Bristande skyddsåtgärder i Telenors röstbrevlådor

Dnr 21-4941

I februari 2021 upptäcktes 800 intrång i Telenor-abonnenters röstbrevlådor. Genom att utnyttja säkerhetsbrister i företagets röstbrevlådesystem kunde obehöriga personer ta sig in i röstbrevlådorna. Telenor kunde inte utesluta att händelsen hade pågått under en längre tid eller att fler abonnenter har drabbats. Samtliga berörda abonnenter har informerats om händelsen.  

Kapade röstbrevlådor kan användas för att ta över andra människors digitala identiteter, skapa falska konton i kommunikationstjänster eller för att ringa internationella samtal på andras bekostnad. 

Detta är inte första gången säkerhetsbrister i röstbrevlådor utnyttjas. Senast under 2019 skedde upprepade intrång i en operatörs röstbrevlådor, varvid PTS genomförde en tillsyn och det bolaget åtgärdade sina säkerhetsbrister.  

Operatörer är skyldiga att vidta lämpliga åtgärder för att skydda de uppgifter som behandlas, göra riskanalyser och uppdatera dessa när incidenter inträffar. Vidare är operatörerna skyldiga att logga det som sker i de system som behandlar skyddade uppgifter och att ha dokumenterade rutiner för kontroll av loggar. Det är viktigt för att kunna upptäcka i efterhand vad som har hänt.  

PTS granskade Telenors skyddsåtgärder, rutiner för loggning samt följa upp att bolaget genomför riskanalys för röstbrevlådor som uppdateras med anledning av inträffade incidenter. 

För att förhindra obehöriga intrång och underlätta avslöjanden om att intrång i abonnentens röstbrevlådor underrättades Telenor om brister och om att: 

• Införa en automatisk funktion som låser röstbrevlådan efter tre misslyckade inloggningsförsök. 

• Löpande logga och övervaka misslyckade inloggningsförsök i syfte att avslöja och förhindra intrång i röstbrevlådor. 

• Tekniskt övervaka systemen för att tidigt upptäcka avvikande trafikmönster mot röstbrevlådor samt ha en tydlig rutin och organisation för att vidta åtgärder baserat på vad övervakningen visar. 

• I de fall ett abonnemangs röstbrevlåda har en initial lösenkod ska denna vara slumpmässigt genererad för varje enskild röstbrevlåda. Den initiala lösenkoden får inte utgöras av ett standardvärde eller kunna härledas ur annan data, t.ex. abonnentens PUK-kod. 

• Abonnenten eller användaren ska kunna välja att ändra lösenkod till sin röstbrevlåda. 

• Det ska finnas tekniska hinder mot att använda enkla lösenkoder, både initialt och när abonnent eller användare väljer lösenkod själv.  

• Varken tillhandahållare eller abonnent ska kunna välja lösenkoder med för låg säkerhetsnivå. Det gäller åtminstone följande sekvenser: 1234, 9876, 1111, 2222, 3333, 4444, 5555, 6666, 7777, 8888, 9999, 0000 och 1212. 

• Samt att tillämpa GSMA:s riktlinjer för säkerhetsåtgärder i röstbrevlådor, GSMA Voicemail Security Guidelines 

Telenor rättades sig efter underrättelsen och genomförde säkerhetsåtgärderna som PTS underrättat dem om.