Svíkja milljónir af granda­lausum Ís­lendingum í nafni Auð­kennis

Síðustu helgi bar töluvert á svikatilraunum þar sem send voru skilaboð til fólks frá svikasíðum sem þóttust vera Auðkenni. Þetta kemur fram í svörum frá Íslandsbanka og Landsbankanum við fyrirspurn fréttastofu.

Í slíkum tilvikum fær fólk SMS-skilaboð frá síðu sem þykist vera Auðkenni, og biður fólk um að skrá sig inn. Síðurnar eru gervi, en bera heiti sem eru keimlík audkenni.is, eins og audkenni.com, audkenn.is, og þar fram eftir götunum. Á bak við gervisíðurnar eru svo þrjótar sem fá fólk til að gefa upp rafrænu skilríkin sín.

Fólk hvatt til að umgangast rafræn skilríki með varúð

Í svari Landsbankans við fyrirspurn fréttastofu segir að um helgina hafi töluvert borið á svikatilraunum, og að nokkrir viðskiptavinir bankans hafi fallið fyrir svikunum. Í sumum tilfellum hafi tekist að endurheimta peningana að hluta eða að öllu leyti, en í öðrum tilfellum ekki. 

Bankinn hvetur fólk til að umgangast rafrænu skilríkin sín með varúð og samþykkja aldrei innskráningu eða annað slíkt nema að vel athuguðu máli.

Svikin betur útfærð en áður

Guðmundur Arnar Sigmundsson, sviðsstjóri hjá netöryggissveit CERT-IS, segir að svona árásir komi alltaf í lotum, en undanfarin ár hafi gríðarlegur vöxtur verið í þeim efnum. Hann segir að í ársskýrslu fyrirtækisins frá árinu 2023, hafi verið fjallað um þessa miklu aukningu. Mörg dæmi séu um það að Íslendingar tapi mörgum milljónum.

„Svindl eru í hraðri þróun og verða þau vandaðri með hverju árinu sem líður. Svindlin eru betur útfærð en áður og það er greinilegt að sum þeirra sem standa á bak við svindlherferðir gegn Íslendingum hafa kynnt sér aðstæður hér vel. Notkun rafrænna skilríkja var ný tegund svindla þar sem bragðvísi (e. social engineering) var beitt til að fá einstaklinga til að samþykkja trúanlega rafræna auðkenningu,“ segir í skýrslunni.

Nú stendur Auðkenni, fyrirtækið á bak við rafræn skilríki, fyrir herferð undir heitinu „ekki láta rafræna þig!“ Á heimasíðu þeirra má finna leiðbeiningar um það hvernig beri að varast netsvindl.

Vísir hefur áður fjallað um mál þar sem rafræn skilríki eldra fólks voru misnotuð, og tugir milljóna millifærðir af reikningum þeirra.

Nígeríski prinsinn á útleið

Guðmundur hjá CERT-IS segir að árásirnar séu að verða miklu hnitmiðaðari en áður, að glæpamenn reyni að „ná þér persónulega.“ Þetta sé oft gert með því að hakka sig fyrst inn á samfélagsmiðla fólks. Í framhaldinu sendi glæpamennirnir skilaboð til vina og vandamanna í nafni stolna aðgangsins, og fái frá þeim viðkvæmar upplýsingar. Þannig fái þau fólk til að að samþykkja rafræna auðkenningu í eigin síma.

Guðmundur segir mannlegt eðli vera þannig að það sé auðvelt að falla fyrir svindli ef það er að koma frá aðila sem maður treystir. „Þannig að ef þú færð skilaboð á Instagram eða Feisbúkk frá einhverjum sem maður þekkir, sem biður mann um að gera eitthvað, þá er maður líklegri til að fylgja því eitthvað eftir, heldur en ef þú fengir einn tölvupóst til dæmis frá einhverjum prins í Nígeríu eins og var í gamla daga,“ segir Guðmundur.

