SMS Skandale

Et nyt værn mod SMS-svindel blev blåstemplet af myndighederne og slået stort op politisk. Nu risikerer Danmarks fire telegiganter en historisk tilsynssag for at kigge danskerne over skulderen uden dommerkendelse - stik imod ministers løfte om fortsat privatliv.
Medarbejdere hos Telenor, 3, TDC og Norlys har siden foråret læst op mod tusindvis af danskeres SMS’er, fordi teleselskaberne aktiverede et nyt system mod SMS-svindel. Sidste år lovede erhvervsminister Morten Bødskov (S) ellers, at medarbejderne ikke kunne læse beskeder.

Det kan Ingeniøren nu afsløre på baggrund af research, der omfatter dokumenter, mails og interviews.
»Det er helt galt, at de har personer inde over for at læse SMS’erne. Det må man sgu ikke, det er no go,« siger Lars Dittmann, der er professor ved DTU Elektro og sagkyndig i Teleklagenævnet.

Teleanalytikeren Torben Rune kalder det »giftigt ad helvede til«, da Ingeniøren forelægger ham sagen. Meddelelseshemmeligheden er nemlig grundlovssikret i Danmark.

»Jeg har aldrig hørt om, at et teleselskab har sat sig til at følge med i, hvad kunderne har sendt til hinanden uden en dommerkendelse eller at politiet er inde over. Aldrig!«

Men medarbejdere i teleselskaberne er ikke alene blevet bedt om at læse helt ned i indholdet af danskeres SMS’er - et greb der normalt kun er forbeholdt politi og efterretningstjenester. Teleselskaberne har også opbevaret snesevis af millioner af SMS’er i op mod en måned, selvom de i udgangspunktet kun må lagre såkaldte metadata.

Tvivl om lovligheden
Både Telenor, 3, TDC og Norlys afviser at stille op til interview.

De danske teleselskaber henviser i stedet til brancheforeningen Teleindustrien, der har koordineret teleselskabernes bestræbelser på at imødekomme det stigende politiske ønske om at bekæmpe SMS-svindel, inden den rammer borgerne.

Teleselskabernes SMS-skjold
- Kernen i SMS-skjoldet er en AI, hvis primære formål er at se mønstre i beskeder, der sendes bredt ud.
- For at kunne finde mønstrene i SMS’erne, selvom de eksempelvis sendes over mange timer eller dage, skal systemet lagre beskederne lige så længe hos teleselskaberne selv.
- SMS’er opbevares normalt kun i et kort øjeblik hos teleselskaberne, medmindre er er et teknisk problem eller modtagerens telefon er slukket.
- Hvis SMS-skjoldet finder noget mistænkeligt efter en række parametre, kan det slette beskederne eller sende de mistænkelige beskeder videre til en operatør hos teleselskaberne, der vurderer dem.
Kilde: Teleindustrien, Lars Dittmann

Teleselskaberne kom i løbet af 2023 frem til, at den bedste løsning er en AI, der kan genkende de brede svindelkampagner og slette SMS’erne. Man var dog i tvivl om lovligheden, og først efter en lang proces, får SMS-skjoldet endelig grønt lys af Digitalisringsstyrelsens jurister i efteråret 2024.

Herefter begynder selskaberne ét efter et at starte indsamlingen af SMS'er.

Foreningens direktør, Jakob Willer, oplyser, at teleselskaberne startede systemet op »i løbet af foråret«, men han afviser at angive mere præcist, hvornår de begyndte at læse og gemme danskernes SMS’er.

AI i respirator
Selskaberne slukkede imidlertid de mest indgribende dele af systemet igen »omkring juli«, forklarer teledirektøren. Selskaberne blev nemlig overraskede over den store mængde almindelige, lovlige beskeder, som systemet fandt mistænkelige, oplyser Jakob Willer.

»Alle teleselskaber har haft en opfattelse af, at det her system kunne mere selv, end det har vist sig at kunne,« siger han. Man havde håbet, at systemet på et tidspunkt kunne agere på egen hånd, men det lykkedes aldrig.

Grunden til, at der går flere måneder, før teleselskaberne slukker for de mest indgribende dele af systemet, er ifølge Jakob Willer, at der er tale om en »løbende erkendelse«. Teleselskaberne har i dag slettet alle de opbevarede SMS’er, siger han og fortæller, at systemet i dag »ikke er særligt effektivt«.

»Politiets hedeste drøm«
»Det er politiets hedeste drøm, det her,« siger teleanalytiker Torben Rune, der især undrer sig over, at teleselskaberne opsatte og kørte en maksimalistisk dataindsamling, end ikke politiet har lov til, fordi man gemmer en enorm mængde beskeder fra folk, der ikke er under mistanke.

