Pærelet at sende snyde-sms'er og lave falske opkald: »Dybt problematisk«
Når du modtager en sms fra din partner eller et opkald fra din læge, ja, så kan det være en god idé lige at dobbeltjekke, at det faktisk er den rigtige person, du kommunikerer med.
Der er nemlig flere tjenester på det åbne internet, der gør det legende let at sende sms'er og foretage opkald, så det ser ud som om, de kommer fra et andet afsendernummer, end der reelt er tale om. Teknikken kaldes også spoofing.
»Det er dybt problematisk,« siger Torben Rune, civilingeniør og grundlægger af tele-konsulentvirksomheden Netplan A/S.
Der er som sådan ikke noget nyt i, at det kan lade sig gøre at fuske med eksempelvis sms-beskeder, så PostNord står som afsender, selvom det reelt set er en svindler, der står bag.
Men det er formentligt de færreste, der lige går og tænker over, at nettet byder på særdeles brugervenlige tjenester, der kan få opkald og sms'er til at se ud som om, de kommer fra lægen, chefen eller ministeren.
I udgangspunktet er det relativt let at opdage, at der er tale om et et opkald eller en sms fra et fup-nummer. Det kræver blot, at en bruger fatter mistanke og ringer eller skriver tilbage og tjekker med den retmæssige indehaver af nummeret, at der ikke er tale om svindel.
Men for at folk kan fatte mistanke, så forudsætter det naturligvis, at de i første omgang er opmærksomme på, at der let kan snydes med telefonnumre. Og det mener Torben Rune generelt set ikke er tilfældet.
»Viden om, at sådan noget overhovedet kan lade sig gøre, er ekstrem nyttig, og det burde være kendt af alle,« siger han.
Uløseligt problem
Torben Rune fortæller, at der ikke er nogen let løsning på spoofing af telefonnumre, som han beskriver som en international problemstilling. Og i mangel af en teknisk løsning efterlyser han i stedet end højere grad af kommunikation fra teleselskaberne om problemet.
»Det er næsten et uløseligt problem. Det jeg synes teleselskaberne burde gøre, det er at sige til folk, at du kan under ingen omstændigheder regne med hverken afsender-telefonnummer eller den tekst, der står som afsender,« siger Torben Rune.
Han bemærker, at der også kan være helt legitime forretningsmæssige årsager til at anvende eksempelvis sms-tjenester, så der står et firma-navn som afsender i forbindelse med udsendelse af en besked.
Version2 har identificeret og testet flere online-tjenester, der gør det muligt at spoofe sms'er og og opkald, så de ser ud som om, de kommer fra eksisterende danske numre.
Det koster godt nok penge at bruge tjenesterne, men så fungerer de også som adviseret. Det er i øvrigt muligt at betale prisen for at anvende tjenesterne med bitcoin. Betaling med kryptovalutaen kan gøre det lettere for en svindler at skjule sin identitet.
Det siger teleselskaberne
Version2 har forelagt Torben Runes kritik af manglende kommunikation for de fire danske teleoperatører TDC Group (herunder YouSee), Telenor, 3 og Telia. TDC/Yousee, Telenor og 3 bekræfter, at spoofing af opkald og sms'er er et problem. Telia har - grundet ferie - ikke kunnet nå at undersøge sagen nærmere inden deadline.
»Det er korrekt, at hele branchen oplever dette problem i perioder. Der er en fortsat dialog mellem selskaberne om hvordan det fremadrettet kan håndteres bedst muligt. Det er dog vigtigt at understrege, at teleselskaberne ingen kontrol har med, at nogle vælger at oprette tjenester til spoofing,« lyder det i et skriftligt svar fra pressekontakt hos TDC Group Helle Hvidt Wallentin.
Både 3 og Telenor understreger, at selskaberne har meget få henvendelser fra kunder om spoofing.
