Nets undersøger sag om medarbejder der har solgt data om kongeliges betalinger

Journalister på Se & Hør betalte en it-medarbejder hos Nets for at blive fodret med betalingsdata fra kongefamilien og danske kendisser, skriver BT. Sagen bliver nu undersøgt hos Nets.

Da prins Joachim rejste på bryllupsrejse med prinsesse Marie til Canada i 2008, var det med Se & Hør-journalister i hælene. De kunne nemlig løbende lokalisere det nygifte par ud fra de fortrolige data om brug af betalingskort, som en it-medarbejder hos Nets sendte dem mod betaling.

Det skriver BT, som bygger historien på dokumentation fra en tidligere Se & Hør-journalist, der også har skrevet om episoden i den til dels fiktive roman ’Livet, det forbandede’ om livet på et sladderblad.

Samarbejdet mellem it-specialisten hos Nets og Se & Hør begyndte i 2008 og varede mindst fire år, lyder anklagen. Den gav Se & Hør adgang til data om betalingstransaktioner med kreditkort, og dermed kunne ugebladet for eksempel gisne om, at Line Baun Danielsen var gravid, da hun havde betalt et beløb, der svarede til en graviditetsscanning, på et privathospital.

Hos Nets undersøger man sagen lige nu, ud fra BT’s oplysninger.

»Det er en historie, vi tager meget alvorligt, og vi undersøger selvfølgeligt, ud fra de informationer vi har, om det er muligt at gøre det, som det bliver beskrevet,« siger Ulrik Marschall, kommunikationsmedarbejder hos Nets, til Version2.

Indtil Nets har fået mere overblik over, hvad der kan være sket, har firmaet ikke yderligere kommentarer til den konkrete anklage.

»Generelt er vi vant til at håndtere fortrolige data - det gør vi dagligt - og overordnet er det meget vigtigt, at kunderne har tillid til, at vi behandler deres data fortroligt, når de overlader dem til os. Derfor tager vi historien meget alvorligt,« siger han.

Er det oplysninger, som mange ansatte har adgang til, eller er det kun nogle få, betroede nøglepersoner?

»Det er et meget begrænset antal personer, der sidder med det,« siger Ulrik Marschall.

BT har forelagt oplysningerne for alle Se & Hørs tre chefredaktører siden 2008, og alle benægter kendskab til sådan en metode.

I Storbritannien blev sladderavisen News of the World lukket i 2011, da det blev afsløret, at avisen systematisk havde fået adgang til telefonsvarerbeskeder hos kendte og mindre kendte, via simpel hacking.

Forargelsen og reaktionen tog for alvor fart, da det kom frem, at avisens journalister havde aflyttet beskeder på telefonsvareren tilhørende en forsvundet pige, der senere blev fundet myrdet. Anklagen var dengang, at journalisterne havde slettet beskeder, hvilket førte til nyt - falsk - håb hos forældrene om, at pigen stadig var i live, men det viste sig senere, at beskederne blev slettet automatisk. Også pårørende til soldater dræbt i kamp var blevet aflyttet af News of the World.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (34)
Tom Paamand

Det var en grim historie, at News of the World havde slettet beskeder på en forsvundet piges telefon, og at dette gav falsk håb hos de stakkels forældre. Forargelsen over dette gav det nødvendige brændstof til at avisens metoder blev fordømt. Hvilket var fint nok, for de var dumme svin og aflyttede etc - men de havde faktisk ikke slettet beskederne i lige præcis den nævnte sag.
http://www.theweek.co.uk/media/phone-hacking/43516/dowler-false-hope-mes...

Claus Jacobsen

Det er jo underordnet hvilken virksomhed du er i. - Der vil altid være brodne kar der misbruger firmadata til egen vinding. I det her tilfælde er det jo så data der vedrører andre mennesker, men det er sådan set lige så galt når det er virksomhedens levebrød der bliver solgt ud af. - og det kan ske i alle virksomheder, uden undtagelse.

Men her må der kunne være tale om noget politianmeldelse af personen da vi vel har med brud på national sikkerhed at gøre? (Nets og deres data er jo en vital del af den danske infrastruktur?)

