Refser Telenor for dårlig sikkerhet: – Det må være flaut

Sikkerhetsekspert Per Thorsheim har sjekket over tusen domener som brukes av ulike norske advokatselskaper.

Funnene får ham til å reagere på sikkerhetsnivået i Telenors e-posttjeneste Online.no, som en del advokater også benytter.

I et åpent brev til Telenor på Linkedin kommer han med kritikk.

Thorsheim påpeker at den norske betalingstjenesten kommer dårligere ut enn internasjonale gratistjenester som Gmail og Hotmail.

Knusende dom

Eksperten har brukt den nederlandske testportalen Internet.nl for å validere domenene.

Ifølge Thorsheim viser resultatene at Telenors løsning ikke tilfredsstiller minimumskrav.

Han trekker frem kontrasten til Telenors uttalte ambisjon om å være «hele Norges sikkerhetsnett».

Thorsheim mener den populære e-posttjenesten er det stikk motsatte. Han kaller det rett og slett «et sikkerhetshull».

At Telenor har innført en minstepris på 69 kroner måneden for en tjeneste som var gratis fram til 2023, hjelper også lite på kritikken. Tjenesten driftes i dag av den eksterne aktøren Megamailservers.

Thorsheim stiller seg uforstående til at en betalt tjeneste leverer svakere sikkerhet enn gratisalternativer.

Han viser til at mange andre scorer full pott på de samme testene. Det beviser at det er fullt mulig å sikre e-posttjenester godt nok, mener eksperten.

Nå etterlyser han svar.

– Må være flaut

Thorsheim spør om Telenor faktisk følger opp sin underleverandør. Han mener telekomgiganten sitter på fremragende kompetanse internt, men at denne ikke brukes til å sikre produktet de selger til norske forbrukere.

– Jeg kan ikke tro annet enn at det for enkelte ansatte i Telenor må være flaut å se hvor dårlig sikkerhet e-postplattformen på Online.no nå har, sier Thorsheim til Digi.

Han viser til at en rekke standarder – som DNSSEC, SPF, DKIM og DMARC – må på plass for å oppnå full score i tester som Internet.nl. I tillegg kommer anbefalinger fra Digitaliseringsdirektoratet (Digdir) og Nasjonal sikkerhetsmyndighet (NSM).

– Kanskje er det naivt av meg å tro at Telenor ville ønske å etterleve disse, men jeg ser det som helt naturlig. Det gjør mange i advokatstanden nå, men at de skulle lede an i dette, så jeg faktisk ikke komme, avslutter han.

I dialog om nye tiltak

Digi har forelagt kritikken for Telenor. Wiweke Reymert, leder for sikkerhet i privatmarkedet, svarer på vegne av selskapet.

– Vi jobber kontinuerlig med å forbedre sikkerheten i tjenesten og har det siste året gjennomført flere oppgraderinger samt styrket sikkerheten rundt innlogging, sier Reymert.

Hun viser blant annet til at de har innført en tofaktor-løsning og BankID for å trygge innloggingen. Når det gjelder prisen, forklarer sikkerhetssjefen at denne gjenspeiler ambisjonen om å levere en så god tjeneste som mulig – med norsk kundeservice.

Samtidig erkjenner Reymert at det er rom for forbedring:

– Vi er ydmyke på at vi kan heve sikkerheten, og vi er i pågående dialog med vår leverandør om nye tiltak. De forhold som er nevnt i testen, er blant dem vi ser på, avslutter hun.