Sårbarhet avdekket: Telia og Ice kunne misbrukes i spoofingforsøk

Sårbarhet avdekket: Telia og Ice kunne misbrukes i spoofingforsøk

To av Norges største teleselskaper hadde en feil som gjorde det mulig å tyvlåne andres telefonnummer.

HEI MAMMA! En feil gjorde det mulig å tjuvlåne andres telefonnumre.

Digitaliseringsminister Karianne Tung står med mobilen i hånda. Telefonen hennes er i hvilemodus.

Så ringer det i en annen mobiltelefon – fra hennes telefonnummer.

– Der ringer du.

– Det gjør jeg jo ikke, sier Tung.

NRK har akkurat demonstrert hvordan man kan tjuvlåne andres telefonnummer.

TJUVLÅN: Her ser digitaliseringsministeren at det ringes fra hennes nummer.

Metoden kalles spoofing og blir brukt av kriminelle til å gjøre svindelforsøk mer troverdige. Slik kan de få det til å se ut som de ringer fra banken din, politiet, eller Skatteetaten.

– Hadde det skjedd med meg og det var en KI-stemme av dattera mi eller andre familiemedlemmer, så hadde det vært veldig vanskelig å oppdage. Det er derfor vi er nødt til å ha så sikre systemer som mulig, sier Tung.

NRKs undersøkelser viser at to norske teleselskaper, Telia og Ice, hadde en sårbarhet som gjorde nummertyveriet mulig.

Slik kunne man ringe med andres telefonnummer til alle de store teleselskapene i Norge.

HELT LIKT: Slik så det ut da NRK gjennomførte et vellykket tyvlån av digitaliseringsministerens telefonnummer. Mottakeren ser akkurat hva de har lagt inn av kontaktinformasjon og bilder av den som ringer. Statsråden deltok ikke i denne testen.

Ice og Telia bekrefter at sårbarheten nå er lukket. Begge selskapene forteller at de ikke har grunn til å tro at kriminelle har misbrukt akkurat denne sårbarheten.

Sikkerhetsforsker Harrison Sand i Mnemonic hjalp NRK med å teste sårbarheten.

– Når du vet hvor du skal lete, så var det en relativt enkel feil å misbruke, sier Sand.

TIL SALGS: Sikkerhetsforsker Harrison Sand forteller at kriminelle selger verktøy for tjuvlåning av andres telefonnummer.

Han mener det nå også har blitt langt enklere for utenforstående å undersøke telesystemene på grunn av KI-verktøy. Disse verktøyene kan tolke og forklare IT-systemer man ikke kjenner til.

– Det har i tillegg blitt vanlig for kriminelle å selge spoofing-tjenester. De som misbruker telesystemet trenger derfor ikke å forstå dette på et teknisk nivå.

Sårbarheten var tilknyttet en protokol kalt «Session initiation Protocol». Dette forkortes ofte SIP. SIP benyttes til å innlede telefonsamtaler.

Ved å koble et simkort til en datamaskin kan man sende og motta SIP-beskjeder. Slik kunne NRK modifisere SIP-beskjeden for å innlede en telefonsamtale.

Ved å endre «fra»-feltet i en SIP-beskjed kunne NRK tyvlåne andre sine telefonnumre.

Dersom et telefonnummer ligger i kontaktlisten til en mobiltelefon vil deres navn og bilde vises frem, og det vil fremstå for mobilen som det er dem som ringer.

NRKs testsystem tillot å gjennomføre telefonsamtaler på ordinær måte, men også at NRK kunne benytte forvrengte stemmer. Slik kunne NRK manipulert en stemme ved bruk av KI-teknologi til å etterlikne andre.

Simkortet som har initiert anropet oppholdt seg i Norge og ringte et simkort som oppholdt seg i Norge.

NRK har ikke observert noen hindringer i hvilke telefonnumre man kunne utgi seg for å være. Det har vært mulig å tyvlåne mobilnummeret til navngitte personer og sentralnummer som for eksempel Skatteetaten og politiet.

Ice og Telia bekrefter at sårbarheten har blitt utredet og det skal ikke være mulig å benytte denne metoden I dag.

I desember 2024 gikk Nasjonal kommunikasjonsmyndighet (Nkom) ut med beskjeden om at alle norske teleselskaper hadde systemer på plass for å blokkere spoofingforsøk fra egne nummer.

