USA tar grep mot falske anrop og tele-spoofing

STIR/SHAKEN er samlebetegnelsen på en serie tiltak mot falske oppringninger, spoofing av telefonnumre og såkalte robocalls, som er uønskede maskinelle anrop. Spoofing er i denne sammenheng forfalskning av anropsnummer, slik at det ser ut som oppringningen kommer fra et annet nummer enn det som er tilfellet.

Alle amerikanske tilbydere må innføre standarden innen utgangen av juni 2021, etter gårsdagens vedtak i USAs føderale teletilsyn (FCC).

Etaten anslår at ulovlige robocalls og svindelanrop påfører amerikanerne alene et årlig tap på 10 milliarder dollar.

Nyheten om nye regler i USA skjer samtidig med at Telenor i Norge opplever en spoofing-boom med markant økning i antall svindelanrop mot norske kunder.

Digitale sertifikater

Bransjen har selv vært pådrivere for «Secure Telephony Identity Revisited» (STIR) og «Signature-based Handling of Asserted information using toKENs» (SHAKEN), en serie tiltak mot manipulerte anrop, som har fått James Bond-inspirerte forkortelser.

I praksis dreier det seg om autentisering av telefonanrop ved hjelp av digitale sertifikater, som blir obligatorisk for amerikanske tilbydere fra neste sommer.

Ellers er det tekniske samspillet mellom verdens teleoperatører i stor grad basert på tillit. Det har historiske årsaker, og kan tilskrives tiden da vi hadde et begrenset antall nasjonale telemonopolister.

I Norge følger både myndighetene og operatørene spent med på utviklingen. De har imidlertid ingen umiddelbare planer om å innføre STIR/SHAKEN.

– Diskusjonene i Europa har gått på at om dette skal få noen effekt så vil det kreve en internasjonal tilnærming. Selv om hele Europa skulle implementert dette, så kommer hovedvekten av svindeltrafikk fra andre steder i verden, sier seniorrådgiver Johannes Vallesverd i Nasjonal kommunikasjonsmyndighet (Nkom).

Flere jern i ilden

Dialogen har i noen år vært ført blant annet med ATIS (Alliance for Telecommunications Industry Solutions), FCC, bransjekolleger og operatører, både nasjonalt og internasjonalt.

Senest i forrige uke var Nkom med på å arrangere et webmøte med 30 deltakere, blant annet fra europeiske ekommyndigheter, I3 Forum, EU-kommisjonen, ATIS og STI-GA (Secure Telephone Identity Governance Authority).

– Ulike løsninger er oppe til diskusjon. Foruten STIR/SHAKEN så omfatter det også andre tiltak kalt SOLID og noen blokkjede-baserte løsninger som kan angripe andre forhold. Kort fortalt pågår det flere initiativ internasjonalt.

Vallesverd minner om at de i Norge i fjor nedsatte en ekspertgruppe bestående av de store teleoperatørene og netteierne, som jobber med problematikken.

– De har iverksatt tiltak for å begrense spoofingen som kommer inn til Norge. Selv om det fremdeles kommer tusenvis av spoofede anrop igjennom, så er det også mye som blir stanset. Det er en evig pågående kamp mot internasjonale kriminelle, mener Vallesverd.

Jobber med validering

Operatørene har historisk i liten grad validert innkomne anrop, altså samtaler som stammer fra andres nettverk. Dataanalyse inngår i arbeidet med å få stanset plagsomme falske anrop, men detaljene er hemmelige.

– Jeg har ikke lyst til å skape store forhåpninger, men det jobbes med validering fra tilbydernes side. Det evige dilemmaet er at man ikke kan gå ut med detaljer om tiltakene, for da blir det enklere å omgå dem, forteller Nkoms seniorrådgiver.

– Betyr det amerikanske vedtaket noe for en mulig regulering av det samme i Norge eller på EU-nivå?

– Rettslig sett så gjør det ikke det. Det er også for tidlig å si hvilke konsekvenser dette kan få for Norge og Europa. Samtidig er vi i tett dialog med dem som er ansvarlige for STIR/SHAKEN.

– Er det aktuelt å kreve at også norske operatører innfører dette? Eventuelt hvorfor ikke?

– Det er ikke det nå. En grunn er at dette er i en tidlig fase. Tilbyderne ser på forskjellige løsninger, inkludert tiltak som ligger kortere frem i tid. STIR/SHAKEN vil gjelde kun for SIP-basert trafikk og innenfor en verdikjede for attestering – som ikke er etablert. STIR/SHAKEN er veldig spennende, særlig i kombinasjon med andre løsninger, men ligger nok noe lenger fram i tid, avslutter Johannes Vallesverd i Nkom.

Razzia i India

Selv om det er vanskelig å slå ned på de manipulerte oppringingene fra utlandet, så finnes det eksempler på vellykkede aksjoner.

Blant annet i fjor høst, da britisk politi i samarbeid med kolleger i India fikk stengt ned to digre callsentre i den indiske storbyen Kolkata.

Virksomheten skal ha drevet med svindelanrop. Microsoft bidro til etterforskningen som varte i fire lange år.