Hvordan er spoofing mulig?

Hvordan er spoofing mulig? Slik forfalskes numre

Mange opplever svindel med falske telefonnumre på mobilen. Mobilnettverk sjekker ofte ikke om anrops-ID-en faktisk stemmer med avsenderen. Forståelse av hvordan er spoofing mulig bidrar til å beskytte sensitiv informasjon. Lær de tekniske årsakene bak falske anrop for å unngå økonomisk tap.

Hvordan er spoofing mulig på norske telefonlinjer?

For å utføre spoofing på telefon bruker svindlerne en programvare som maskerer det originale nummeret de ringer fra. Samtalen kan se ut som at den kommer fra et vanlig norsk nummer, noe som ofte vekker mer umiddelbar tillit enn ukjente utenlandske numre. Spørsmålet om hvordan er spoofing mulig teknisk lar seg gjøre, kan imidlertid knyttes til flere ulike sårbarheter i det globale telekommunikasjonsnettverket.

Svindlere som praktiserer spoofing bruker både eksisterende og helt tilfeldige, falske telefonnumre for å lure sine ofre. Jeg husker godt første gangen jeg begynte å analysere nettverkssikkerhet i telesektoren og innså hvor gammeldags grunnmuren i telefonsystemene faktisk er. Den gangen ble jeg sjokkert over mangelen på kryptering og verifisering. Den underliggende protokollen som styrer felles signalering - ofte kalt SS7 - ble utviklet i en tid da bare store, statlige teleoperatører hadde tilgang til telenettet. Den har ingen innebygd mekanisme for å bekrefte at avsenderen faktisk eier nummeret som sendes med anropet. Teknologien stoler blindt på signalet den mottar.

Hva er spoofing og teknologien bak nummermaskering?

Kjernen i problemet ligger i overgangen fra tradisjonelle analoge telefonlinjer til moderne bredbåndstelefoni, populært kalt Voice over IP (VoIP). Med denne teknologien sendes talesignaler som datapakker over internett i stedet for gjennom fysiske kobberkabler. Svindlere kan sitte hvor som helst i verden - for eksempel på et leid callsenter i utlandet - og bruke spesialbygd programvare til å modifisere datafeltene i de utgående IP-pakkene. En av disse datapakkene inneholder et spesifikt felt kalt Caller ID, som bestemmer hvilket nummer som skal vises på mottakerens skjerm.

Sjeldent har jeg opplevd en teknologi der misbruket er så enkelt å automatisere for ondsinnede aktører. Gjennem digitale grensesnitt kan kriminelle programmere roboter til å ringe ut tusenvis av samtaler i minuttet. Programvaren lar dem taste inn nøyaktig hvilket åttesifret nummer de vil at mottakeren skal se på displayet sitt. Når anropet sendes inn i det globale telenettet, blir det falske nummeret liggende øverst som en maske, mens det virkelige, utenlandske kilde-nummeret viskes ut. Mottakerens telefon har ingen mulighet til å se hva som skjuler seg bak masken, og presenterer bare det falske norske nummeret.

Hvordan fungerer telefonnummer maskering i praksis?

Når svindlere ringer fra utlandet med forfalskede identiteter, utnytter de internasjonale avtaler om trafikkutveksling. Telenettet fungerer som en stafett der anropet sendes fra operatør til operatør helt til det når den norske mottakerens teleselskap. Det norske teleselskapet er i utgangspunktet forpliktet til å levere samtalen videre til kunden sin. Siden telenettet historisk sett ble bygget på gjensidig tillit mellom aktørene, har det vært svært vanskelig å stoppe disse anropene ved landegrensen.

Heldigvis har norske myndigheter og teleoperatører de siste årene rullet ut avanserte sikkerhetsfiltre. Disse filtrene fungerer som en digital grensestasjon for mobiltrafikk. Når et anrop med et norsk nummer kommer inn fra utlandet, gjør systemet et lynraskt oppslag for å sjekke om det aktuelle nummeret faktisk er aktivt på reise i utlandet. Hvis nummerets virkelige eier befinner seg trygt hjemme i Norge, skjønner filteret med en gang at anropet fra utlandet er forfalsket. Systemet blokkerer da samtalen automatisk før telefonen din i det hele tatt rekker å ringe.

Norske teleselskaper har rapportert at deres filtre blokkerer rundt 45 prosent av alle innkommende samtaler fra utlandet som utgir seg for å ha et norsk mobilnummer. Men her er tingen - svindlerne gir seg ikke så lett. Når beskyttelsen på mobilnettet blir for tøff, flytter de kriminelle virksomheten over til andre sårbare punkter, som for eksempel norske fastnettnumre eller numre fra våre naboland. Det er en evig katt-og-mus-lek der sikkerhetssystemene hele tiden må oppdateres for å tette nye smutthull.