»HVIS vi får henvendelser, så har vi en klar proces, hvor vi er behjælpelige med at udrede sagen for kunden, og hvor kunden kvit og frit kan få et nyt nummer med det samme, hvis det ønskes,« skriver pressekontakt hos 3 Hanne Damgaard i en mail.
Hos Telenor fortæller pressechef Anne Faigh Rydell - ligeledes via mail - at virksomheden har haft enkelte sager i forhold til spoofing.
»Skulle dette vise sig at blive et problem for flere af vores kunder, vil vi se på om vi skal informere vores kunder yderligere om denne problematik, da vi naturligvis er interesseret i at vores kunder ved hvad de skal være ekstra opmærksomme på.«
En lang liste
Listen over mulige misbrugs-scenarier ved spoofing af telefonnumre virker nærmest uendelig lang.
På redaktionen har det i hvert fald ikke skortet på idéer til, hvordan spoofing af folks numre ved både tale og sms vil kunne misbruges.
For ikke at bidrage til, at de forkerte får for gode idéer, nøjes vi her med at nævne nogle oplagte eksempler, som svindlere stort set allerede benytter sig af.
CEO-Fraud: Svindelformen, hvor en tidspresset regnskabsmedarbejder får en besked, der ser ud til at komme fra chefen, om straks at overføre et større beløb til en eller anden konto i udlandet.
Denne form for svindel kan foregå via mail. Alt efter hvor sikkert den pågældende virksomhed har opsat mailsystemet, kan det være forholdsvis let at opdage, at noget lusk er på færde, og at mailen faktisk ikke reelt kommer fra chefen men fra en svindler.
Hvis en svindler i stedet sender en sms, der ser ud til at komme fra chefens mobilnummer, til førnævnte regnskabsmedarbejder, så vil sms'en i udgangspunktet glide ubesværet ind i en eventuel eksisterende sms-tråd, der måtte være mellem chefen og pågældende medarbejder. Det vil selvsagt øge troværdigheden nærmest uendeligt sammenlignet med en mail sendt fra en 'næsten korrekt' mail-adresse.
Derudover kan svindleren jo, hvis han eller hun går rundt med en lille skuespiller i maven, eventuelt følge sms'en op med et opkald til regnskabsmedarbejderen. Opkaldet ser naturligvis også ud til at komme fra chefens mobiltelefon.
'Der er en pakke til dig': Et kendt svindelnummer er en sms, der ser ud til at komme fra eksempelvis PostNord om, at der er en pakke klar til afhentning.
Brugeren bliver i den forbindelse lige bedt om at klikke på et link. Ved denne form for svindel, så skriver afsenderen eksempelvis PostNord (i stedet for et telefonnummer). Og hvis tidligere, legitime beskeder, er sendt fra samme afsendernavn, så ryger svindelbeskeden, der måske indeholder et ondsindet link, ofte direkte ind i tråden med de legitime beskeder.
Resultatet er - ligesom med sms'en med CEO-fraud - at svindelbeskeden nu lukrerer på den troværdighed, der måtte være forbundet med den ellers legitime beskedtråd.
Opkald fra kundesupport: Betalingskortoplysninger, kodeord og brugernavn er formentlig lidt lettere at lokke ud af intetanende ofre, når det fremgår af telefonens display, at et opkald ser ud til at stamme fra en kendt virksomhed.
Hvad det angår, så har flere telefoner en indbygget funktion, der automatisk søger på nummeret, så det tilhørende virksomhedsnavn bliver vist.
Vi har forsøgt at få en kommentar fra både Center for Cybersikkerhed og Rigspolitiet i forhold til spoofing-problematikken, og at det åbenbart ikke er muligt at stole på de telefonnumre, der knytter sig til sms’er og opkald.
Det er dog ikke lykkedes at få svar fra de to organisationer inden deadline. Vi vender tilbage, såfremt der er relevant nyt at fortælle i den forbindelse.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