Mismunandi útfærslur öryggisráðstafana

Fréttastofu hefur borist ábendingar frá fólki sem telur öryggisráðstafanir í kringum notkun rafrænna skilríkja ekki á pari við það sem þekkist annars staðar, til dæmis á Norðurlöndunum, þar sem rafræn skilríki eru í appinu BANK ID. Guðmundur segist ekki hafa verið í beinni ráðgjöf til Auðkennis varðandi öryggishögun þeirra kerfa.

„Ég þekki muninn á eins og til dæmis BANK ID og þeirri aðferð sem Auðkenni valdi á sínum tíma. Auðkenni er að koma með þetta app núna, meira og meira í innleiðingu. Eldri leiðin að taka þetta svona í gegnum sim-kortið er kannski á útleið,“ segir Guðmundur.

„Geo-location“ staðsetningarbúnaður auðkenningartækisins gæti mögulega aukið vernd

Hann segir að vörumerkið Auðkenni sé í þessum tilfellum fórnarlamb. Þrjótar kaupi lén sem er keimlíkt audkenni.is, og blekki þannig fólk. Það sé ekki við Auðkenni að sakast.

„Ég veit að Auðkenni eru alltaf með hugann við það hvernig þeir geta bætt öryggið sitt varðandi Auðkenni. Þeir hafa verið að reyna vekja notandann til vakningar um það hvort að það sem hann sér á skjánum sé í takt við það sem hann sér í símanum,“ segir Guðmundur.

Auðkenni geti þó örugglega teygt sig lengra og fylgt fordæmi okkar helstu nágrannaþjóða, til dæmis með svona geo-location búnaði. Með slíkum búnaði sé staðsetning búnaðarins og auðkenningartækisins skoðaður, og ekki hægt að staðfesta auðkenninguna nema tækin séu á sama stað. Svoleiðis búnaður eigi að minnka líkurnar á því að erlendir netglæpamenn geti blekkt fólk í öðru landi til að samþykkja auðkenninguna.

„En þetta eru allt aðferðir sem virka til að auka vernd, en þetta eru líka aðferðir sem eru þekktar af netglæpamönnum, og það er alveg hægt að falsa þær líka. Auðkenni hefur mína samúð, að þurfa tækla þetta,“ segir Guðmundur. Það sé alltaf þetta jafnvægi sem þurfi að finna, því meira sem öryggiskröfur eru hertar, því minna þjált verður að nota lausnina.

Öryggismál alltaf erfið

Haraldur Bjarnason, framkvæmdastjóri Auðkennis, segir að netöryggismál séu alltaf erfið og margþætt. Hann ítrekar það að það sé ekki verið að stela skilríkjum fólks, heldur sé fólk gabbað til að gefa upplýsingarnar sjálft upp.

Margar mismunandi leiðir séu til að gæta öryggis við auðkenningu, og í Norðurlöndunum sé þetta mismunandi hvernig farið er að þessu. Svo sé einnig misjafnt hvernig bankar haga sínum málum og hvernig heimasíður þeirra eru settar upp. 

„En það er alveg ljóst að það eru fleiri leiðir, eins og til dæmis með Auðkennisappið versus rafræn skilríki á farsíma. Í auðkennisappinu þá erum við að bjóða upp á leið þar sem við sýnum kóða, og notandinn þarf að velja einn af þremur,“ þetta sé ákveðin vörn.

Þjónustuveitandinn ákveði svo hvort hann nýti sér þetta. „Þeir sem eru að veita þjónustuna, þeir nýta vörurnar mismunandi,“ segir Haraldur. Hann segir að sífellt sé verið að vinna í því að minnka líkur á að netsvindl geti gerst. Svo sé alltaf þessi spurning um öryggi á móti þægindum.

Hann segir að það megi skoða það að taka yfir svona gervilén eins og audkenni.com, en málið sé bara að þau eru svo svakalega mörg sem þyrftu að komast yfir. Það væri eilífðarbarátta.

„Við reynum auðvitað að hafa tæknina alltaf eins góða og mögulegt er, og svo er bara hitt að við séum að upplýsa og fræða. Biðla til fólks um að það sé á tánum. Það er auðvitað hrikalegt að lenda í þessu, það er verið að herja á fólk,“ segir Haraldur.