Telian liittymästä löytyi haavoittuvuus – puhelinnumeron pystyi kaappaamaan henkilötunnuksella

rac

Julkaistu:

Tietoturva
Telia siirtyi löydöksen jälkeen vahvaan tunnistautumiseen netistä ostettavien liittymien suhteen. Puhelimitse asioidessa tunnistautuminen on silti yhä heikompaa.
Yllä olevalla videolla näytetään, miten puhelinnumeron kaappaminen onnistui ennen kuin Telia muutti turvatoimiaan.

Teleoperaattori Telian Suomessa myytävästä Dot-liittymästä on löytynyt haavoittuvuus, joka on pahimmillaan mahdollistanut puhelinnumeron kaappaamisen toiselle käyttäjälle. F-Securen vanhemman johtavan tutkijan Jarno Niemelän havaintojen mukaan simswapiksi kutsuttu ilmiö on ollut toteutettavissa ainakin rajallisessa määrin Telian Dot-liittymillä.

Viime syksynä kauppoihin tullut, laskutukseltaan pelkkiin käyttömääriin perustuva Dot on siitä poikkeuksellinen liittymä, että sen hankkiminen ei edellytä käyntiä teleoperaattorin palvelupisteessä.

Liittymän voi tilata lataamalla kännykkäsovelluksen, johon naputellaan Dot-liittymäksi muutettava puhelinnumero, liittymän omistajan henkilö- ja yhteystiedot, maksukortin tiedot sekä katuosoite, johon uusi Dot-liittymän sim-kortti lähetetään.

Liittymän kaappaajan on tiedettävä kaapattavan numeron lisäksi sen omistajan henkilötunnus. Niemelän havainnon mukaan uuden sim-kortin voi kuitenkin tilata osoitteeseen, jolla ei ole mitään tekemistä liittymän vanhan omistajan kanssa.

Telia: Väärinkäytöksiä ei ole tapahtunut

Niemelän ilmoitettua havainnosta Telialle liittymän tilaamiseen liittyviä tarkastuksia tiukennettiin. Niemelän ja Ilta-Sanomien yrittäessä toistaa numeron haltuunottoa IS:n toimittajalta Niemelälle temppu ei enää onnistunut.

– Tästä eteenpäin jos halutaan siirtää numero Dot-liittymäksi tai halutaan avata täysin uusi liittymä, jokaiselta asiakkaalta vaaditaan vahva tunnistautuminen joko pankkitunnuksilla tai mobiilivarmenteella, sanoo Dot-liittymistä Telialla vastaava Jan Brandtberg.

Telian tuote- ja palvelujohtaja Tommi Säilä kertoo, ettei operaattorilla ole tiedossa väärinkäytöksiä Dot-liittymän osalta.

Mikäli liittymää olisi yritetty vaihtaa operaattorien välillä, olisi Niemelä saanut todennäköisesti tekstiviestin siirrettävään puhelinnumeroon. Syynä on rescueksi kutsuttu toiminto, jolla teleoperaattorit ottavat yhteyttä kilpailijalle siirtyviin asiakkaisiinsa. Kun liittymää vaihdetaan operaattorin sisällä, ovat tarkistukset paljon satunnaisempia.

Vaikka Telia on tiukentanut tarkistuksia liittymien sähköisessä ostamisessa, puhelimitse asiakaspalveluun soitettaessa vahvaa tunnistautumista ei käytetä. Silloin riittävät henkilötiedot ja henkilötunnus.

 

Se on alalla sovittu hyväksi havaittu käytäntö, jota käytetään myös muilla operaattoreilla.

– Siinä käydään läpi asiakkaan nimi, koko henkilötunnus ja osoitetiedot. Ne toimivat numeronsiirron taustalla, että se voidaan käynnistää. Se on alalla sovittu hyväksi havaittu käytäntö, jota käytetään myös muilla operaattoreilla, sanoo Säilä.

Telian mukaan näissä tapauksissa on mahdollisuus tehdä erilaisia tarkistuksia, jos se tilanteessa tarpeelliseksi nähdään. Tässä käytetään muun muassa väestörekisterikeskuksen tietokantaa.

Telian mukaan Dot-liittymä on otettu hyvin vastaan, ja sen käyttäjät ovat tyytyväisiä. Operaattori ei kuitenkaan paljasta liittymätyypin myyntimääriä.

Simswapilla voi tehdä paljon haittaa

Puhelinnumeron kaappaaminen mahdollistaa pelkän kiusanteon lisäksi myös suuremmat rötökset ja murrot. Kaapattua puhelinnumeroa voidaan käyttää kaksivaiheisen tunnistautumisen kiertämiseen. Tällä tarkoitetaan sisäänkirjautumisen vahvistamista salasanan ohella erillisellä vahvistuskoodilla – joka usein lähetetään tekstiviestitse.

Niemelän mukaan simswapilla on tehty maailmalla niin tietomurtoja kuin kryptovaluuttavarkauksia. Sitä on käytetty myös perinteisten pankkitilien tyhjentämiseen.

Suomessa simswapeja on nähty hyvin vähän. Tämä johtuu siitä, että asiakas on käynyt tunnistautumassa henkilöllisyystodistuksen kanssa teleoperaattorin myyntipisteessä.

– Se on ollut tehokas suojakeino, Niemelä sanoo.

Niemelän mukaan kaksivaiheista tunnistautumista tekstiviesteillä käyttävien ihmisten olisi perusteltua hankkia tätä tarkoitusta varten erillinen puhelinliittymä, jonka numero on salainen.

Telian Brandtbergin mukaan simswap-tapauksia tulee vastaan ”hyvin harvoin”.

– Emme ole vielä tunnistaneet tätä minkäänlaiseksi haasteeksi, Brandtberg sanoo.

Kommentit

    Näytä lisää
    Kommentointi on päättynyt