Sårbarhet avdekket: Telia og Ice kunne misbrukes i spoofingforsøk

Digitaliseringsminister Karianne Tung står med mobilen i hånda. Telefonen hennes er i hvilemodus.

Så ringer det i en annen mobiltelefon – fra hennes telefonnummer.

– Der ringer du.

– Det gjør jeg jo ikke, sier Tung.

NRK har akkurat demonstrert hvordan man kan tjuvlåne andres telefonnummer.

Metoden kalles spoofing og blir brukt av kriminelle til å gjøre svindelforsøk mer troverdige. Slik kan de få det til å se ut som de ringer fra banken din, politiet, eller Skatteetaten.

– Hadde det skjedd med meg og det var en KI-stemme av dattera mi eller andre familiemedlemmer, så hadde det vært veldig vanskelig å oppdage. Det er derfor vi er nødt til å ha så sikre systemer som mulig, sier Tung.

To teleselskaper kunne misbrukes

NRKs undersøkelser viser at to norske teleselskaper, Telia og Ice, hadde en sårbarhet som gjorde nummertyveriet mulig.

Slik kunne man ringe med andres telefonnummer til alle de store teleselskapene i Norge.

Ice og Telia bekrefter at sårbarheten nå er lukket. Begge selskapene forteller at de ikke har grunn til å tro at kriminelle har misbrukt akkurat denne sårbarheten.

Sikkerhetsforsker Harrison Sand i Mnemonic hjalp NRK med å teste sårbarheten.

– Når du vet hvor du skal lete, så var det en relativt enkel feil å misbruke, sier Sand.

Han mener det nå også har blitt langt enklere for utenforstående å undersøke telesystemene på grunn av KI-verktøy. Disse verktøyene kan tolke og forklare IT-systemer man ikke kjenner til.

– Det har i tillegg blitt vanlig for kriminelle å selge spoofing-tjenester. De som misbruker telesystemet trenger derfor ikke å forstå dette på et teknisk nivå.

Var fikset i 2024

I desember 2024 gikk Nasjonal kommunikasjonsmyndighet (Nkom) ut med beskjeden om at alle norske teleselskaper hadde systemer på plass for å blokkere spoofingforsøk fra egne nummer.

Nå skulle det innføres et «svindelskjold» for telefonanrop som kom fra utlandet.

Sikkerhetssjef Erik Haugland i Ice forteller at sårbarheten antageligvis ble introdusert i desember ved skifte av en leverandør.

– Vi vet at ved forrige leverandør så var dette ikke en mulighet, sier Haugland.

Han er takknemlig for at NRK fortalte dem om sårbarheten og forteller at dette er noe de burde ha oppdaget selv.

– Vi har nulltoleranse når det gjelder det å la andre manipulere telefonnumre. Det er jo noe vi ikke ønsker i det hele tatt.

Det tok noen timer å finne en løsning som utbedret sårbarheten, oppgir Haugland.

– Det har jeg ikke tenkt å gå inn på

For Telias del er dette er den femte offentlig kjente sikkerhetshendelsen i år.

• I februar publiserte en hackergruppe store mengder data fra selskapet, blant annet detaljerte ringelogger for enkelte kunder.
• Telia-kunder kunne spores ved et å gjøre et mobilanrop, avdekket NRK.
• Telia-kunder med Pixel-telefon hadde problemer med å ringe nødetatene, skrev Digi.
• Det var mulig å tjuvlåne andres telefonnummer via deres bedriftsløsning, ifølge Digi.

Administrerende direktør Bjørn Ivar Moen i Telia stilte til intervju om den siste hendelsen.

– Hvorfor har det vært mulig å tjuvlåne andre telefonnumre som Telia-kunde?

– Vi har hatt en sårbarhet som har gjort at du under visse tekniske forutsetninger har kunnet late som at den telefonen du ringer med, ringer fra et annet nummer. Den sårbarheten er nå lukket.

– Hva gjør dere videre med dette nå?

– Nå er jo sårbarheten lukket.

– Hva var det som skulle til for å fikse denne sårbarheten?

– Det blir teknisk å gå inn på, så det har jeg ikke tenkt å gå inn på.

– Kan du si noe om hvor lenge sårbarheten har vært der?

– Av sikkerhetsmessige årsaker så blir det feil å gå inn på det.

Telia opplyser at de ikke var klar over feilen før de ble kontaktet av NRK. Like etter intervjuet, sendte Telia ut en pressemelding som kunne gi inntrykk av de hadde oppdaget det siste sikkerhetshullet selv.

Mener Nkom kunne vært strengere

Digitaliseringsministeren vil nå be Nasjonal kommunikasjonsmyndighets (Nkom) ekspertgruppe mot digital svindel å bruke dette som utgangspunkt for å se etter nye tiltak.

Sikkerhetsekspert Per Thorsheim har i en årrekke interessert seg for sikkerheten hos teleselskapene. Han mener Nkom tettere kunne ha fulgt opp teleselskapene.

– Nkom fremstår som tannløse. Det virker ikke som de stiller krav eller proaktivt følger opp teleoperatørene. De har en holdning om at bransjen må regulere seg selv fordi de vet best. Det åpner for at teleselskapene slipper unna med å gjøre et minimum, sier Thorsheim.

Nkom, Telia, og Ice kjenner seg ikke igjen i beskrivelsen av at sikkerhet ikke blir prioritert.

– Det er en kritikk vi ikke helt forstår. For Norge er blant de land i verden som har kommet lengst på dette feltet. Og flere land ser jo til Norge for å lære, sier Johannes Myhre Vallesverd i Nkom.

Vallesverd leder ekspertgruppen med medlemmer fra teleselskapene og offentlig sektor.

Varsler mer tilsyn

Vallesverd opplyser til NRK at de vil følge opp denne konkrete saken langs to spor. En er samarbeidssporet gjennom ekspertgruppen, den andre er gjennom deres tilsynsarbeid.

Nkom har allerede åpnet en tilsynssak mot Telia etter at NRK dokumenterte at det var mulig å spore deres kunder ved å gjøre et mobilanrop. Nå opplyser Vallesverd at de vil utvide dette tilsynet.

– For Ice vil vi varsle tilsyn knyttet til denne konkrete saken. Samarbeid og tilsyn er noen av verktøyene Nkom jevnlig bruker for å sikre befolkningen gode og trygge ekomtjenester, sier Vallesverd.