Tusentals .fi-adresser registrerade på falska användare – Traficom tandlöst trots lagändring

Vem som helst kan registrera ett finskt domännamn, alltså en .fi-adress på internet, utan att bekräfta sin identitet. Bristen på identifiering öppnar upp för missbruk.

Svenska Yles granskning visar på systematiska brister i det finländska domännamnsregistret. Lagen kräver att användaruppgifterna är riktiga, men kontrollen fungerar inte.

– Om det inte finns uppgifter om vem som äger en domän leder det lätt till missbruk, säger it-företagaren Petteri Järvinen.

Domännamn som liknar till exempel bankers, försäkringsbolags eller myndigheters sidor kan användas för att fiska inloggningsuppgifter eller annan information som kan missbrukas. Bluffwebbutiker är vanligt förekommande, och desinformationskampanjer är en annan möjlig hotbild.

– Finska webbanvändare litar på fi-adresser – de tror att de är finländska och extra pålitliga – men så har det inte varit på många år, konstaterar Järvinen.

Svenska Yle har gått igenom offentliga uppgifter om finländska domännamn, det vill säga adresser som slutar med .fi på internet. Fi-domänerna finns i ett register som upprätthålls av Transport- och kommunikationsverket Traficom.

167 §: Ett domännamn ska registreras på domännamnsanvändaren. Registraren ska i domännamnsregistret anteckna korrekta och uppdaterade uppgifter som identifierar domännamnsanvändaren[...]

Lag om tjänster inom elektronisk kommunikation (917/2014)

Enligt lagen ska registret innehålla korrekta och uppdaterade uppgifter om vem som använder varje fi-domännamn, men Svenska Yle hittar flera exempel där registret inte visar de riktiga användaruppgifterna.

Petteri Järvinen skrattar högt när Svenska Yles reporter berättar att någon har lyckats registrera en finländsk webbadress på användaren ”The Queen” och adressen Buckingham Palace, London

– Det låter otroligt, nästan som ett skämt. Men man borde inte skratta, det är allvarligt om så här fräcka och helt klart påhittade uppgifter går igenom.

Petteri Järvinen skräder inte orden - exemplet visar att övervakningen inte fungerar och Traficom inte själv följer lagen, säger han.

FO-nummer, det vill säga eller företags- och organisationsnummer, är motsvarigheten till personnummer för finländska företag, föreningar och andra sammanslutningar.

Att Telias FO-nummer har kunnat missbrukas vid hundratals registreringar är också ett tecken på att övervakningen inte fungerar, säger Petteri Järvinen.

– Utan vidare, en aktör som Traficom borde ju nog känna igen Telias FO-nummer redan på numret, så mycket har de med varandra att göra.

– Utomlands är det vanlig praxis att bulvaner säljer domännamn och döljer de egentliga kontaktuppgifterna. De hävdar det behövs för dataskydd eller annan säkerhet, men faktum är att det ofta på något sätt hänger ihop med ljusskygg verksamhet.

Många av de domäner som har registrerats på det tjeckiska företaget Anonymouse Domains tillhör egentligen finländska småföretag och föreningar.

– Det borde egentligen ses som en fördel att visa upp rätt uppgifter i domänregistret så att kunderna kan försäkra sig om att han har att göra med rätt aktör, säger Järvinen.

Lagändring skulle försvåra missbruk

Traficom är väl medvetet om problemen med falska användaruppgifter i domänregistret. En lagändring som var tänkt att förbättra kontrollen Traficom också själv hade önskat sig trädde i kraft i början av 2021.

167 §: [...] Transport- och kommunikationsverket får utfärda närmare föreskrifter om hur registreringen tekniskt ska genomföras och om de uppgifter som ska lämnas i samband med registreringen samt om identifiering av domännamnsanvändaren.

Lag om tjänster inom elektronisk kommunikation, ändring 30.12.2020/1207

Lagen om elektroniska kommunikationstjänster ändrades så att Traficom kan ge föreskrifter om hur användarna ska identifieras då domännamn registreras. Men de praktiska problemen har visat sig vara stora och tills vidare har Traficom inte gett någon föreskrift.

– Det finns inte något allmänt verktyg som kunde användas för att identifiera alla möjliga personer, vilket betyder att man måste bygga upp integrationer och det skulle medföra mycket kostnader inte bara för Traficom utan också för registrarerna, säger jurist Roosa Junttonen på Traficom.

