Datatilsynet: Mange kan være rammet av sikkerhetshull hos Telia

Datatilsynet: Mange kan være rammet av sikkerhetshull hos Telia

I flere år har det vært mulig å spore mobilene til Telia-kunder. «Få eller ingen» personer er rammet, ifølge en avviksmelding.

Datatilsynet ser svært alvorlig på avviket.

Onsdag kunne NRK avsløre at Telia-kunder har vært sporbare via mobilen siden 2023.

Ved å ringe en Telia-kunde har det vært mulig å finne ut hvor vedkommende befinner seg.

NRK har blant annet klart å spore stortingspolitikere, politiansatte og helt vanlige Telia-kunder.

– Dette er et avvik som vi i Datatilsynet ser svært alvorlig på, fordi det i teorien kan omfatte veldig mange mennesker, og det kan gi ganske sensitiv informasjon, sier direktør Line Coll til NRK.

Line Coll

• direktør i Datatilsynet

Nyhetstips 03030

Vet du noe om dette?

Nasjonal kommunikasjonsmyndighet sier torsdag at de åpner tilsyn ved Telia etter varsel om det de omtaler som «alvorlig sikkerhetsavvik».

– Det er bra at Telia bekrefter at avviket er lukket, men vi ser svært alvorlig på saken, sier direktør John-Eivind Velure i en .

John-Eivind Velure i Nkom ser svært alvorlig på saken.

De har også bedt Telenor og Ice om å redegjøre om tilsvarende forhold kan være en utfordring hos dem.

– Tillit til disse tjenestene er avgjørende for digitaliseringen i Norge. Derfor er det svært alvorlig når slike feil oppstår, sier Velure.

– Det er dessverre ikke sånn at idet du bryter ut av en voldelig relasjon, så slutter volden. Det handler og om kontrollen som voldsutøver vil utøve over den utsatte, sier Anne Fossum.

Hun er daglig leder i Krisesentersekretariatet. De er en paraplyorganisasjon for en rekke krisesentre i Norge.

Ane Fossum er daglig elder i Krisesentersekretariatet.

Hun mener verktøy som dette som kan brukes til å finne ut hvor den voldsutsatte er kan brukes til å skape frykt hos vedkommende.

Hun vet ikke om sikkerhetshullet hos Telia har blitt brukt til dette.

– Men det er vanlig at voldsutøvere forsøker å finne ut hvor de er, sier hun.

– Hva slags lærdom kan man ta av dette?

– Alle som utvikler teknologi må vite at denne teknologien kan misbrukes.

Telia har rundt 2 millioner mobilkunder i Norge. De vet ikke hvor mange som er rammet, og vil ikke si hvor mange som var direkte påvirket av feilen.

I avviksmeldingen til Datatilsynet, som NRK har fått innsyn i, skriver Telia at «få eller ingen» personer kan være rammet.

– Jeg har registrert at de selv sier at omfanget er lite når det gjelder berørte personer. Det er noe av det vi kommer til å gå tett inn i når vi nå tar saken til behandling, for å se om det stemmer, sier Coll.

For å utnytte sårbarheten var det nok å ringe til en konkret person. Slik kunne man få informasjon som viste hvilken basestasjon telefonen var koblet opp til.

Onsdag beklaget Telia på det sterkeste at feilen oppsto.

– Det som undersøkelsene viser nå, er at feilen oppsto ved en konfigurasjonsendring vi gjorde i 2023, sa Lena Lundgreen i Telia.

Lena Lundgreen leder for bedriftsmarkedet i Telia Norge.

Sensitiv informasjon

Datatilsynet sier at de nå skal undersøke hvem som er rammet, og hvor mange det er snakk om.

Informasjonen som telefonene har sendt fra seg er kritisk, ifølge direktør Coll.

– Det er en type informasjon som er svært sensitiv, og som teleselskapene er pålagt å holde konfidensielt.

NRK informerte Telia om feilen mandag denne uken.

Digitaliserings- og forvaltningsminister Karianne Tung (Ap) omtaler det som et alvorlig sikkerhetsbrudd.

Maktpersoner og militært personell kan ha stått i fare på grunn av sikkerhetshullet, ifølge Tom Røseth, som er hovedlærer i etterretning ved Forsvarets høgskole.

Sikkerhetshull gjorde Telia-kunder sporbare: – Vanvittig opplevelse

NRK varslet Telia om feilen mandag denne uken.

Tirsdag fikk Datatilsynet inn en avviksmelding om saken.

– Det er en sak vi kommer til å gå raskt og grundig gjennom for å vurdere videre arbeid med saken, sier Coll i Datatilsynet.

I avviksmeldingen som Telia har sendt til Datatilsynet kommer det frem at følgende tjenester er rammet: SmartConnect og Bedriftsnett.

Telia skriver videre at de vil varsle bedrifter som er knyttet til disse tjenestene.

Feilen ble rettet natt til tirsdag.

– Har dere fått noen informasjon om hvordan dette kunne skje?

– Det som fremgår av meldingen vi har fått, er at det er en teknisk svikt. Det er informasjon vi vil gå dypere inn i når vi starter arbeidet med saken, og som også Telia vil ha tid til å hente frem, sier Coll.

NRK ble klar over feilen da Harrison Sand i sikkerhetsselskapet Mnemonic gjorde tekniske tester med en av NRKs journalister.

For å utnytte feilen trengte man kun et Telia-simkort og en datamaskin.

I mobilanrop mellom Telia-kunder ble det delt informasjon om hvilken basestasjoner telefonene var tilknyttet. Denne informasjonen ble alltid delt dersom noen vilkår for samtalen var oppfylt. Man bryter seg altså ikke inn i et datasystem, men leste av informasjon som ble delt ved en feil. NRK har selvstendig dokumentert sårbarheten.

Etter den innledende fasen har NRK, parallelt med Mnemonic, dokumentert mer detaljert hvilke mobilbrukere som er påvirket og under hvilke forutsetninger.

Mnemonic har ikke jobbet på oppdrag for NRK og heller ikke fått betalt for deres undersøkelser.

I arbeidet med saken har NRK på forhånd innhentet et samtykke av mobileieren til å spore telefonens lokasjon.

Har du informasjon om saken eller andre krimsaker? Du kan tipse anonymt via NRKs krypterte varslertjeneste.

LES MER:            ©NRK.NO