Hvis politiet skal have indsigt i indholdet i SMS’er skal de have en dommerkendelse, og den mistænkte skal være under mistanke for en forbrydelse, der kan straffes med seks års fængsel eller derover.

Normalt har digital svindel som forfalskning af SMS’er en strafferamme med fængsel på halvandet år.

Når politiet får en dommerkendelse, kan de oftest kun se fremtidige SMS’er og de såkaldte metadata omkring SMS’en. Historiske SMS’er gemmes ifølge Torben Rune normalt ikke af teleselskaberne, medmindre særlige tekniske betingelser er opfyldt.

Lektor i it-sikkerhed på CBS Jan Lemnitzer underviser i at vurdere risikoen for it-systemer. Han mener, at netop telebranchen burde have stillet alle de rigtige spørgsmål til deres leverandører, inden hele branchen pludselig befandt sig i en juridisk suppedas.
»Så snart det viser sig, at systemet kræver en hidtil uset adgang for almindelige medarbejdere, burde selskaberne trække i håndbremsen, rive kontrakten med leverandøren i stykker og slukke systemet. Ikke lade det køre og se, hvad der så sker,« siger Jan Lemnitzer og uddyber:
»De har som store, gamle techselskaber alle de nødvendige kompetencer og ressourcer til at vurdere lige præcis den her slags systemer.«
Erhvervsministerens brudte løfte
SMS-systemet blev lanceret med bred opbakning fra blandt andet Ældre Sagen, Forbrugerrådet Tænk, politiet og politikere, der gik sammen om at stoppe kriminelle, der med falske SMS’er blev bedre og bedre til at lokke private oplysninger og penge ud af danskerne.
Da SMS-systemet blev lanceret i november 2024, lovede erhvervsminister Morten Bødskov, at det først og fremmest var et skjold mod økonomisk kriminalitet og at man som borger ikke burde frygte for privatlivets fred.
»De får ikke adgang til at læse folks beskeder,« sagde han til Politiken.
Men adgang fik de altså.
Ikke bare en gang om måneden eller ugen. Flere gange om dagen sad et ukendt antal medarbejdere og forholdt sig til indholdet af SMS’erne.
Teleselskaberne kan ikke garantere, at medarbejdere med adgang til SMS’erne var sikkerhedsgodkendte. Direktør Jakob Willer oplyser, at det var »betroede medarbejdere«, der typisk er de samme, som er involveret i politisamarbejde«.
Men ‘betroede medarbejdere’ er en værdiløs betegnelse i den sammenhæng, vurderer Torben Rune:
»Teleselskabernes argument holder ikke. Hvis ikke der foreligger en dommerkendelse, bør ingen læse med uanset om de er "betroede" eller sikkerhedsgodkendte. Arbejder medarbejderne for politiet, sker det på vegne af en myndighed, som har en kendelse,« siger konsulenten, der tværtimod mener argumentet gør Teleselskabernes sag endnu dårligere:
»At der er tale om medarbejdere, som har udført politiopgaver, gør jo blot sagen værre. I så fald må de have vidst at det, de foretog sig, var ulovligt.«
Ingeniøren har gentagne gange forsøgt at få Jakob Willer eller teleselskaberne til at oplyse, hvor mange SMS’er, der er tale om, men det ønsker de ikke at fortælle. Jakob Willer fortæller dog, at der er tale om »mange« og »hundreder eller tusinde«.
Tilsyn går ind i sagen
Lovgivningen på området forvaltes af Digitaliseringsstyrelsen, som er tilsynsmyndighed for teleselskaberne. Det er derfor også dem, der oprindeligt vurderede, at det kunne lade sig gøre at rulle systemet til at bekæmpe SMS-svindel ud inden for Telelovens rammer.
Styrelsen skriver i en mail til Ingeniøren, at vurderingen lagde særlig vægt på fem punkter, hvoraf det ene var, at »ingen fysiske personer får kendskab til indholdet af SMS’erne«.
Digitaliseringsstyrelsen ønsker ikke at kommentere sagen, idet den kører en tilsynssag med teleselskaberne, lyder det i en mail til ingeniøren.
Reaktiv minister
I en mail til digitaliseringsminister Caroline Stage (M) dateret den 10. juli udtrykker teleselskaberne bekymring for, at systemet kan være i strid med loven. Først efter et møde med Teleindustrien halvanden måned efter, går det op for Caroline Stage, at der kan være et problem.