Peter Mogensen

Det er jo underordnet hvilken virksomhed du er i. - Der vil altid være brodne kar der misbruger firmadata til egen vinding

Ja - har du givetvis ret i at der altid vil være. Men det er så absolut ikke underordnet hvilken virksomhed der er tale om.
Ikke fordi det Nets laver bare er mere vigtigt end det andre laver, men fordi Nets er en virksomhed, der eksplicit har valgt at designe et særdeles centralt system i samfundet som NemID så det er sårbart for lige netop den type sikkerhedsproblemer - på trods af alt god skik med PKI.
Og de har med magtfuldkommen arrogance siddet alt kritikken overhørig.

Nu har vi så set et praktisk eksempel på at data Nets har ikke er mere sikker end prisen på en af deres IT-medarbejdere. Hvilken tillid kan vi så have til at Nets er de eneste, der kender vores private nøgler til NemID?

Det er jo en absurd situation politikerne og digitaliseringsstyrelsen/ITST har malet samfundet op i.
Hensigten med et signatursystem efter PKI modellen var jo at brugeren var den eneste der kendte sin private nøgle. Nu er det nærmest sådan at brugeren er den der har mindst mulighed for at kende den.

Thomas Larsen

Det er selvfølgelig ikke bevist at der er noget om historien men hvis den viser sig at være sand så er det da lidt tankevækkende at Aller Media har en årlig omsætning på cirka 1 milliard kr. i Danmark mens NSA har et årligt anslået budget på 60 milliarder kroner og formodentlig væsentlig bedre forudsætninger for at aflønne skattefrit. Det er godt nok mange penge at kunne bestikke nøglemedarbejdere med...

Vores eget hjemlige PET havde jo tilsyneladende ikke besvær med at skaffe 1,5 mio. kroner til at belønne Morten Storm og de har kun et årligt budget på godt 500 millioner kroner... mon ikke pengene er kommet fra USA?

Peter Mogensen

Hvordan fik du NemID ind i diskussionen? Er det her fri associationsleg?

Er det gået helt hen over hovedet på dig at Nets også står bag NemID og at de først benægtede at det overhovedet kunne lade sig gøre for dem at få adgang til de private nøgler og derefter indrømmede at jo, det kunne det jo godt, men det var jo ulovligt.
http://www.version2.dk/artikel/danid-vi-kan-ikke-overtage-nogens-nemid-o...

Er det ikke et problem med et firma, der sådan negligerer problemet i at sikkerheden afhængig af deres medarbejdere opfører sig ordentligt og derefter viser det sig at det gør de ikke altid?

Jeg er helt på det rene med at der er ret mange ting rundt omkring, der afhænger af at IT systemfolk ikke misbruger den adgang de har. Men lige præcis på det her punkt var det jo ikke nødvendigt.

PS: Ahh... du arbejder for Nets. Ja, så er det jo ikke underligt at du ikke kan se hvori tillidskrisen ligger og synes de er 2 vidt forskellige ting.

Michael Thygesen

@Christian Hemmingsen: Nets == Nem ID == PBS. Kan du få betalingskortdata ud af en medarbejder, så er der ingen grund til at tro at der ikke er blevet solgt data til andre, mindre åbenmundede aftagere.

Det her er kun blevet opdaget pga. en "journalist" og en "dokumentar" og skulle efter sigende have foregået over mindst fire år - tror du selv på at vedkommende Nets medarbejder kun har været til salg overfor Se&Hør?

Anton Lauridsen

Det er jo underordnet hvilken virksomhed du er i. - Der vil altid være brodne kar der misbruger firmadata til egen vinding.

Nettop derfor er den stigende mængde af data der logges og indsamles et stort problem. Jeg er egentlig ikke bange for det de danske myndigher ved, men er noget bekymret over nettop hvad brodne kar i forskellige myndigheder og virksomheder gør med mine data.

Nettop det faktum at det er gået ud over kendisser kan måske få en længe tiltrængt debat igang.

