Ísland.is-svindlið bjóði hættunni heim

Þetta segir Arnar S. Gunnarsson, öryggisstjóri hjá upplýsingatæknifyrirtækinu OK, í samtali við fréttastofu. 

Einn handtekinn í umfangsmikilli rannsókn lögreglu

Hann segir þetta í kjölfar þess að lögreglan á höfuðborgarsvæðinu varaði foreldra og forráðamenn barna og ungmenna við VPN-stillingu sem gerir óviðkomandi kleift að lesa og breyta netumferð þeirra. 

Yfir 300 ungmenni nota tæknina en lögreglan rannsakar nú sölu á fölsuðum rafrænum skilríkjum. Einn hefur verið handtekinn vegna málsins. 

„Nú hefur bæst við sala á snjallsímaforriti sem virðist vera island.is en er ekki hið eiginlega island.is. Þá var einnig til sölu vara, svokölluð VPN-stilling (e. VPN profile) sem heitir ,,Island Surge VPN“ sem gerir það að verkum að kennitölu notandans er breytt á island.is og í netbönkum,“ sagði í tilkynningu lögreglu en því fylgir að ekki sé hægt að treysta island.is í blindni.

Lögreglan beinir því til söluaðila ávanabindandi efna að sú leið að skoða einungis island.is sé ekki örugg til að staðfesta kennitölu viðkomandi. 

island.is sé aldrei hannað fyrir það

Arnar tekur fram að það hafi lengi legið fyrir að island.is sé ekki fullkomið til notkunar við að sannreyna eitt né neitt.

„Þetta eru svona Mínar síður fyrir okkur sem þegnar hér. Sem slíkt er það mjög fínt. Núna erum við farin að nota gögn á island.is til að sanna fyrir einhverjum hver við erum. Þar kemur allt önnur áhætta inn í. Ef þú ert með eitthvað skjal eða plagg sem er inni á island.is sem þú átt síðan að nota í símanum þínum til að sanna deili á þér, það virkar ekki í praktískri raun og island.is er aldrei hannað undir það.“

Hann segir alfarið vanta auðkenningu þriðja aðila á það sem má sjá á island.is.

„Það sem vantar í rauninni er að aðilar sem að taka á móti svona rafrænum gögnum. Þeim vantar eitthvað forrit sjálfum til að skanna það sem við sýnum þeim til að geta sannreynt það sem við sýnum þeim,“ segir hann og nefnir sem dæmi dyraverði á börum, afgreiðslufólk í búðum og jafnvel lögregluþjóna.

„Stundum er bara nóg að sýna ökuskírteini til að sýna hver þú ert og því er ekki flett nánar upp. Þessa aðila vantar einhverja leið sín megin til að sannreyna það sem þú ert að sýna í raun.“

Hann segir island.is vera þjónustu við þegnana sem nýta það en ekki við þriðja aðila sem þarf að skoða gögnin þar inni.

„Þessir tveir veikleikar lenda þarna saman þar sem krakkar eru að kaupa eitthvað til að fá fölsuð nafnskírteini eða eitthvað svona og lenda í því að mögulega er búið að stela gögnunum þeirra, sem er náttúrulega ömurlegt.“

Þjónustuaðilarnir hleri bókstaflega allt

Arnar segir í áhættuna vera tvöfalda og mun meiri en hún virðist vera í umfjöllun um þetta tiltekna mál. Hann segir áhættuna vera í kringum umræddar VPN-þjónustur. Í grunninn séu slíkar þjónustur mjög fínar. Ýmsir noti þjónustuna til dæmis til að komast inn á innra netið hjá fyrirtækjum þegar þeir eru fjartengdir. 

„En eins og þarna, það er í rauninni misnotkunin þarna, er að breyta og breyta tengingunni. Þar kem ég inn á hvers vegna vandamálið er stærra. Allir aðrir en þessir krakkar sem eru að ná sér í fría VPN-þjónustu til að komast fram hjá læsingum, til dæmis til að horfa á enska boltann. Þarna er áhættan jafn mikil. Veikleikinn snýst ekki um símann þinn, þetta snýst bara um hvað þú ert að setja upp. Með þessum VPN-þjónustum þá ertu í rauninni að senda alla traffíkina frá símanum þínum í gegnum annan millipunkt sem þú ert tengdur í gegnum.“

Arnar segir að þá fari öll gögn og allar upplýsingar sem þú skoðar eða færð í tækið þitt á meðan þú ert tengdur við VPN-tenginguna til þess þriðja aðila sem rekur þjónustuna. 

„Og þá eru þeir að hlera allt sem þú ert að gera og ég er ekki að grínast þegar ég segi allt.“

Hann ítrekar þó að hægt sé að treysta ýmsum VPN-þjónustum en þær þjónustur kosta þá í notkun. Þær koma frá aðilum sem er hægt að treysta.

„Þarna komum við inn á gömlu góðu regluna sem er að ef eitthvað er frítt þá ert þú líklega sjálfur varan. Þannig þeir eru í rauninni að gagnasafna öllu því sem þú ert að gera. Þegar þú ert að pípa samskiptunum þínum í gegnum einn svona punkt þá getur hann í rauninni lesið allt sem þú ert að gera. Það skiptir engu máli hvort það séu dulkóðuð samskipti. Þarna er einhver aðili sem er mögulega kominn með lykilorðið þitt, hvað þú ert að gera, hvernig fjárhagurinn þinn lítur út. Það veltur bara á því hvað fór í gegnum símann þinn þegar þú varst VPN-tengdur.“

Hann hvetur því fólk til að vera meðvitað um hvaða þjónustu það velur ef það ætlar að nýta VPN-þjónustu á annað borð.

Hætturnar leynast víða

Hann kveðst hafa kenningar um hvernig tækni sé að ræða sem ungmenni hafa verið að nýta til að svindla á island.is.

„Mér dettur sterklega í hug, án þess að vita nokkuð um rannsókn lögreglu, að þetta sé einhver aðili sem bjó til forrit sem gerir þessa breytingu. Hann valdi örugglega bara einhvern frían VPN-aðila sem að hann sendir forritið sitt í gegnum. Þetta gætu mögulega verið tvö aðskilin mál. Aðili hérna heima sem að selur krökkum aðgang að þessu til að falsa og síðan notar sá aðili einhvern frían VPN-aðila sem safnar gögnunum í staðinn og er að selja þau áfram,“ segir hann og bendir á að gögnin geti þá verið komin út fyrir Evrópska efnahagssvæðið og út fyrir persónuverndarlöggjöf.

Hann segir áhættuna einnig geta verið falda að einhverju leyti í forritum sem við hlöðum niður án þess að átta okkur á því að notast er við VPN-þjónustu.

„Við gleymum oft þegar við erum að setja upp forrit í símann okkar að þá kemur listi sem segir okkur hvað forritið getur gert ef þú setur það inn. Í rauninni gætirðu verið að ná í bara veðurforrit en í smáa letrinu stendur að það megi VPN-tengjast,“ segir hann og það sé því mikilvægt að kynna sér hvað maður veitir forritum leyfi til að gera.