Ekki lengur hægt að treysta island.is í blindni

Þetta kemur fram í tilkynningu frá lögreglunni á höfuðborgarsvæðinu.

Einn hefur verið handtekinn vegna málsins en hann er grunaður um að hafa selt hundruðum ólögráða ungmenna fölsuð skilríki. Það var gert með þeim hætti að ungmennin keyptu aðgengi að vef eða að snjallsímaforriti fyrir Apple iPhone.

„Sambærilegt mál hefur áður komið upp hjá lögreglu en nú hefur bæst við sala á snjallsímaforriti sem virðist vera island.is en er ekki hið eiginlega island.is. Þá var einnig til sölu vara, svokölluð VPN-stilling (e. VPN profile) sem heitir ,,Island Surge VPN“ sem gerir það að verkum að kennitölu notandans er breytt á island.is og í netbönkum. Á farsímum þeirra sem sett hafa upp þessa VPN-stillingu, fer öll netumferð úr símanum í gegnum vefþjóna þess sem seldi þjónustuna,“ segir í tilkynningunni.

Mörg hundruð ungmenni eigi hlut að máli

Lögreglan segir rannsóknargögn benda til þess að mörg hundruð ungmenni eigi hlut að máli. Mælist lögreglan því til þess að foreldrar eigi samtal við börn sín um netöryggi. Það sé alvarlegt mál að framvísa fölsuðum skilríkjum og ítrekar lögreglan að það falli undir ákvæði hegningarlaga um skjalafals.

Lögreglan segir ekki hægt að treysta island.is í blindni.

„Þá vill lögregla beina því til allra söluaðila ávanabindandi efna, hvort heldur sem er áfengis eða nikótíns, bæði í verslunum og á vínveitingastöðum, að sú leið að skoða eingöngu island.is vafrasíðu eða island.is snjallsímaforrit sé ekki örugg til þess að staðfesta kennitölu þar sem ekki er ljóst hvort um falsaða útgáfu forritsins sé að ræða eða ekki.“

Lögreglan beinir því til viðkomandi aðila að óska eftir staðfestingu á aldri með framvísun hefðbundinna persónuskilríkja. Lögreglan á þá við nafnskírteinis, ökuskírteinis eða vegabréfs.

„Til þess að VPN-stillingin virki og breyti kennitölu barnsins lætur stillingin símann treysta öryggisskírteini frá söluaðila þjónustunnar og beinir þannig netumferð símans í gegnum sína eigin netþjóna. Þar er umferðin stöðvuð, opnuð, lesin og í framhaldinu er henni breytt áður en hún er send til baka í símann aftur. Segja má að það sé ekki lengur víst hver það er sem heldur á lyklinum að hengilásnum í vafranum,“ segir í tilkynningunni.

Ungmenni greiði fyrir þjónustuna á netinu

Lögreglan líkir venjulegri netumferð við bréf í innsigluðu umslagi. Aðeins síminn og umrædd vefsíða geti opnað það.

Með þessum VPN-stillingum hafi síminn fengið fyrirmæli um að samþykkja líka innsigli frá ókunnugum aðila. Sá aðili geti tekið umslagið, opnað það, lesið bréfið, breytt því og innsiglað það aftur. Síminn sýnir áfram hengilásinn eins og ekkert hafi í skorist.

Það sem rannsókn lögreglu hafi leitt í ljós:

• VPN-stillingin (e. VPN profile) er sett upp í einu lagi og inniheldur bæði VPN-tengingu og öryggisskírteini sem nefnist „Surge CA“. Notandinn þarf sjálfur að virkja traust á skírteininu í stillingum símans.

• Til að kaupa þjónustuna þurftu ungmennin að slá inn rétta kennitölu sína og greiða á netinu í gegnum greiðslumiðlunina Stripe. Rekstraraðilinn hefur því undir höndum raunverulega kennitölu barnsins, fullt nafn, netfang og í nokkrum tilfellum ljósmynd og þann aldur sem það valdi að sýna.

• Tilgangur þjónustunnar er að breyta upplýsingum sem birtast á island.is og í netbönkum. Stjórnandi þjónustunnar breytir því kennitölu sem birtist í netbankanum og á island.is.

Töluverð áhætta sem fylgi tækninni

Lögreglan segir jafnframt áhættu fylgja þessu fyrirkomulagi og tekur fram að ef umrætt kerfi er sett upp í tæki sé meðal annars hægt að lesa umferðina, breyta henni og þá er kennitala viðkomandi skráð í kerfinu.

Gögn notanda eru einnig farin úr landi. Persónuupplýsingar barnsins fara þá út fyrir Ísland og yfirráð evrópska efnahagssvæðisins. 

„Umfangið má víkka hvenær sem er, án vitneskju notandans. Síminn treystir skírteininu gagnvart öllum vefsíðum, ekki aðeins island.is og bönkunum. Rekstraraðilinn gæti byrjað að skoða umferð tengda tölvupósti, samfélagsmiðlum eða öðrum skilaboðum og síminn sýndi áfram að tengingin væri örugg.“