Telenor har aldri stanset så mange svindelanrop som i august

Da Telenor satte i drift sitt nye spoofing-filter i januar i år, eksploderte tallet på svindelanrop som ble blokkert eller sladdet før de nådde Telenors kunder.

Grafene i Telenors Digital sikkerhetsrapport reiser seg som et fjell, og viser at antall anrop steg fra drøyt 150.000 til mer enn 875.000 fra januar til februar. Deretter sank tallet jevnt og trutt til drøyt 200.000 utover våren og forsommeren, før de gikk opp igjen til en drøy halvmillion i juli, og mer enn doblet seg, til 1.331.249 blokkerte eller sladdede anrop i august. Det er det største antall svindelanrop Telenor har stanset på en måned noen gang.

Telenors sikkerhetseksperter mener tallene viser at filteret fungerer.

– At tallene sank i løpet av våren, etter at vi tok filteret i bruk, tror vi rett og slett skyldes at svindlerne merket at færre responderte på oppringingene, og flyttet aktiviteten til andre markeder, og så har de kommet tilbake i løpet av sommeren, og prøver seg med litt andre metoder, sier Thorbjørn Busch, senior sikkerhetsrådgiver i Telenor Norge.

Fra sperreliste til lokasjonsfilter

Thomas Kopperud, også sikkerhetsrådgiver, med spesielt ansvar for Telenors arbeid mot telefonsvindel, forklarer at telefonsvindlerne hele tiden endrer metoder for å unnslippe tiltakene teleselskapene setter i verk for å stanse dem.

De første spoofingangrepene brukte samme nummer i dager og uker, slik at de som eide de spoofede numrene kunne bli ringt opp av hundrevis av mennesker som var blitt utsatt for et svindelforsøk, der et norsk telefonnummer skulle gjøre svindelen mer troverdig.

Telenor opprettet da en sperreliste over norske numre som ble misbrukt til spoofing, slik at anrop fra utlandet kunne blokkeres når de norske numrene ble brukt som visningsnummer. Dette fungerte godt en stund, selv om bieffekten var at nummereierne risikerte at deres egne samtaler ble blokkert hvis de selv ringte med mobilen fra utlandet.

– Noen har spoofing som jobb

Svindlernes svar på sperrelisten har blant annet vært å bruke hvert nummer bare noen få ganger, slik at Telenor ikke rakk å få nummeret inn på sperrelista før de hadde tatt i bruk et nytt.

– Dette er automatiserte anrop, og vi går ut fra at de har programvare som kan ta for seg en nummerserie, og ringe opp alle numrene fortløpende. Vi ser at numrene som brukes, gjerne starter med de fire samme sifrene, forklarer Kopperud.

– Sannsynligvis er det en en profesjonalisert virksomhet, der noen har dette som jobb, legger Thorbjørn Busch til. – Vi ser ofte at oppringingene kommer i en slags kontortid, for eksempel mellom klokka syv og 16.

I 2019 begynte Telenor å utvikle et filter som er mer avansert enn den gamle sperrelista. Det sjekker om nummeret som kommer opp på telefonen det ringes til, befinner seg i Norge eller ikke. Dersom telefonen befinner seg i Norge, og samtalen kommer fra utlandet, blir anropet blokkert eller sladdet.

Utnyttet feil i filteret

I og med at Telenor i kampen mot svindelanrop risikerer å blokkere legale anrop, er sladding blitt et større virkemiddel.

Sladdingen innebærer at nummeret ikke synes på telefonen til den som ringes opp, i stedet står det «Ukjent nummer», «Skjult nummer» eller «Privat nummer» på displayet. Det gjøres for å stanse såkalt wangiri-svindel. Wangiri er et japansk ord, som betyr ett ring, og metoden går ut på å la det ringe én gang, slik at ingen rekker å ta telefonen. Meningen er da at den oppringte skal ringe tilbake, til et høytakst-nummer som svindleren får en andel av inntektene fra. Når nummeret sladdes av Telenor, er det ikke mulig å ringe tilbake.

Det nye spoofingfilteret er utviklet av Telenor selv, og var klart til bruk i januar 2021. Og det hadde altså umiddelbar effekt. Sommerens nye bølge av spoofing-svindel, skyldes til dels at en feil i filteret gjorde at anrop fra 918-nummerserien i en kort periode ikke ble fanget opp. Når slike hull oppstår fanges det raskt opp, og spoofing-aktiviteten fra nummerserien skjøt umiddelbart i været.

Svindlerne har fått så god respons at de har fortsatt å bruke nummerserien også etter at feilen i filteret ble rettet opp, forteller Thorbjørn Busch.

– Telenors abonnenter kan oppleve at deres nummer blir spoofet, ettersom anrop fra utlandet bare stoppes hvis de skal til kunder i Telenors nett. Samtaler som skal til for eksempel Telia-kunder, stanses ikke av vårt filter, sier han.

– Blir nok aldri slutt på svindelen

Kopperud forteller at de nå har skrudd på flere parametre i filteret - hvilke vil han ikke si - og at den store toppen i anrop filteret har fanget opp, skyldes at de tilpasningene Telenor har gjort, har hatt effekt.

Såvidt Busch og Kopperud vet, er Telenor den eneste teleoperatøren som har tatt i bruk et lokasjonsbasert filter, som det selskapet bruker nå.

De forteller at Telenor har vist fram filteret både i GSMA, den internasjonale bransjeorganisasjonen for telekom-operatører og i Itakt, der de største norske teleaktørene møtes jevnlig blant annet for å diskutere problemstillinger rundt telesvindel.

– Andre aktører vil nok kunne ta i bruk lignende virkemidler, men vi kommer neppe dit at det blir helt slutt på svindelmetoder som spoofing og wangiri. Det vil kreve globale reguleringer og datautveksling på et nivå som ikke er realistisk å få til. Så kampen mot telesvindlerne kommer til å være en katt og mus-kamp der teleoperatørene stadig utvikler nye redskaper for å stanse svindel, mens svindlerne utvikler nye metoder for å unngå verktøyene, sier Busch.