Michael T. Jensen

Det kan være det er en sand historie og nets skal naturligvis checkes i h&r - helst af en ekstern part under domstolenes indflydelse, så de ikke bare frikender sig selv proforma.

Vi skal bare huske, at kilden til historien er en tidligere journalist ved Se&Hør, som nu har en bog han gerne vil sælge, og hvis præmis er at handlen med kreditoplysningerne er foregået...

Lars Lundin

Men her må der kunne være tale om noget politianmeldelse af personen da vi vel har med brud på national sikkerhed at gøre?

Uanset at årsagen kan ligge hos en enkelt medarbejder, så er det i første omgang Nets der er juridisk ansvarlig når data virksomheden håndterer bliver kompromitteret.

Samtlige ansvarlige op til og med den ledelse, der designede systemet sådan at en enkelt person kan misbruge det, skal derfor retsforfølges i lovens fulde udstrækning.

Og så er det en god lejlighed til at nationalisere den del af Nets, der vedrører vital national infrastruktur.

Morten Saxov

Så mangler vi bare at en ansat hos Telia laver et udskrift af de kongeliges CDR :-)

Det er tidligere sket, at en kundeservice medarbejder hos det teleselskab de kongelige var ved på daværende tidspunkt, var inde og kigge opkalds og roaming id på en af kongehusets mobil telefoner. Her lå der dog en alarm (som der ligger på mange "VIP'er"), der gjorde at medarbejderen indenfor 1 døgn blev kaldt til samtale for at høre hvorfor vedkommende havde haft fat i den konto, og da der ikke kom et fyldestgørende svar, blev vedkommende afskediget.

Hvorvidt kongehuset blev kompenceret/informeret ved jeg ikke, men ved det er sket, og ved det, hos det pågældende teleskab triggerede en alarm der blev sendt til sikkerhedsafdelingen, som fulgte op på det indenfor kort tid.

Peter Mogensen

Samtlige ansvarlige op til og med den ledelse, der designede systemet sådan at en enkelt person kan misbruge det, skal derfor retsforfølges i lovens fulde udstrækning.

Efter hvilken lovgivning?

Der er massere af IT-systemet rundt omkring, hvor særligt betroede personer har adgang til en fortrolig data - af den simple grund at de er teknikkere på systemet.
Det er ofte meget meget svært at designe så det undgås.
Bare spørg NSA.

Så at ønske loven skal være indrettet sådan at der ruller hoveder alene fordi noget er designet sådan har nok ikke meget relation til virkeligheden faglige forhold.

Jeg tror også ret mange af version2s læsere arbejder sådan et sted hvor de som teknikere af tekniske grunde har adgang til data de ellers ikke havde nogen grund til at have adgang til.

Men jeg tror også at folk, der arbejder med sådan nogle systemer gør deres yderste for ikke at designe det så der er adgang til mere end højest nødvendig. Nogen gange er det bare ikke muligt at udelukke teknisk. Og mon ikke de her betalingskort data falder i den kategori?

Og der er pointen jo at netop med digital signatur er der overhovedet ikke nogen grund til at det skulle kunne lade sig gøre - overhovedet - for medarbejdere at få adgang til borgernes private nøgler.
Hele ideen i PKI er jo for pokker at det ikke kan lade sig gøre.

Og så er det jo lidt utilgiveligt at man alligevel har designet sig til et system, der tillader det.

Lars Lundin

Der er massere af IT-systemet rundt omkring, hvor særligt betroede personer har adgang til en fortrolig data - af den simple grund at de er teknikkere på systemet.
Det er ofte meget meget svært at designe så det undgås.
Bare spørg NSA.

Det er ikke NSA men VISA der er relevant her: Kryptering med to nøgler, hvor ingen medarbejdere kender begge.

PS. Det er ikke Nets der skal undersøge dette misbrug, men derimod Politiet der skal ransage Nets, og derefter afhøre relevant Nets-personale med en sigtets rettigheder.

