Över 7 miljoner kunde få sin röstbrevlåda avlyssnad

(Artikeln har uppdaterats)

Upp till 7,5 miljoner mobilkunder i Sverige, Norge och Danmark har påverkats av en sårbarhet som gör att deras röstbrevlåda till mobilen enkelt har kunnat hackas. Det visar en granskning som Ny Teknik gjort tillsammans med säkerhetsexperten Per Thorsheim och danska Version2 och norska Digi.no.

I Sverige har sårbarheten gällt mobiloperatören Tele2, medan det i Danmark rör sig om Telia och i Norge om Telenor och ett flertal virtuella operatörer som hyr in sig på Telenors nät.

I Norge har Telenors två miljoner kunder varit sårbara för dessa så kallade spoofingattacker. Exakt hur länge sårbarheten har funnits är okänt. Men de första uppmärksammade fallen internationellt finns 13 år tillbaka i tiden. De avslöjades i samband med att tv-kändisen Paris Hilton anklagades för att ha hackat kollegan Lindsay Lohans mobilsvar genom att fejka sitt mobilnummer.

Efter att sårbarheten uppdagades nu i Norge har den norska tillsynsmyndigheten Nkom valt att inleda en granskning av norska teleoperatörer.

– Den 18 november inledde vi en tillsyn för att undersöka om den här sårbarheten finns i det norska mobilnätet, säger Svein Sundfør Scheie som är säkerhetschef på Nkom till Digi.no.

Ingen tillsyn i Sverige – ännu

Telia Danmark säger till Version2 att sårbarheten troligen uppstod när de bytte system för röstbrevlådan i mars. Även här har en tillsyn inletts hos landets Näringsdepartement, och Danmarks it-säkerhetscenter CFCS undersöker händelsen.

– Vi tackar Version2 för informationen och kan upplysa att det är något vi kommer att undersöka närmare för att se vad vi som it-säkerhetsmyndighet kan göra, säger Thomas Lund Sørensen som är chef för CFCS till Version2.

Svenska Tele2 meddelar på onsdagseftermiddagen att man inte har för avsikt att göra en anmälan om den upptäckta sårbarheten till ansvarig tillsynsmyndighet Post- och telestyrelsen, PTS. ”Vi ser att det funnits en sårbarhet, men vi har inga konstaterade fall av intrång och därmed ingen skyldighet att rapportera detta till PTS” skriver Tele2 i ett mejl till Ny Teknik.

PTS säger till Ny Teknik att enligt de uppgifter de har fått hittills bedömer de inte att det är en rapporteringspliktig incident, men undersöker om det ändå kan finnas skäl till att starta en utredning.

– Vi överväger om vi ska inleda en tillsyn, för det kan vi göra självständigt. Men det är en fråga om prioritering av resurser, säger PTS presstalesperson Petter Öhrn till Ny Teknik.

Än så länge finns inga kända fall där hackare ska ha utnyttjat sårbarheten för att lyssna av röstmeddelanden. Tele2 säger till Ny Teknik att de har undersökt om något intrång har sett, men eftersom bolagets loggfiler för vem som haft åtkomst till röstbrevlådan bara sträcker sig 30 dagar bakåt i tiden kan eventuella äldre intrång inte längre upptäckas. Beskedet på onsdagseftermiddagen är att inga intrång har upptäckts.