Telia-feil gjorde kunder sporbare siden 2023.
<h2hva h2="" skjedde?Onsdag avslørte NRK at en teknisk feil hos Telia gjorde det mulig å spore hvor mobilkunder befant seg ved å ringe dem. Ringetrafikk kunne gi opplysninger om hvilken basestasjon en telefon var tilkoblet. Det krevde ikke avansert hacking, bare en vanlig telefonsamtale.
Telia har rundt to millioner mobilkunder i Norge. Selskapet sier at feilen oppsto som følge av en konfigurasjonsendring i 2023, at avviket nå er lukket, og at de beklager hendelsen, sier Lena Lundgreen, leder for bedriftsmarkedet i Telia Norge.
Datatilsynet reagerer kraftig. "Dette er et avvik som vi i Datatilsynet ser svært alvorlig på, fordi det i teorien kan omfatte veldig mange mennesker, og det kan gi ganske sensitiv informasjon," sier Line Coll, direktør i Datatilsynet.
Hun sier også at tilsynet nå vil undersøke omfanget mer inngående.
Nasjonal kommunikasjonsmyndighet (Nkom) sier de åpner tilsyn mot Telia etter varselet om et «alvorlig sikkerhetsavvik». "Det er bra at Telia bekrefter at avviket er lukket, men vi ser svært alvorlig på saken," sier John-Eivind Velure, direktør i Nkom.
Hvem kan være rammet?
Ifølge NRK har journalister klart å spore stortingspolitikere, ansatte i politiet og vanlige mobilkunder.
Telia skriver i sin avviksmelding til Datatilsynet at "få eller ingen" personer kan være rammet. Coll sier at uttalelsen om lavt omfang er noe Datatilsynet vil kontrollere nøye i sin behandling av saken.
Det er forskjell på å kunne spore noen teknisk og å vite hvor mange som faktisk ble rammet. Datatilsynet må få tilgang til loggføringer og dokumentasjon fra Telia for å kunne vurdere omfanget, heter det fra myndigheten.
Konsekvensene er faktisk mer enn bare tekniske. Når basestasjoninformasjon blir tilgjengelig via en samtale, kan det gi nøyaktig nok lokasjonsinformasjon til å utgjøre en risiko for særlig sårbare grupper.
Risiko for utsatte grupper
Anne Fossum, daglig leder i Krisesentersekretariatet, advarer om at verktøy som viser hvor noen befinner seg kan brukes til kontroll og trusler. "Det er dessverre ikke sånn at idet du bryter ut av en voldelig relasjon, så slutter volden. Det handler også om kontrollen som voldsutøver vil utøve over den utsatte," sier Fossum.
Hun vet ikke om svakheten hos Telia har blitt brukt i konkrete tilfeller mot personer i voldelige relasjoner, men påpeker at slike muligheter finnes når teknologi kan misbrukes. "Alle som utvikler teknologi må vite at denne teknologien kan misbrukes," legger Fossum til.
For ofre for stalking eller partnervold kan det å være sporbar på telefonen være en direkte trussel. Basestasjondata gir ikke nødvendigvis posisjon ned på adressepunkt, men kan avsløre et avgrenset område der en person oppholder seg — nok til å sette noen i fare.
Regulatorisk reaksjon og ansvar
Nkom har også bedt Telenor og Ice om å redegjøre for om tilsvarende sårbarhet kan finnes i deres nett. John-Eivind Velure sier tillit til mobil- og nettjenester er avgjørende for digitaliseringen i Norge. "Derfor er det svært alvorlig når slike feil oppstår," sier Velure.
Datatilsynet vil gå gjennom Telias melding om avvik og påse at personvernregelverket er fulgt. Line Coll sier at når noe kan omfatte «veldig mange mennesker», må myndighetene vurdere både konsekvenser og om Telia har gitt riktig informasjon om hvilke tiltak som er gjort for å stenge feilen.
Telia har beklaget sterkt. "Det som undersøkelsene viser nå, er at feilen oppsto ved en konfigurasjonsendring vi gjorde i 2023," sier Lena Lundgreen. Hun sier også at avviket er lukket.
Økonomiske og politiske implikasjoner
På kort sikt er den økonomiske effekten forbrukernes tillit til mobiloperatørene. Hvis kunder føler seg usikre, kan det påvirke abonnementssalg og omdømme. På lengre sikt kan tilsyn og krav om strengere sikkerhetsrutiner medføre økte kostnader for operatører i form av investeringer i teknologi og prosesser.
På det politiske planet kan saken føre til debatt om hvor streng regulering myndighetene bør kreve av telekomselskaper. Nkoms åpne tilsyn og Datatilsynets undersøkelse kan bli eksempler i kommende diskusjoner i Stortinget om digital sikkerhet og personvern, særlig hvis undersøkelser viser at flere var påvirket enn Telia først oppga.
Slik teknikk berører også statlige tjenester: nødetater, helsevesen og offentlige ansatte bruker mobilnett i arbeidshverdagen. Hvis feil i kommersielle nett gir tilgang til følsom plassering, kan det reise spørsmål om hvordan offentlig sektor skal håndtere sikker kommunikasjon og dataoppbevaring i samarbeid med private leverandører.
Hva skjer nå?
Datatilsynet vil gå gjennom Telias avviksmelding og etterspørre dokumentasjon. Nkom gjennomfører et tilsyn. Telenor og Ice er bedt om å rapportere om tilsvarende forhold. Telia sier feilen er stengt, men myndighetene vil kontrollere om tiltakene er adekvate og om informasjonen til kunder er korrekt.
Telia har foreløpig ikke oppgitt et eksakt antall berørte kunder. Selskapets formulering om at "få eller ingen" kan være rammet vil bli vurdert mot loggdata og etterforskning fra Datatilsynet, sier Line Coll.
Hendelsen reiser også spørsmål om rapporteringsrutiner: hvor raskt og hvordan operatører varsler både kunder og myndigheter ved sikkerhetsavvik. Regelverket krever varsling ved alvorlige brudd på personvern og sikkerhet, og både Nkom og Datatilsynet har myndighet til å kontrollere om kravene er fulgt.
For vanlige mobilbrukere er rådet å være oppmerksom på uønsket kontakt, unormale hendelser ved telefonbruk og å følge råd fra krisesentre og politiet hvis man føler seg forfulgt eller truet. Krisesentersekretariatet peker på at tekniske tiltak alene ikke beskytter mot kontrollerende vold; det trengs også sosial støtte og sikkerhetsplaner for utsatte personer, sier Anne Fossum.
Related Articles
Telia sier feilen oppsto ved en konfigurasjonsendring i 2023, og at avviket nå er lukket.
Denne artikkelen er laget med hjelp av AI.
