Sambærilegt mál hefur áður komið upp hjá lögreglu en nú hefur bæst við sala á snjallsímaforriti sem virðist vera island.is en er ekki hið eiginlega island.is. Þá var einnig til sölu vara, svokölluð VPN stilling (e. VPN profile) sem heitir ,,Island Surge VPN“ sem gerir það að verkum að kennitölu notandans er breytt á island.is og í netbönkum. Á farsímum þess sem sett hafa upp þessa VPN stillingu, fer öll netumferð úr símanum í gegnum vefþjóna þess sem seldi þjónustuna.

Þar sem rannsóknargögn benda til þess að mörg hundruð ungmenni eigi hlut að máli mælist lögregla til þess að foreldrar/forráðamenn eigi samtal við börn sín um netöryggi sem og alvarleika þess að framvísa fölsuðum skilríkjum en slíkt fellur undir ákvæði hegningarlaga um skjalafals.

Þá vill lögregla beina því til allra söluaðila ávanabindandi efna, hvort heldur sem er áfengis eða nikótíns, bæði í verslunum og vínveitingastöðum, að sú leið að skoða eingöngu island.is vafrasíðu eða island.is snjallsímaforrit sé ekki örugg til þess að staðfesta kennitölu þar sem ekki er ljóst hvort um falsaða útgáfu forritsins sé að ræða eða ekki. Nauðsynlegt er að óska eftir staðfestingu á aldri viðkomandi með framvísun gildra, hefðbundinna persónuskilríkja, s.s. nafnskírteinis, ökuskírteinis eða vegabréfs.

Hvað þýðir þetta á mannamáli?Til þess að VPN stillingin virki og breyti kennitölu barnsins lætur stillingin símann treysta öryggisskírteini frá söluaðila þjónustunnar og beinir þannig netumferð símans í gegnum sína eigin netþjóna. Þar er umferðin stöðvuð, opnuð, lesin og í framhaldinu er henni breytt áður en hún er send til baka í símann aftur. Segja má að það sé ekki lengur víst hver það er sem heldur á lyklinum að hengilásnum í vafranum.Venjulega er netumferð eins og bréf í innsigluðu umslagi. Aðeins síminn og vefsíðan, til dæmis island.is eða bankinn, geta opnað það. Hengilásinn í vafranum staðfestir að innsiglið sé óbrotið.Með þessum VPN stillingum hefur síminn fengið fyrirmæli um að samþykkja líka innsigli frá ókunnugum aðila. Sá aðili getur tekið umslagið, opnað það, lesið bréfið, breytt því og innsiglað það aftur. Síminn sýnir áfram hengilásinn eins og ekkert hafi í skorist.Þetta jafngildir því að afhenda ókunnugum aukalykil að pósthólfi notandans, með leyfi til að lesa og breyta öllu sem þar fer um. Á ensku kallast þetta „man-in-the-middle“, eða milligönguárás.

Hvað hefur rannsókn lögreglu leitt í ljós?• VPN stillingin (e. VPN profile) er sett upp í einu lagi og inniheldur bæði VPN-tengingu og öryggisskírteini sem nefnist „Surge CA“. Notandinn þarf sjálfur að virkja traust á skírteininu í stillingum símans.• Tilgangur þjónustunnar er að breyta upplýsingum sem birtast á island.is og í netbönkum. Stjórnandi þjónustunnar breytir því kennitölu sem birtist í netbankanum og á island.is.• Til að kaupa þjónustuna þurftu ungmennin að slá inn rétta kennitölu sína og greiða á netinu í gegnum greiðslumiðlunina Stripe. Rekstraraðilinn hefur því undir höndum raunverulega kennitölu barnsins, fullt nafn, netfang og í nokkrum tilfellum ljósmynd og þann aldur sem það valdi að sýna.

Hvaða áhættu tekur sá sem setur kerfið upp í símann sinn?• Hægt er að lesa umferðina. Umferð til island.is og bankanna er sýnileg hjá stjórnanda þjónustunnar. Þar á meðal eru upplýsingar sem fara á milli eftir innskráningu, svo sem persónuupplýsingar og bankaupplýsingar.• Hægt er að breyta umferðinni. Þjónustan byggir á því að breyta svörum vefsíðna. Stjórnandinn hefur sýnt að hann getur breytt því sem notandinn sér, ekki aðeins lesið það.• Umfangið má víkka hvenær sem er, án vitneskju notandans. Síminn treystir skírteininu gagnvart öllum vefsíðum, ekki aðeins island.is og bönkunum. Rekstraraðilinn gæti byrjað að skoða umferð tengda tölvupósti, samfélagsmiðlum eða annarra skilaboða og síminn sýndi áfram að tengingin væri örugg.• Öll netumferð fer um kerfi stjórnanda þjónustunnar. Jafnvel þar sem innihaldið er ekki opnað getur hann séð hvaða vefsíður og forrit kaupandi þjónustunnar notar.• Raunveruleg kennitala notandans er skráð. Stjórnandi þjónustunnar veit hver stendur á bak við „falska“ aldurinn.• Gögn eru farin úr landi. Persónuupplýsingar barnsins eru nú utan Íslands og EES.

Hvað geta foreldrar/forráðamenn gert?1. Athugið hvort VPN stillingin (e. VPN profile) sé uppsett.Á iPhone eða iPad: Settings → General → VPN & Device Management. Leitið að stillingu sem heitir „Island Surge VPN“.2. Athugið hvort skírteinið sé uppsett á símanum.Settings → General → About → Certificate Trust Settings. Ef skírteini sem hafa nafnið „Surge Generated CA“ er þar og kveikt á því er VPN stillingin virk.3. Fjarlægið stillinguna.Í VPN & Device Management: Veljið stillinguna og síðan Remove Profile. Þá hverfur skírteinið og VPN-tengingin líka.4. Breytið aðgangsorðum að netbanka og fylgist með bankareikningum sem notaðir voru á meðan VPN stillingin var virk og tilkynnið allt sem er óvenjulegt til ykkar viðskiptabanka. Hafið samband við ykkar viðskiptabanka ef grunur vaknar um misnotkun.5. Lögregla mun bjóða upp á að aðstoða foreldra/forráðamenn við að taka stillinguna út á morgun, fimmtudaginn 15. október, á milli kl. 11 og 12 á lögreglustöðinni við Hverfisgötu 113 (inngangur nær Snorrabraut).