Nå skulle det innføres et «svindelskjold» for telefonanrop som kom fra utlandet.

Sikkerhetssjef Erik Haugland i Ice forteller at sårbarheten antageligvis ble introdusert i desember ved skifte av en leverandør.

– Vi vet at ved forrige leverandør så var dette ikke en mulighet, sier Haugland.

TILLIT: Sikkerhetssjef Erik Haugland i Ice forteller at det er viktig at rett nummer vises ved et anrop og at det handler om tillit til telesystemet.

Han er takknemlig for at NRK fortalte dem om sårbarheten og forteller at dette er noe de burde ha oppdaget selv.

– Vi har nulltoleranse når det gjelder det å la andre manipulere telefonnumre. Det er jo noe vi ikke ønsker i det hele tatt.

Det tok noen timer å finne en løsning som utbedret sårbarheten, oppgir Haugland.

For Telias del er dette er den femte offentlig kjente sikkerhetshendelsen i år.

Administrerende direktør Bjørn Ivar Moen i Telia stilte til intervju om den siste hendelsen.

– Hvorfor har det vært mulig å tjuvlåne andre telefonnumre som Telia-kunde?

– Vi har hatt en sårbarhet som har gjort at du under visse tekniske forutsetninger har kunnet late som at den telefonen du ringer med, ringer fra et annet nummer. Den sårbarheten er nå lukket.

SÅRBARHETEN LUKKET: Administrerende direktør Bjørn Ivar Moen i Telia Norge understreket av de hadde rettet feilen.

– Hva gjør dere videre med dette nå?

– Nå er jo sårbarheten lukket.

– Hva var det som skulle til for å fikse denne sårbarheten?

– Det blir teknisk å gå inn på, så det har jeg ikke tenkt å gå inn på.

– Kan du si noe om hvor lenge sårbarheten har vært der?

– Av sikkerhetsmessige årsaker så blir det feil å gå inn på det.

Telia opplyser at de ikke var klar over feilen før de ble kontaktet av NRK. Like etter intervjuet, sendte Telia ut en pressemelding som kunne gi inntrykk av de hadde oppdaget det siste sikkerhetshullet selv.

Les også Sikkerhetshull gjorde Telia-kunder sporbare: – Vanvittig opplevelse

Digitaliseringsministeren vil nå be Nasjonal kommunikasjonsmyndighets (Nkom) ekspertgruppe mot digital svindel å bruke dette som utgangspunkt for å se etter nye tiltak.

Sikkerhetsekspert Per Thorsheim har i en årrekke interessert seg for sikkerheten hos teleselskapene. Han mener Nkom tettere kunne ha fulgt opp teleselskapene.

SVING PISKEN: Sikkerhetsekspert Per Thorsheim mener Nkom kunne svingt pisken mer og delt ut mindre gulrot.

– Nkom fremstår som tannløse. Det virker ikke som de stiller krav eller proaktivt følger opp teleoperatørene. De har en holdning om at bransjen må regulere seg selv fordi de vet best. Det åpner for at teleselskapene slipper unna med å gjøre et minimum, sier Thorsheim.

Nkom, Telia, og Ice kjenner seg ikke igjen i beskrivelsen av at sikkerhet ikke blir prioritert.

– Det er en kritikk vi ikke helt forstår. For Norge er blant de land i verden som har kommet lengst på dette feltet. Og flere land ser jo til Norge for å lære, sier Johannes Myhre Vallesverd i Nkom.

MYE STANSES: Det digitale svindelskjoldet har stoppet nesten 100 millioner svindelforsøk, forteller Johannes Myhre Vallesverd i Nkom.

Vallesverd leder ekspertgruppen med medlemmer fra teleselskapene og offentlig sektor.

Vallesverd opplyser til NRK at de vil følge opp denne konkrete saken langs to spor. En er samarbeidssporet gjennom ekspertgruppen, den andre er gjennom deres tilsynsarbeid.

Nkom har allerede åpnet en tilsynssak mot Telia etter at NRK dokumenterte at det var mulig å spore deres kunder ved å gjøre et mobilanrop. Nå opplyser Vallesverd at de vil utvide dette tilsynet.

– For Ice vil vi varsle tilsyn knyttet til denne konkrete saken. Samarbeid og tilsyn er noen av verktøyene Nkom jevnlig bruker for å sikre befolkningen gode og trygge ekomtjenester, sier Vallesverd.

LES MER:                       ©NRK.NO