Elsparkesykkel-selskapet Ryde ble rammet av et datainnbrudd natt til søndag 2. august 2026. Alle kundekontoer er berørt: rundt 4,5 millioner i fire land, hvorav 1,6 millioner i Norge. Fødselsdato, telefonnummer, e-postadresse og betalingshistorikk er på avveie.
Dette skjedde i datainnbruddet hos Ryde
Uvedkommende skaffet seg tilgang til Rydes systemer natt til søndag 2. august og kopierte ut opplysninger om samtlige kunder. Innbruddet ble oppdaget samme morgen, og tilgangen ble stengt kort tid etter.
Ryde leier ut elsparkesykler i Norge, Sverige, Finland og Tyskland, og er blant de største aktørene i Norge. Kjører du slik sykkel, bør du også kjenne reglene for elsparkesykkel i Norge.
Selskapet sier det har stengt inngangene, bygget opp de berørte systemene på nytt og byttet passord og krypteringsnøkler. Saken er meldt til politiet og til Datatilsynet, og kundene varsles direkte. Daglig leder Tobias Balchen sier til nyhetsbyrået NTB at selskapet ikke vet hvem som står bak, og at det ikke har kommet krav om penger eller trusler. Ryde kan samtidig ikke garantere at opplysningene ikke er solgt videre.
Hvilke opplysninger er på avveie?
Dette er opplysningene Ryde bekrefter at er kopiert ut:
- mobilnummer og e-postadresse
- fødselsdato
- de første seks og de siste fire sifrene i betalingskortet
- betalingshistorikk for turer, kjøp og gebyrer
- navn og adresse for et mindre antall kunder (ikke verifiserte opplysninger)
Dette er ikke på avveie: fullstendige kortnumre, som ligger hos en ekstern betalingsleverandør og ikke hos Ryde. Selskapet sier det heller ikke er noe som tyder på at turhistorikken din – hvor du har kjørt – er hentet ut. De eneste stedsopplysningene som er berørt, er hvor kontoen din ble opprettet.
Hvorfor er «bare noen siffer» farlig?
Faren ligger i kombinasjonen, ikke i kortnummeret alene. De seks første sifrene viser hvilken bank som har utstedt kortet. De fire siste er nettopp de sifrene banker og butikker bruker for å bekrefte hvem du er i en samtale.
Legg til en ekte betalingshistorikk, og en svindler kan ringe deg, vise til en tur du faktisk har tatt – med riktig beløp, dato og kortsiffer – og virke helt troverdig. Ryde advarer selv om dette.
Regelen som stopper slike forsøk er den samme, uansett hvor mye den som ringer vet om deg: verken Ryde, banken din eller politiet ber om passord, engangskoder eller BankID (den digitale legitimasjonen din), og de ber deg aldri logge inn via en lenke i SMS eller e-post. På SamfunnPrep finner du en gjennomgang av sju vanlige svindeltriks i Norge og en egen guide om BankID-svindel og press over telefon.
Hva bør du gjøre nå?
- Ikke klikk på lenker i SMS eller e-post som ser ut til å komme fra Ryde eller banken. Åpne appen, eller skriv nettadressen selv.
- Legg på hvis noen ringer og ber om koder. Ring banken tilbake på et nummer du selv har funnet.
- Se over kontoutskriftene de neste månedene, og si fra til banken med en gang ved ukjente trekk.
- Vurder kredittsperre. Fødselsdato, navn og adresse er nok til å forsøke ID-tyveri – se hvordan du setter kredittsperre mot ID-tyveri.
Du trenger ikke å bytte passord i Ryde-appen eller sperre bankkortet, ifølge selskapet selv.
Hva sier Datatilsynet?
Datatilsynet har mottatt avviksmelding fra Ryde og undersøker saken. «Vi har mottatt en avviksmelding fra Ryde, og ser på den», sier seniorrådgiver Eirik Gulbrandsen. Tilsynet sier de først og fremst er opptatt av oppfølgingen av dem som er rammet, og deretter av hva som har skjedd.
Etter personvernforordningen (GDPR) artikkel 33 skal en virksomhet melde slike brudd til Datatilsynet «uten ugrunnet opphold og når det er mulig, senest 72 timer» etter at bruddet ble kjent. Artikkel 34 krever at de berørte varsles direkte når risikoen er høy. Varselet skal beskrive bruddet, de sannsynlige konsekvensene og tiltakene som er satt i verk.
Som berørt har du to konkrete rettigheter: innsyn i hvilke opplysninger Ryde har om deg, og retten til å klage til Datatilsynet. Klageskjemaet krever innlogging med ID-porten; har du ikke det, kan du sende klagen i brev til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo. Saksbehandlingstiden er i snitt rundt ett år. SamfunnPrep har en egen artikkel om innsyn, retting og sletting etter GDPR.