»Jeg er blevet gjort opmærksom på, at SMS-filteret, der blev lanceret som led i initiativpakken mod digital svindel i november 2024, ikke er implementeret i overensstemmelse med den juridiske vurdering, som det uafhængige tilsyn med ePrivacy har foretaget,« skriver ministeren i en mail til Teleindustrien den 15. september.
Her kræver hun også en redegørelse »snarest muligt.«
Teleindustrien: »Vi har ageret forsvarligt«
Ingeniøren har fået indsigt i Teleindustriens redegørelse til Caroline Stage og forholdt den for Johan Busse, der er formand for Dataetisk Råd.
»Notatet er en tilståelsessag - man lægger kortene frem og siger ‘hej, vi har kvajet os,’« siger han og fortæller, at han både er skuffet og bekymret. Han var oprindeligt positiv omkring SMS-systemet, indtil han først nu finder ud af, hvordan systemet reelt fungerede.
»Teleselskaberne burde være de bedst kvalificerede til at udføre netop de opgaver her. Det er ikke en tennisklub i Vanløse, vi snakker om, men organisationer, der har ressourcerne til opgaven i bred forstand.«
Jakob Willer er bestemt ikke enig i kritikken:
»Vi har været opmærksomme på, at der opstod nogle problemstillinger. Dem har vi håndteret undervejs, og så har vi til sidst vurderet, at afvejningen mellem kundernes privatliv og det passende sikkerhedsniveau er så kompleks, at den ville vi ikke længere stå med alene,« siger teledirektøren og henviser til, at medarbejderne også sikrede, at systemet ikke slettede for mange legitime beskeder:
»Det, synes jeg, egentlig er ansvarligt reageret.«
Men styrelsens kriterie om, at ingen fysiske personer får kendskab til indholdet af sms'erne, har aldrig været opfyldt?
»Nej, og det er jo også derfor, det har skabt en usikkerhed blandt selskaberne, og vi nu er nødt til at have en dialog med myndighederne for at få afklaret, om vi stadigvæk lever op til den vurdering, de gav,« siger Jakob Willer.
Teleselskabernes data-dæmninger
Da det »løbende« går op for selskaberne, at systemet har brug for, at tele-medarbejdere læser SMS’er, implementerer de en række tiltag.
Teleselskaberne ønsker ikke at oplyse, hvornår de enkelte tiltag implementeres hos de forskellige teleselskaber. Derfor ved man som forbruger ikke, hvordan eller hvornår ens beskeder var beskyttede.
Logning af medarbejdere med adgang: Skulle sikre, at man ved, hvem der har adgang til hvilke SMS’er på et givent tidspunkt, og at der var tale om »betroede medarbejdere«, som Teleindustrien kalder dem. Dette er ikke nødvendigvis det samme som sikkerhedsgodkendte.
Sløring af afsender- og modtagernumre: Skulle sikre anonymitet. Dette fjernede ikke kontaktoplysninger eller andre personlige oplysninger i SMS’ernes brødtekst.
Begrænsning af lagringstid: Som udgangspunkt gemte systemet SMS’erne i 30 dage. Nogle nedjusterer hurtigt dette markant, mens andre kører videre med de 30 dage.
Sikring af, at kun “masseudsendt” indhold markeres til gennemsyn: Teleindustrien oplyser, at selv med dette benspænd var »meget af det, AI’en præsenterede« for medarbejderne »legitime SMS’er«, og det kan ikke udelukkes, at SMS'er mellem et kærestepar endte til gennemsyn. Branchen vil ikke oplyse, hvad den definerer som masseudsendt.
Kilde: Teleindustrien
Erhvervsministeriet er ikke vendt tilbage på Ingeniørens forespørgsel om et interview inden redaktionens deadline. Digitaliseringsstyrelsen og digitaliseringsminister Caroline Stage (M) ønsker ikke at stille op til interview og forklare, hvordan hun ser på hendes sene involvering samt hvorfor hendes tilsyn ikke selv opdagede, at teleselskaberne var gået ud over den aftale præmis. Hun skriver i en kort mail til Ingeniøren:
»Jeg ser med stor alvor på, at SMS-filtret tilsyneladende ikke er blevet implementeret indenfor den juridiske vurdering, der dannede grundlag for at iværksætte SMS-filtret,« skriver ministeren og forklarer, at der er en vurdering af implementeringen af SMS-filtret i gang hos Digitaliseringsstyrelsen.
»Når den forelægger, vil jeg drøfte det videre forløb med folketingets partier.«

Ingeniøren har flere artikler på vej om sagen. Ved du noget? Kontakt [email protected] eller skriv til Mads Lorenzen på Signal 61690917.