Thomas Larsen

Det er tidligere sket, at en kundeservice medarbejder hos det teleselskab de kongelige var ved på daværende tidspunkt, var inde og kigge opkalds og roaming id på en af kongehusets mobil telefoner. Her lå der dog en alarm (som der ligger på mange "VIP'er")


Undskyld mit frisprog men hvad f... er det for noget CRAP! Hvad er meningen med at såkaldte "VIP'er" kan få en alarm og at jeg som almindelig dødelig borger ikke har adgang til nogen særlig beskyttelse? Det kan for f.... da ikke være meningen at vores it-systemer skal indrettes sådan at nogle har særrettigheder mens alle os andre bare kan holde k.... og makke ret. Den tankegang der ligger bag den måde at indrette systemerne på er meget, meget syg.

I stedet skal det være sådan at ALLE forsøg på at læse en kundes fortrolige data skal LOGGES og at oplysninger om hvilke medarbejdere der har tilgået hvilke kunders records skal opbevares i mindst 15 år og at NETS skal være forpligtet til at udlevere disse oplysninger til kunderne på forlangende.

Journalisterne er ved at falde over hinanden i denne sag for at kritisere Aller Press men de har overhovedet ikke stillet et eneste spørgsmål til NETS om de overhovedet er i stand til at opklare hvilken medarbejder der har skaffet sig adgang til de der records, og de spørger ikke om hvor vidt NETS logger alle forsøg på at opnå adgang til kundedata og de spørger ikke om hvilke rettigheder kunderne har til at se hvilke medarbejdere der har forsøgt at læse deres data og de spørger ikke om hvad NETS reelt gør af den slags for at sikre kundernes privatliv.

Vores journalister er i øjeblikket på en lemmingemarch mod Se&Hør og Aller og det er de fordi de blindt kopierer nyhedsskabelonen fra historien om News of the World-hackingskandalen uden at reflektere over at der i den danske sag er TO implicerede parter i modsætning til i UK hvor der kun var én part.

Den anden part er NETS og 100-kroners spørgsmålet er hvad NETS gør for at sikre deres kunder mod at deres data bliver misbrugt af kriminelle.

Morten Saxov

Undskyld mit frisprog men hvad f... er det for noget CRAP! Hvad er meningen med at såkaldte "VIP'er" kan få en alarm og at jeg som almindelig dødelig borger ikke har adgang til nogen særlig beskyttelse? Det kan for f.... da ikke være meningen at vores it-systemer skal indrettes sådan at nogle har særrettigheder mens alle os andre bare kan holde k.... og makke ret. Den tankegang der ligger bag den måde at indrette systemerne på er meget, meget syg.


Der blev logget hver gang en kundeservice medarbejder gik ind på en kundes konto, og logget hvad vedkommende lavede, hvad end det er Hr og Fru Jensen, eller en VIP.
Men hvis man ville betale ekstra, og tilkøbe VIP overvågning, blev der rejst en alarm, når ens konto blev besøgt.

Så forskellen ligger i om KS bliver opdaget inden for en dag, eller i tilfældet af hvor de udspionere på familie, eller er meget inde på en tilfældig alm konto, bliver de først fanget i de alm. noget sjældnere statistiske checks.

Forestil dig at en medarbejder der tager ca. 150 sager i løbet af et døgn, skal til samtale om hver enkelt... Bare fordi der kunne være misbrug af privilerier, mod hr og fru Danmark. Nej vel...

Kenn Nielsen

Forestil dig at en medarbejder der tager ca. 150 sager i løbet af et døgn, skal til samtale om hver enkelt... Bare fordi der kunne være misbrug af privilerier, mod hr og fru Danmark. Nej vel...

Såehh...
Reelt er sikkerheden for Hr. og Fru Danmark ringe, og chancen for at blive overvåget i ubemærkethed større, fordi

  1. De betaler ikke for sikkerheden
  2. Uheldig håndtering af kendis-data vil ryge i pressen med en uheldig omtale for firmaet hvilket vejer tungere end generel sikkerhed for familien Danmark.

