Lögreglan á höfuðborgarsvæðinu varar foreldra og forráðamenn við alvarlegri öryggisáhættu vegna falsaðra rafrænna skilríkja sem seld hafa verið hundruðum ungmenna. Yfir 300 ungmenni hafa notað sérstaka VPN-stillingu sem gerir þeim kleift að breyta kennitölu sinni á Ísland.is og í netbönkum, en um leið fær sá sem rekur þjónustuna möguleika á að lesa og breyta viðkvæmum upplýsingum sem fara um síma þeirra. Einn maður hefur verið handtekinn vegna málsins og er grunaður um að hafa selt ólögráða ungmennum fölsuð skilríki.
Lögreglan hefur málið til rannsóknar og bendir á að ungmennin hafi keypt aðgang að vefsíðu eða sérstöku snjallsímaforriti fyrir iPhone sem líkir eftir opinberu Ísland.is-forriti. Einnig var seld sérstök VPN-stilling undir heitinu „Island Surge VPN“, sem gerir notendum kleift að sýna aðra kennitölu en sína eigin þegar þeir opna tilteknar vefsíður.
Sambærilegt mál hefur áður komið upp hjá lögreglu, en nú hefur bæst við sérstakt snjallsímaforrit og tæknileg lausn sem felur í sér mun víðtækari aðgang að netumferð notenda.
Getur lesið og breytt upplýsingum úr netbönkum
Samkvæmt upplýsingum lögreglu virkar þjónustan þannig að notandinn setur upp VPN-stillingu í símanum sínum ásamt sérstöku öryggisskírteini. Við það er netumferð símans beint í gegnum netþjóna þess sem selur þjónustuna, í stað þess að samskiptin fari með hefðbundnum hætti milli símans og viðkomandi vefsíðu.
Stillingin gerir stjórnanda þjónustunnar kleift að opna og lesa dulkóðuð samskipti við vefsíður á borð við Ísland.is og netbanka. Hann getur jafnframt breytt upplýsingunum áður en þær birtast notandanum, til dæmis þannig að kennitala og aldur virðist annar en raunverulega er skráður.
Þetta þýðir að upplýsingar sem birtast á skjá símans þurfa ekki að vera þær sömu og opinbera vefsíðan eða bankinn sendi frá sér.
Lögreglan bendir á að stjórnandi þjónustunnar hafi þegar sýnt fram á að hann geti breytt þeim upplýsingum sem notandinn sér. Það sýni að aðgangur hans takmarkist ekki við að fylgjast með netumferð heldur geti hann einnig haft áhrif á innihald hennar.
Síminn getur sýnt örugga tengingu þótt ókunnugur lesi samskiptin
Lögreglan útskýrir að við venjulegar aðstæður séu samskipti milli snjallsíma og vefsíðu dulkóðuð þannig að óviðkomandi geti ekki lesið upplýsingarnar. Hengilásinn sem birtist í vafranum gefur til kynna að tengingin sé varin með öryggisskírteini.
Með uppsetningu Island Surge VPN er símanum hins vegar gert að treysta öryggisskírteini frá þeim sem rekur þjónustuna. Þar með getur hann komið sér fyrir á milli símans og vefsíðunnar, opnað samskiptin, lesið upplýsingarnar og breytt þeim áður en þær berast til notandans.
Þetta er þekkt sem milligönguárás, eða „man-in-the-middle“ á ensku.
Lögreglan líkir þessu við að afhenda ókunnugum aðila aukalykil að pósthólfi sínu. Sá sem hefur lykilinn getur opnað bréf, lesið innihald þeirra og jafnvel breytt því áður en þau berast viðtakandanum.
Sérstaklega varhugavert er að síminn getur áfram sýnt að tengingin sé örugg, þótt óviðkomandi aðili hafi í raun fengið aðgang að samskiptunum.
Aðgangurinn getur náð til tölvupósts og samfélagsmiðla
Öryggisáhættan takmarkast ekki við Ísland.is og netbanka. Samkvæmt upplýsingum lögreglu er öryggisskírteinið sem fylgir VPN-stillingunni ekki bundið við tilteknar vefsíður heldur getur síminn treyst því í samskiptum við aðrar vefsíður.
Það þýðir að stjórnandi þjónustunnar gæti síðar ákveðið að skoða eða breyta samskiptum við tölvupóstþjónustur, samfélagsmiðla eða aðra netþjónustu án þess að notandinn gerði sér grein fyrir breytingunni.
Jafnvel þegar innihald samskiptanna er ekki opnað getur stjórnandinn séð hvaða vefsíður og forrit eru notuð, þar sem öll netumferð símans fer í gegnum kerfi hans.
Lögreglan varar því við að ungmenni sem hafa sett upp þjónustuna hafi ekki aðeins keypt sér leið til að framvísa fölskum skilríkjum heldur jafnframt veitt ókunnum aðila víðtækan aðgang að netnotkun sinni.
