BankID och VPN: fungerar det och är det säkert?

Ja. Swedbank skriver att du kan använda BankID i hela världen, så länge mobilen eller surfplattan är uppkopplad mot internet via mobilnät eller wifi. SEB skriver att Mobilt BankID är kopplat till ditt personnummer och fortsätter att fungera även om du bor i ett annat land.

Tre saker är bra att veta innan du reser:

• SEB påpekar att det inte är säkert att du kan ladda ner bankens app i appbutiken utanför Sverige. Installera den hemma.
• Hur länge ditt BankID gäller ser du under Inställningar i BankID-appen.
• Ska du flytta BankID till en ny telefon via bankens app måste den gamla och den nya vara på samma plats – BankID kontrollerar det med platstjänster och Bluetooth. Byt därför telefon före resan.

Fler råd inför resan finns i guiden om VPN på resa.

När du loggar in med BankID skickar tjänsten du loggar in hos – banken, Skatteverket eller en butik – en begäran till BankID. Enligt BankID:s dokumentation för tjänsterna ska den innehålla din IP-adress ”som den ses av tjänsten”. Använder du VPN är det alltså VPN-serverns adress som skickas, inte din egen. BankID ser dessutom vilken IP-adress BankID-appen ansluter från.

Tjänsten kan be BankID om en riskbedömning: låg, måttlig eller hög. Hög betyder att tjänsten bör stoppa inloggningen. BankID skriver att riskbedömningen gör störst nytta när användaren byter kanal eller enhet eller beter sig annorlunda än vanligt, och att den är ett underlag – det är tjänsten som bestämmer vad som händer.

Bankerna har också egna regler att följa. EU:s regler för stark kundautentisering kräver att banker övervakar betalningar för att upptäcka bedrägerier, och i riskanalysen räknas det som en riskfaktor att betalarens plats avviker från det normala. En VPN-server i ett annat land kan se ut just så.

Hur varje bank använder uppgifterna står inte på deras hjälpsidor. Swedbanks, SEB:s och Handelsbankens sidor om BankID som vi har läst nämner inte VPN alls – varken att det är förbjudet eller att det stöds.

1. Välj en server i Sverige eller stäng av VPN:en och försök igen. En svensk adress liknar det banken är van vid.
2. Byt inte server eller nät mitt i inloggningen. BankID råder tjänsterna att kontrollera att din IP-adress inte har ändrats mellan att inloggningen startar och avslutas.
3. Låt bankappen och BankID-appen gå samma väg. När du loggar in på samma enhet kan tjänsten jämföra adressen den själv ser med den BankID ser. Använder du split tunneling, undanta därför både bankappen (eller webbläsaren) och BankID-appen – inte bara den ena.
4. Använd ett reservsätt. Handelsbanken råder dig att ha fler inloggningssätt om Mobilt BankID inte fungerar eller spärras, till exempel personlig kod i appen eller kortläsare för internetbanken.
5. Ring banken på numret du hittar själv på bankens webbplats – Handelsbanken har till exempel särskilda nummer för samtal från utlandet. Ring aldrig ett nummer som står i ett sms eller mejl.

En VPN krypterar trafiken mellan din enhet och VPN-servern. Det är bra på ett öppet wifi, men det är inte så de flesta BankID-bedrägerier går till. BankID beskriver fyra vanliga varianter: falska mejl och webbplatser (phishing), telefonsamtal (vishing), sms (smishing) och falska QR-koder (quishing). I alla fall är målet att du själv ska legitimera dig – och då släpper du in bedragaren, oavsett om du har VPN eller inte.

Råden från BankID och polisen:

• Använd aldrig BankID när någon kontaktar dig och ber om det. Banker, myndigheter och polisen ringer eller mejlar aldrig och ber dig logga in. Lägg på – du behöver inte vara artig.
• Läs texten i BankID-appen innan du godkänner. Under ”Min avsikt” kan tjänsten skriva vad legitimeringen gäller, till exempel inloggning i internetbanken. Stämmer det inte: avbryt.
• Lita inte på nummerpresentationen. Bedragare kan få samtal och sms att se ut att komma från banken. Ring själv upp på ett nummer du har letat fram.
• Skanna inte QR-koder från okända eller oväntade avsändare.
• Slå på notiser från BankID, så att du märker om ett BankID aktiveras för ditt personnummer, och titta i Min historik i appen.

Har du blivit lurad: kontakta banken direkt för att stoppa betalningar och spärra BankID, och gör sedan en polisanmälan på 114 14. Från utlandet når du polisen på +46 77 114 14 00.

BankID rekommenderar också att du delar din plats med BankID-appen, eftersom det ger bättre skydd mot till exempel telefonbedrägerier. En VPN ändrar din IP-adress, inte telefonens platstjänster.

Nej. BankID:s egna säkerhetsråd handlar om att inte bli lurad, inte om nätverket, och utan VPN slipper du eventuella extra kontroller. Nyttan med VPN ligger i resten av trafiken när du sitter på ett offentligt wifi eller vill ha en svensk IP-adress utomlands. Vill du ha VPN:en på hela tiden är split tunneling det smidigaste: låt bankappen och BankID-appen gå direkt och resten genom VPN:en. Vad en VPN gör och inte gör förklarar vi i vad är VPN?

• Swedbank: frågor och svar om Mobilt BankID – BankID i hela världen.
• SEB: att tänka på under utlandsvistelsen – BankID och appbutiker utomlands.
• Handelsbanken: hjälp med Mobilt BankID – reservinloggning och nummer för samtal från utlandet.
• BankID för utvecklare: auth och collect – IP-adress, riskbedömning och kontroll av att adressen inte ändras.
• BankID: använd riskdata – när riskbedömningen gör störst nytta.
• Kommissionens delegerade förordning (EU) 2018/389 – transaktionsövervakning (artikel 2) och avvikande plats som riskfaktor (artikel 18).
• BankID: frågor om att använda Mobilt BankID – giltighetstid, platstjänster och Min avsikt.
• BankID: platstjänster, sociala bedrägerier, vanliga bedrägerier, id-kapning och spärra BankID.
• Polisen: telefonbedrägeri, vishing – lägg på, logga inte in, spoofing.
• Surfshark: split tunneling (Bypasser) och Proton VPN: split tunneling.