K

Thomas Larsen

Der blev logget hver gang en kundeservice medarbejder gik ind på en kundes konto, og logget hvad vedkommende lavede, hvad end det er Hr og Fru Jensen, eller en VIP.
Men hvis man ville betale ekstra, og tilkøbe VIP overvågning, blev der rejst en alarm, når ens konto blev besøgt.


Det lyder godt med logning hver gang. Hvordan kan jeg købe denne VIP-overvågning og hvad koster den?

Jeg har selv været ude for ubehagelig privatlivssnagen for 10 år siden da jeg ringede til et teleselskab og skulle have flyttet mit fastnetnummer. Medarbejderen bemærkede i min opkaldshistorik at jeg havde mange opkald til forskellige mobilnumre lige omkring midnat og kunne ikke dy sig for at bemærke at det var mange nattevenner jeg havde :-S Det var ret ubehageligt at opleve og jeg havde ikke lyst til at eskalere det fordi det jo bare ville øge opmærksomheden omkring disse data hvis ledelsen blev involveret og jeg havde jo ikke noget bevis for at hun havde været inde og kigge - troede jeg.

Forestil dig at en medarbejder der tager ca. 150 sager i løbet af et døgn, skal til samtale om hver enkelt... Bare fordi der kunne være misbrug af privilerier, mod hr og fru Danmark. Nej vel...

Du har fuldstændig misforstået hvordan det skal implementeres. Det skal selvfølgelig implementeres på den måde at Hr og Fru Danmark via selvbetjening kan gå ind og se på hvilke tidspunkter medarbejderne i teleselskabet / NETS osv har læst deres records. Og hvis der optræder nogle tidspunkter som ikke har noget at gøre med en konkret forespørgsel så skal Hr og Fru Danmark selvfølgelig kunne gøre indsigelse på en måde der fører til at den pågældende medarbejder bliver kaldt til en kontrolsamtale.

Peter Mogensen

Det skal selvfølgelig implementeres på den måde at Hr og Fru Danmark via selvbetjening kan gå ind og se på hvilke tidspunkter medarbejderne i teleselskabet / NETS osv har læst deres records.

Det er aldrig nogen dårlig ide at have audit på den slags information.
Men hvis vi nu tager sikkerhedshatten på... hvem skal så lave den implementation du snakker om? Og drifte den? Hvem skal være administrator på de maskiner?
Hvem overvåger de administratorer ? ... og hvem skal være administrator på deres maskiner?

Er det ikke bare skildpadder hele vejen ned?

Thomas Larsen

Men hvis vi nu tager sikkerhedshatten på... hvem skal så lave den implementation du snakker om? Og drifte den? Hvem skal være administrator på de maskiner?
Hvem overvåger de administratorer ? ... og hvem skal være administrator på deres maskiner?


Jeg aner ikke hvad du snakker om. Jeg taler om at en auditlog der allerede genereres skal gøres synlig for brugerne selv så de kan følge med i hvem der har snaget i deres data. Det siger sig selv at ingen skal have adgang til at rette i auditloggen.

Sundhed.dk bruger allerede denne løsning.

Det er i øvrigt tankevækkende at NETS siger "Det er aldrig sket før".

Et par journalistiske spørgsmål til opfølgning på dette udsagn:

1) Hvordan ved NETS at det aldrig er sket før?
2) Hvad gør NETS for at sikre at det aldrig sker igen?
3) Hvornår får kunderne adgang til at se audit-loggen over hvem der har været inde og snage i deres data?

Peter Mogensen
Morten Saxov

Det lyder godt med logning hver gang. Hvordan kan jeg købe denne VIP-overvågning og hvad koster den?


Det ved jeg ikke.
Grunden til min (mindre precise) formuleringer omkring nogle af aspekterne, er at jeg har siddet som udvikler, og derfor er bundet af nogle alm. non-disclosure aftaler.

Men prøv at forspørge ved diverse teleselskaber om du ikke har muligheden for at få en alarm på, min erfaring er at det er muligt, men som så meget andet, er det noget man selv skal efterspørge.

Det var ret ubehageligt at opleve og jeg havde ikke lyst til at eskalere det fordi det jo bare ville øge opmærksomheden omkring disse data hvis ledelsen blev involveret og jeg havde jo ikke noget bevis for at hun havde været inde og kigge - troede jeg.

