Søker du opp et nummer i Vipps, og eieren av nummeret har appen, vises navnet umiddelbart. Uansett om de har skjult nummer eller ei. (Bilde: Illustrasjon: Niklas Plikk, Tek.no)

– Vipps tar ikke hensyn til reserverte numre

Kan fungere som bedre nummeropplysning enn 1881, sier digitaletterforsker-student Lars-Petter Schøyen.

Vipps er en mobilbetalingsapp, men visste du at den også kunne brukes som et oppslagsverk for å finne ellers skjulte telefonnumre?

Dersom du skriver inn et telefonnummer i DNBs populære betalingsapp på mobiltelefonen vil du få utlevert fullt navn på personen som eier nummeret, selv om nummeret er reservert mot nummeropplysning. Det sier Lars-Petter Schøyen til Tek. 

Lars-Petter Schøyen (23).
Lars-Petter Schøyen (23). Bilde: privat

23-åringen fra Tønsberg studerer til en bachelor-grad i digital etterforskning ved høyskolen Noroff i Kristiansand, og sier han kom over dette ved en tilfeldighet.

– Vipps leverer gledelig ut fullt navn på et nummer man taster inn. Hvis andre tjenester som 1881 må ha tilbud om reservasjon, hvorfor skal ikke dette gjelde også Vipps, undrer Schøyen.

Han har vært i kontakt med Vipps' kundeservice i et forsøk på å få DNB til å endre på praksisen.

– De tar meg ikke veldig på alvor hos førstelinje på kundeservice, og det er vanskelig å komme i kontakt med riktig folk, sier Schøyen. 

Kan finne nummeret til statsminister Erna Solberg

– DNB opplyser i brukervilkårene for Vipps at dersom du har reservert ditt nummer mot nummeropplysning, vil du ikke kunne bruke Vipps. Det stemmer ikke. I hvert fall er det altså mulig å bruke Vipps til å avsløre brukeropplysninger ved hjelp av et telefonnummer til tross for at det er reservert mot nummeropplysning, sier Schøyen.

Vi kikket litt på brukervilkårene til Vipps og ser at de nevner hemmelige numre, men ikke de som bare har reservert seg mot telefonsalg og oppføringer på nett. 

Reservasjonsregisteret ble opprettet i 2001, og er et av de offentlige registrene i Brønnøysundregisteret. Hensikten med registeret er at privatpersoner kan reservere seg mot telefonsalg eller direkte adressert reklame i posten. 

Telefonsalg er lovlig i Norge, men næringsdrivende og frivillige organisasjoner kan ikke kontakte forbrukere som har reservert seg mot telefonsalg i Brønnøysundregisteret, med mindre det foreligger et kundeforhold eller forbrukeren har bedt om å bli oppringt.

Det er likevel oppsiktsvekkende at man kan bruke Vipps som opplysningstjeneste, noe Schøyen forklarer videre at det trolig kan utnyttes: 

– Så vidt vi kan se, er det også mulig å «brute force» (tvinge) appen til å avsløre telefonnummere ut i fra navn. Hvis Erna Solberg bruker Vipps, kan vi finne telefonnummeret hennes, sier Schøyen.

Til nå har over to millioner nordmenn lastet ned Vipps-appen, opplyser DNB på Vipps.no.

Vetle Økland (21).
Vetle Økland (21). Bilde: privat

Sammen med studentkollega Vetle Økland (21) fra Stavanger bruker Schøyen nå tid på å avdekke eventuelle sikkerhetshull i Vipps. 

De to studentene har lastet ned APK-en (installasjonsfilen til appen) og analysert endepunktene Vipps bruker for å kommunisere med DNB,  og på den måten ser de hvordan API-et (Application Programming Interface) opererer.

– Det vil si at vi kan se all trafikken som går ut og inn av en mobil som kjører Vipps, forklarer Schøyen. 

Mye skrivefeil og dårlig engelsk grammatikk i koden

Nå tar de kontakt med en sikkerhetsansvarlig i DNB, for å undersøke lovligheten av å eksperimentere med kildekoden.

– Det blir spennende å se hvor langt de lar oss prøve, det er nemlig lover og regler for slikt. Per nå er det ganske begrenset hva vi kan gjøre på lovlig vis. Det er mye vi har lyst til å teste om DNB har tatt hensyn til, men mye av det er litt «på kanten». Vi vil ha vårt på det tørre og samtidig være ryddige overfor DNB. Vi har bare til hensikt å avdekke eventuelle svakheter, som DNB kan fikse på, understreker Schøyen.

– Det er også verdt å nevne at det er utrolig mye skrivefeil i koden. Det er veldig mye dårlig engelsk grammatikk. Dette gir mening da mye av prosjektet er outsourcet til India. 

– Vi gjør dette på fritiden, men dette arbeidet er svært relevant til studiene, sier han. 

DNB vil ikke kommentere spørsmål om kildekoden i media

I en e-post til Tek skriver kommunikasjonsrådgiver i DNB, Vidar Korsberg Dalsbø, at Vipps ikke støtter skjerming av hemmelig nummer. 

Vidar Korsberg Dalsbø er kommunikasjonsrådgiver i DNB.
Vidar Korsberg Dalsbø er kommunikasjonsrådgiver i DNB. Foto: DNB

– Dersom du har hemmelig nummer, kan du ikke bruke Vipps, sier Korsberg Dalsbø. 

– Når det gjelder henvendelser angående kildekoden, så kommenterer vi ikke dette i media, men tar det direkte med de det gjelder, sier han. 

Lars-Petter Schøyen og Vetle Økland sier de fremdeles venter på å komme i kontakt med en sikkerhetsansvarlig i DNB.

Er det et problem at Vipps avslører navnet og adressen til et telefonnummer?

For å bruke Vipps-appen som en oppslagskatalog, forutsetter dette at du har et telefonnummer å plotte inn. 

Hvis du har fått henvendelser fra et telefonnummer, og ikke finner nummeret hos andre nummeropplysningstjenester, kan du altså gjøre et forsøk på å søke etter hvem nummeret tilhører i Vipps-appen. 

En av våre kolleger her i redaksjonen har reservert sitt nummer i Brønnøysundregisteret. Når vi legger nummeret hans inn på 1881.no, får vi beskjed om at «kunden er reservert mot nummeropplysning». På Gule Sider får vi den samme beskjeden. Vi sjekket nummeret hans i Vipps-appen, og ganske riktig, Vipps avslører navnet og adressen til eieren av nummeret.

Når vi søker med det samme nummeret på Google, får vi opp både navn og adresse på personen. Her indekserer Google faktisk sider fra 1881.no, men når vi klikker på lenkene får vi beskjed om at siden er fjernet. Det er sikkert som en følge av at vår mann har registrert sitt nummer i Reservasjonsregisteret.

At opplysninger om hvem et skjult nummer tilhører henger igjen i indekseringsoppføringer fra 1881.no hos Google, er imidlertid en annen sak.

Les vår kommentar: Derfor bør du bruke mobilen til å betale med

Kommentarer (31)

Norges beste mobilabonnement

Mars 2017

Kåret av Tek-redaksjonen

Jeg bruker lite data:

Komplett MiniFlex 1GB


Jeg bruker middels mye data:

Telio FriBruk 5GB+EU


Jeg bruker mye data:

Komplett MaxiFlex 10GB


Jeg er superbruker:

Komplett MegaFlex 30GB


Finn billigste abonnement i vår mobilkalkulator

Forsiden akkurat nå

Til toppen