Junttonen påpekar också att en eventuell föreskrift enligt förarbetena inte får leda till åtgärder som är orimliga för mindre aktörer.

Traficom upprätthåller fi-domännamnsregistret, men registreringarna görs av mellanhänder som kallas registrarer. Det finns över 3000 registrarer för fi-domännamn.

Eftersom användarnas identitet i dagsläget varken verifieras av registraren eller Traficom sker kontrollen i efterhand. Traficom kan be registraren vidta åtgärder för att korrigera felaktiga uppgifter.

Ett annat alternativ är att Traficom inleder ett förvaltningsförfarande som kan leda till att domännamnet avregistreras.

Traficom ingriper tills vidare inte mot anonymiseringsföretag

De falska användaruppgifter som Svenska Yle har hittat visar sig delvis vara okända för Traficom. Traficom hade inte upptäckt att Anonymouse Domains s.r.o. står som användare för över 2000 fi-domännamn.

– Det här verkar inte vara lagligt om det faktiskt är så att Anonymouse Domains inte är den riktiga användaren, säger Junttonen.

Tills vidare vidtar Traficom ändå inte några åtgärder mot det tjeckiska företaget. Man misstänker att tusentals domännamn kan ha registrerats via liknande tjänster som döljer användarens riktiga identitet och bedömer att det skulle kräva för mycket manuellt arbete att ingripa mot alla.

– Vi kan granska saken på nytt som helhet senare, till exempel när vi vet hur NIS2-direktivet kommer att påverka domännamnsverksamheten, uppger Junttonen.

NIS2 är EU:s cybersäkerhetsdirektiv som ska integreras i finsk lagstiftning till och med oktober 2024. Det kan påverka identifieringen av domänanvändare.

– Före omprövningen kan vi fortfarande behandla enstaka fall där ett domännamn registrerats på Anonymouse Domains s.r.o., till exempel om domännamnet används till olagliga ändamål, såsom för att upprätthålla en falsk webbutik.

Traficom får rapporter för ett system för att identifiera just falska webbutiker och i vissa fall finns de på fi-domäner med falska användaruppgifter. I övrigt gör Traficom inte vare sig automatiska eller manuella kontroller av användaruppgifterna då domännamn registreras.

Missbruk av Telias FO-nummer upptäcktes

Det felaktiga användandet av Telias FO-nummer kom däremot inte som en överraskning för Traficom.

– Vi är faktiskt medvetna om den här situationen och vi håller just nu på att utreda saken, säger Junttonen till Svenska Yles reporter.

Problemet upptäcktes i början av juli då Traficom utredde en anmälan om att ett av de registrerade domännamnen var identiskt med anmälarens firmanamn. Registraren, det franska företaget Gandi SAS, har uppmanats att korrigera användaruppgifterna senast den 10 augusti, annars kan de cirka 400 domännamnen avregistreras.

På basis av Svenska Yles avslöjande går en likadan uppmaning också till den tyska registraren CSL Computer Service Langenbach GmbH gällande csupply.fi som hade registrerats på ”The Queen”.

Traficom anser att lagen inte förutsätter att användarnas identitet kontrolleras på förhand, utan att den nuvarande efterhandsövervakningen uppfyller lagen.

Är det för enkelt att registrera fi-domännamn?

En grundläggande orsak till problemen med användaridentifering är att kontrollen har minskat kraftigt under 2000-talet. I praktiken kan vem som helst, var som helst i världen, registrera ett fi-domännamn,

– I Finland har man liberaliserat domänregistreringarna för att businessen ska löpa snabbt, men det leder till problem med pålitlighet och säkerhet, det är ett medvetet val, säger Petteri Järvinen.

Enligt Järvinen är det ofta utländska bedragare som står bakom brottslighet på nätet. Allt bättre automatiska översättningar och artificiell intelligens gör att språket inte längre skyddar finländare. På grund av den effektiva internationella brottsligheten går trenden nu överlag mot ökad reglering på internet.

– Finländska aktörer kunde identifieras automatiskt via person- eller FO-nummer och registreringar som görs från utlandet kunde kontrolleras separat, föreslår Järvinen vad gäller domännamnen.