Jeg kan godt forstille mig at det ikke har været rart, men der hvor jeg har været inde over, ville ledelsen sagtens kunne se hvilken medarbejder der har været inde på din konto. Så ville en sag gå på om medarbejderen mener du har bedt vedkommende fremsøge din opkaldshistorik, eller ej - hvilket du jo nok kunne bekræfte at du ikke havde.

Du har fuldstændig misforstået hvordan det skal implementeres. Det skal selvfølgelig implementeres på den måde at Hr og Fru Danmark via selvbetjening kan gå ind og se på hvilke tidspunkter medarbejderne i teleselskabet / NETS osv har læst deres records. Og hvis der optræder nogle tidspunkter som ikke har noget at gøre med en konkret forespørgsel så skal Hr og Fru Danmark selvfølgelig kunne gøre indsigelse på en måde der fører til at den pågældende medarbejder bliver kaldt til en kontrolsamtale.

Det kræver så igen at den pågældende selv tager en aktiv handling, og kan komme meget sent i forløbet. En automatisk screening kan fange en stor del af misbruget, uden Hr og Fru Jensen behøves at blive informeret.
Men måske, og nu siger jeg måske, fordi jeg ikke kender de juridiske aspekter, kan man faktisk bede sit teleselskab om en kopi af den audit log der ligger på ens konto, og dermed selv gennemgå tilgangen.

Lars Lundin

Kan du anbefale en konkret algoritme der er praktisk anvendelig mens det også (f.eks.) skal være muligt for kunde selv at se f.eks. et konto-udtog?

Hverken VISA som jeg nævnte eller Nets tilbyder så vidt jeg ved kundeselvbetjening.

Men jeg forstår godt hvad du mener.

Du kan bare læse VISA's betingelser for håndtering og processering af kreditkortoplysninger.

Lad mig give et par eksempler:
1) de følsomme data gemmes kun krypteret,
2) en proces, der skal lagre og processere klar-teksten i RAM, skal startes af
to medarbejdere, som hver skal give deres nøglehalvdel ved programstart. Kode som
gpg kan studeres for at se hvordan klarteksten håndteres (styresystemet må f.eks.
ikke kunne lagre klar-teksten i virtuel hukommelse, altså på disken).
Kendskab til kode og databasestrukturer skal naturligvis ikke kunne give adgang
til klar-teksten.
3) passende fysisk adgangskontrol til hardwaren
4) fysiske kontoudtog og lignende skal udskrives på passende vis (herunder på en
printer uden fast lager), som det sker med f.eks. lønsedler og pin-koder.

Peter Mogensen

en proces, der skal lagre og processere klar-teksten i RAM, skal startes af
to medarbejdere, som hver skal give deres nøglehalvdel ved programstart. Kode som
gpg kan studeres for at se hvordan klarteksten håndteres

Well... at håndhæve den form for semantic for program eksekvering også for "root" kræver hardware support. Du kan selvfølgelig designe en maskine med et "Trusted Computing" lignende modul, der ikke bare kræver kode-signatur, men også tilstedeværelsen af >1 cryto-token med en admin signatur før det vil lave en exex().

Så ok... med hardware support kan man lave den slags systemer. De bliver nok meget besværlige at administrere og de bliver særdeles kringlede at få til at snakke sammen med andre systemer (f.eks. din lokale bank) hvis den sikkerhed skal gælde gennem hele systemet.
Det undrer mig ikke hvis det ikke er den slags systemer der kører alt i dag.

Lars Skovlund

Her er et eksempel på den slags hardware: http://www-03.ibm.com/security/cryptocards/pciecc/library.shtml
Og ja, det kan godt blive "kringlet" at få til at lave noget rigtigt, men har man behovet, så har man sædvanligvis også råd til det. IBM sælger også systemer, der kan lægges ovenpå til nøglehåndtering m. dual control som Lundin skitserer.

/Lars (der arbejder for IBM med ovenstående produkter, men udtaler sig privat)

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017