalet anmälda bedrägeribrott troligen blir i nivå med 2021 eller möjligtvis lite lägre. Om de sammanlagda brottsvinsterna från bedrägeribrotten kommer fortsätta att öka i samma takt har vi ännu inga siffror på, men vi befarar en fortsatt ökning av brottsvinsterna. Att olika former av bedrägerier utgör en lukrativ marknad för kriminella ter sig inte förvånande, då riskerna i förhållande till brottsvinsterna är lägre än många andra former av brottslighet.s. 430
2.Det är ändå bara en viss kategori och andel av dessa bedrägeribrott som möjliggörs med hjälp av obehörig användning av e-legitimation. Det är primärt inom kategorin social manipulation vi finner flest fall av obehörig användning av BankID. Bedrägeribrotten under social manipulation består av 16 olika brottskoder som kan delas in i tre huvudsakliga kategorier. Investeringsbedrägerier, Romansbedrägerier och Nätfiske/Vishing. Tabell 2: Källa polisen nationellt bedrägericentrum. Nätfiske/Vishing som är ett modus består här av 8 olika brottskoder.s. 431
3.För de två kategorierna investerings- och romansbedrägerier som 2021 sammanlagt stod för 80% av brottsvinsterna under social manipulation, är det uteslutande behöriga transaktioner som utförs. Det är alltså användaren själv som med sitt betalningsinstrument godkänner den bedrägliga betalningen. De som utför en behörig transaktion åtnjuter inte det skydd som betaltjänstlagen ger vid en obehörig transaktion. I kategorin nätfiske förekommer både obehöriga och behöriga transaktioner. Statistiken ger dock inga uppgifter om hur fördelningen mellan behöriga och obehöriga transaktioner i kategorien ser ut.s. 431
4.Uppskattningar som BankID själv utfört under hösten 2022 genom att gruppera fullbordade bedrägerier i kategorin nätfiske, tyder på att obehöriga transaktioner utgör någonstans mellan 65–80% av brottsvinsterna, vilket motsvarar 360–443 miljoner kronor för hela 2022. Detta samtidigt som antalet fullbordade brott som bygger på obehöriga transaktioner endast står för uppskattningsvis 40% av de anmälda fullbordade brotten. Enligt BankID:s bedömning rör det sig alltså om drygt 2 000 personer som under 2022 drabbats av nätfiskebedrägerier med obehöriga transaktioner.s. 431