Seljandinn hefur raunverulegar kennitölur og persónuupplýsingar barnanna
Rannsókn lögreglu hefur einnig leitt í ljós að ungmennin þurftu að skrá raunverulega kennitölu sína þegar þau keyptu þjónustuna. Greiðslurnar fóru fram í gegnum greiðslumiðlunina Stripe og voru upplýsingar um kaupendurna skráðar í tengslum við viðskiptin.
Samkvæmt rannsóknargögnum hefur sá sem rak þjónustuna því undir höndum raunverulegar kennitölur, full nöfn og netföng ungmennanna. Í nokkrum tilvikum hefur hann einnig fengið ljósmyndir af kaupendunum og upplýsingar um þann aldur sem þeir vildu láta birtast í fölsuðu skilríkjunum.
Lögreglan bendir jafnframt á að persónuupplýsingar barnanna hafi verið fluttar út fyrir Ísland og Evrópska efnahagssvæðið.
Þetta eykur áhyggjur af því hvernig upplýsingarnar kunna að verða notaðar og hvort þær geti síðar verið misnotaðar.
Verslanir og veitingastaðir varaðir við fölsuðu Ísland.is-forriti
Lögreglan beinir sérstökum tilmælum til verslana, vínveitingastaða og annarra fyrirtækja sem selja áfengi eða nikótínvörur um að treysta ekki eingöngu á rafræn skilríki sem viðskiptavinir sýna í símanum sínum.
Ástæðan er sú að fölsuð útgáfa Ísland.is-forritsins getur litið út eins og hið raunverulega forrit og því getur verið erfitt fyrir starfsfólk að átta sig á því hvort upplýsingarnar séu réttar.
Sama á við þegar viðskiptavinur opnar Ísland.is í vafra símans, þar sem VPN-stillingin getur breytt þeim upplýsingum sem birtast á skjánum.
Lögreglan telur því nauðsynlegt að söluaðilar óski eftir hefðbundnum og gildum persónuskilríkjum, svo sem nafnskírteini, ökuskírteini eða vegabréfi, þegar staðfesta þarf aldur viðskiptavina.
Jafnframt minnir lögreglan á að framvísun falsaðra skilríkja getur varðað við ákvæði almennra hegningarlaga um skjalafals.
Foreldrar hvattir til að skoða síma barna sinna
Vegna umfangs málsins hvetur lögreglan foreldra og forráðamenn til að ræða við börn sín um netöryggi og þá áhættu sem fylgir því að setja upp óþekktar VPN-stillingar og öryggisskírteini.
Sérstaklega er mikilvægt að kanna hvort stilling sem heitir „Island Surge VPN“ hafi verið sett upp á iPhone eða iPad.
Það er gert með því að opna stillingar tækisins og velja:
Settings → General → VPN & Device Management
Þar þarf að athuga hvort Island Surge VPN sé á listanum yfir uppsettar stillingar.
Einnig er hægt að kanna hvort öryggisskírteini þjónustunnar hafi verið virkjað með því að fara í:
Settings → General → About → Certificate Trust Settings
Ef þar er að finna skírteini sem heitir „Surge Generated CA“ og traust á því er virkt bendir það til þess að síminn hafi verið stilltur til að samþykkja samskipti í gegnum kerfi þjónustunnar.
Mikilvægt að fjarlægja stillinguna og breyta aðgangsorðum
Lögreglan ráðleggur þeim sem finna Island Surge VPN í símanum sínum að fjarlægja stillinguna. Það er gert í VPN & Device Management með því að velja viðkomandi stillingu og síðan „Remove Profile“.
Við það á bæði VPN-tengingin og öryggisskírteinið að hverfa úr símanum.
Foreldrar eru jafnframt hvattir til að breyta aðgangsorðum að netbönkum sem notaðir hafa verið á meðan stillingin var virk og fylgjast vel með færslum á bankareikningum.
Ef grunur vaknar um að upplýsingar hafi verið misnotaðar eða óvenjulegar færslur koma fram á bankareikningum er mikilvægt að hafa tafarlaust samband við viðskiptabankann.
Lögreglan býður foreldrum aðstoð á Hverfisgötu
Lögreglan á höfuðborgarsvæðinu hefur ákveðið að bjóða foreldrum og forráðamönnum aðstoð við að fjarlægja hættulegu stillinguna úr símum barna sinna.
Aðstoðin verður í boði á morgun, fimmtudaginn 15. október, milli klukkan 11 og 12 á lögreglustöðinni við Hverfisgötu í Reykjavík. Gengið er inn um innganginn sem er nær Snorrabraut.
Lögreglan leggur áherslu á að foreldrar taki málið alvarlega, enda benda rannsóknargögn til þess að mörg hundruð ungmenni hafi keypt þjónustuna og þannig hugsanlega veitt ókunnum aðila aðgang að viðkvæmum persónuupplýsingum sínum.
Rannsókn málsins stendur enn yfir og hefur einn maður verið handtekinn vegna gruns um sölu fölsuðu skilríkjanna.