Datatilsynet har advart mot muligheten for innhøsting av personopplysninger på nettsteder. To forskere har i en artikkel gjort det samme. Nå har det skjedd. Denne uken opplevde Tele 2 at uvedkommende høstet inn kundeopplysninger via deres nettsted.

(Saken ble oppdatert 13.08.2007)

Tele2 er blitt utsatt for misbruk av sitt nettsted til såkalt "innhøsting" av personopplysninger i perioden 28.-30. juli. Datatilsynet har i lang tid fryktet slike hendelser på grunn av måten flere kundesider er konstruert på. Tilsynet har også vært kritisk til at flere aktører bare krever å få oppgitt fødselsnummer når de skal identifisere den nye kunden ved etablering av nytt kundeforhold.

Temaet dannet grunnlag for tilsyn mot en rekke virksomheter, mens andre mottok brev fra tilsynet. I forhold til Tele2, ble saken første gang tatt opp i brev av 26. november 2006. Etter redegjørelse fra Tele2 konkluderer Datatilsynet i brev av 16. mai 2007: ”Slik Tele2 sin nettbutikk fremstår i dag mener Datatilsynet den ikke gir tilfredstillende informasjonssikkerhet (…) Datatilsynet ber på bakgrunn av ovennevnte at Tele 2 revurderer sin bruk av fødselsnummer, prosedyrer og sikkerhet implementert i sin nettbutikk (…)” Tele2 ba om et møte med Datatilsynet for å løse problemet. Møtet skal finne sted medio august.

Denne ukens innhøsting av personopplysninger har skjedd ved hjelp av et dataprogram som har generert fødselsnumre. Disse er senere sjekket mot en offentlig nettside for å luke ut numre som ikke er i bruk. Fødselsnumrene ble videre benyttet til å søke fram enkeltpersoners navn og adresse via Tele2’s nettside. Få av personene som ble rammet hadde noe med Tele2 å gjøre. 

Tele2 har anmeldt forholdet til politiet. Forholdet er også tatt opp med Datatilsynet. Tele2 vil sende ut et eget brev til de som er berørt av hendelsen. Tilsynet vil i dialog med Tele2 se nærmere på hvilke sikkerhetstiltak som må iverksettes for at kundene skal være sikret mot slik inntrenging i framtiden.

Tele2 opplyser at nettsiden nå er endret slik at denne type misbruk ikke skal skje igjen. Datatilsynet presiserer at tilsvarende forhold også er blitt tatt opp med en rekke andre virksomheter. Etter det tilsynet erfarer er flere av disse i gang med å sikre seg mot tilsvarende angrep.

Innhøsting av personopplysninger kan være et ledd i forsøk på ID-tyveri, men det er for tidlig å slå fast om det har vært hensikt en i dette tilfelle.

Doktorgradsstipendiat André N. Klingsheim og professor Kjell J. Hole ved Universitetet i Bergen skriver i en artikkel om hvordan svakhet i datasystemene kan brukes til masseinnhenting av data om alle med norsk fødselsnummer. Les mer om deres forskningsarbeid.

Les tidligere artikkel om innhøsting av personopplysninger.
Les Datatilsynets artikkel om ID-tyveri.