Svindel med falske telefonnumre og konsekvensene

Konsekvensene av denne teknologiske sårbarheten er alvorlige for det norske samfunnet. Svindlere ringer ikke lenger bare tilfeldig, men utfører svært målrettede angrep der de utgir seg for å være fra politiet, kjente banker eller offentlige etater. Siden displayet viser et gjenkjennelig nummer, senker offeret guarden og oppgir sensitiv informasjon som BankID-koder, passord eller personopplysninger.

I løpet av de siste to årene har det nasjonale samarbeidet mot telefonsvindel stanset over 100 millioner svindelforsøk med norske telefonnumre. Likevel slipper enkelte sofistikerte samtaler gjennom barrierene.

Et nylig rettsoppgjør i Norge avslørte et kriminelt nettverk som klarte å gjennomføre rundt 90.000 anrop til norske borgere i løpet av en tolvmånedersperiode. Ved å forfalske numre og utgi seg for å være fra autoriteter, klarte de å lure over 150 eldre mennesker for til sammen 28 millioner kroner. Dette viser tydelig at spoofing ikke bare er en teknisk finurlighet - det er et verktøy for organisert, profesjonell kriminalitet som rammer hardt.

Hvordan unngå spoofing og beskytte seg i hverdagen?

For vanlige mobilbrukere kan det føles skummelt at man ikke lenger kan stole på hvem som ringer. Men i realiteten er det flere enkle forholdsregler du kan ta for å hvordan unngå spoofing og bli lurt, selv om telefonen din viser et trygt og velkjent norsk navn eller nummer.

Du bør huske på følgende grunnregler når du mottar uventede oppringninger: Aldri oppgi BankID-detaljer: Verken banken, politiet eller teleselskapet vil noen gang ringe deg for å be om passord, PIN-koder eller BankID-verifisering. Ikke stol blindt på displayet: Hvis en person som påstår han ringer fra banken ber deg overføre penger for å sikre kontoen din, må du legge på umiddelbart. Ring tilbake på offisielle numre: Hvis du er usikker på om en oppringning fra en etat eller bedrift er ekte, legg på og finn det offisielle nummeret på nettsidene deres for å ringe dem opp igjen.

I min tid som rådgiver har jeg sett altfor mange som har tapt store summer fordi de ble overrumplet over telefonen. Min egen onkel holdt på å gå i fellen da han fikk en telefon fra det som så ut som hans lokale politistasjon. Stemmen i andre enden var stressende og påsto at identiteten hans var misbrukt i en pågående straffesak.

Heldigvis reagerte han på at de ba om kontoopplysninger, la på og ringte det offisielle sentralbordet i stedet. Det reddet ham. Å ta en pust i bakken og verifisere informasjonen på egen hånd er den absolutte beste beskyttelsen vi har.

Slik skiller ulike typer spoofing-metoder seg fra hverandre

Kriminelle bruker ulike kanaler og teknikker for å forfalske identiteten sin overfor norske forbrukere.

Telefonspoofing

- Moderat - teleselskapenes internasjonale filtre stopper nå store volum

- Etablere umiddelbar muntlig tillit for å hente ut BankID eller overføre penger

- Endrer Caller ID-feltet i utgående IP-talepakker via VoIP-programvare

SMS-spoofing

- Høy - krever avansert mønstergjenkjenning og filtrering av tekstinnhold

- Få mottakeren til å trykke på skadelige lenker for phishing eller virus

- Forfalsker avsenderteksten slik at meldingen legger seg i eksisterende samtaletråder

Håvards møte med falske bankoppringninger i Oslo

Håvard, en trettiåring i Oslo som jobber med logistikk, opplevde en ettermiddag at telefonen ringte med navnet til sin faste norske bank på skjermen. Han svarte raskt i tro om at det gjaldt boliglånet.

Personen i andre enden snakket flytende norsk og hevdet at noen prøvde å tømme kontoen hans. Håvard fikk panikk og prøvde umiddelbart å logge inn på nettbanken, men systemet føltes tregt.

Svindleren ba ham oppgi engangskoder for å stoppe overføringen, men Håvard stusset over at rådgiveren virket veldig aggressiv på at alt måtte skje i løpet av sekunder. Han skjønte at ekte bankansatte aldri ber om koder.

Han la kontant på, sjekket kontoen via den offisielle appen og så at alt var i orden. Dette lærte ham at uansett hvor ekte navnet på skjermen ser ut, må man aldri la seg stresse til å oppgi sikkerhetsdetaljer.