Slik stopper du Android-apper fra å stjele BankID-koden din: Fem trykk stenger bakdøren

Innloggingen med BankID, en bankoverføring eller en Vipps-handling krever ofte at du skriver inn en engangskode. I Norge ankommer den koden som regel som SMS, og den er gyldig i noen minutter. Bankens egen SMS-kode er altså dørnøkkelen til kontoen i det øyeblikket den ligger i innboksen.

Problemet er at en vanlig Android-app kan be om tilgang til å lese innkommende SMS. Sier du ja uten å tenke over det, får appen samme utsikt til innboksen som deg selv.

Risikoen er ikke teoretisk. Flere banktrojanere som har sirkulert gjennom 2026, ber nettopp om SMS-tilgang for å plukke opp engangskodene i det øyeblikket de treffer telefonen. Malwarebytes beskrev i sommer at banktrojaneren Rokarolla, som angriper mer enn 200 bank- og krypto-apper, under installasjonen ber om kraftige tillatelser, blant annet tilgang til å lese SMS, varsler og Tilgjengelighet.

Derfor er SMS-tilgang en bakdør til banken

Google strammet SMS-reglene for Play-butikken for flere år siden. Hovedregelen er at kun apper som er satt som standard SMS- eller Telefon-app på enheten får be om SMS-tillatelser, med et lite knippe unntak for funksjoner som backup, tyverisikring og finansielle transaksjoner. I praksis betyr det at når en vilkårlig app likevel spør om SMS-tilgang, er det sjelden en god grunn til å si ja.

Les også: Mercedes EQS kjørte 867 km uten å lade: Er rekkeviddeangsten over?

Google Play Protect, som er Androids innebygde malware-vakt, flagger apper utenfor Play-butikken som ber om SMS-rettigheter. I retningslinjene for utviklere lister Google blant annet READ_SMS, RECEIVE_SMS, Notification Listener og Tilgjengelighet som tillatelser som ofte misbrukes til økonomisk svindel.

Nyere malware går også utenom SMS-tillatelsen selv. Flere varianter misbruker Tilgjengelighets-tjenesten eller varselstilgangen til å lese koden direkte fra varselet når det dukker opp. Begge tilgangene fortjener samme skepsis som SMS-tilgangen, og begge kan slås av på samme sted i innstillingene.

Slik trekker du tilbake SMS-tilgang på Android

Gjennomgangen tar under to minutter og bør gjøres med jevne mellomrom.

1. Åpne Innstillinger på telefonen
2. Gå til Personvern eller Sikkerhet og personvern (plasseringen varierer mellom merker)
3. Velg Tillatelsesbehandler
4. Trykk på SMS
5. Se gjennom listen: SMS-appen din skal stå der, kanskje også teleoperatøren og din bank-app. Alt annet er et rødt faresignal

Appene du ikke kjenner igjen, eller som ikke har noen åpenbar grunn til å lese SMS, bør du trykke inn og sette til Ikke tillat. Gjør det samme for Varsler og Tilgjengelighet i samme meny, det er der moderne banktrojanere henter kodene når SMS-veien er stengt.

Les også: Vivo går i masseproduksjon med 12.000 mAh: Mer enn dobbelt så stort som dagens flaggskip

På Samsung-telefoner heter menyen ofte Sikkerhet og personvern > Tillatelsesbehandler, mens den på rene Pixel-modeller ligger under Personvern og sikkerhet > Personvern > Tillatelsesbehandler.

iPhone er bygget uten SMS-tilgang for apper

Eier du iPhone, gir Apples sandkasse-arkitektur deg en innebygd beskyttelse Android ikke har. En vanlig tredjepartsapp kan ikke lese innkommende SMS eller iMessage i det hele tatt, Apple har aldri lagt ut et grensesnitt som åpner for det. Den eneste måten en app på iPhone får en engangskode, er via den systemstyrte funksjonen som foreslår koden over tastaturet når du er inne i riktig innloggingsfelt.

Faren på iPhone ligger andre steder: å lese opp koden i telefonen til en «bankrådgiver» som ringer, eller å lime den inn i et skjema på en nettside som ser ut som banken. Ingen app-innstilling beskytter mot det, bare din egen skepsis.

Les også: 85 prosent lading og elbilen starter ikke: Det lille batteriet de fleste glemmer

Les også: 87 prosent av Shanghai-bilene går til eksport: Teslas Kina-salg falt 66 prosent i oktober