DanID, der driver den omdiskuterede fælles login-tjeneste NemID, overvejer nu, om en demonstration af et phishingforsøg udført på internetsiden "Nej til NemID" skal have økonomiske eller juridiske konsekvenser for sidens ejer, Rasmus Porsager.
Det fortæller kommunikationschef hos DanID, Jette Knudsen.
Rasmus Porsager udførte onsdag morgen et forsøg, hvor han med en falsk NemID-side på domænet nemld.nu undersøgte, hvor mange af 30 bekendte med forstand på it, der ville hoppe på en phishing mail, der lokkede ofrene til at indtaste deres brugernavn og kodeord på den falske internetside.
En tredjedel gik i nettet
Ifølge Rasmus Porsager var det 10 af de 30 ofre, der røg i fælden i de to timer, som demonstrationen af phishingforsøget på den ukrypterede kopi af internetsiden varede, inden han pillede siden ned.
Havde der været tale om en rigtig phisher, ville det ifølge Rasmus Porsager med metoden være muligt at agere mellemmand og derved også få adgang til den tredje dims i logon-løsningen, nemlig cifrene fra papkortet.
"Man ville højest sandsynlig ikke lave en phishing-site på NemID's side, men måske på Danske Bank. Du ville kunne gøre det alle steder, fordi NemID-login'et er implementeret alle steder," siger Rasmus Porager og peger på, at der derfor er stor risiko for phishing på mange forskellige domæner.
Kendt kritiker hos DanID
Rasmus Porsager er med mandagens lancering af hjemmesiden nejtilnemid.dk og indsamling af underskrifter mod logon-løsningen ikke en ukendt kritiker af NemID hos DanID, fortæller Jette Knudsen.
"Han har overskredet grænsen for sin egen troværdighed som kritiker ved at gå et skridt for langt, så han bliver hærværksmand. Når han skal aflevere sine underskrifter hos ministeren vil han jo risikere ikke at blive set på som en demokratisk borger, men som utroværdig og let kriminel," siger Jette Knudsen.
Bidrager ikke med ny viden
Dermed anerkender hun ikke værdien af den demonstration af sikkerheden, som Rasmus Porsager udførte med det opsatte phishing-forsøg.
"Han har ikke peget på et sikkerhedshul, som vi ikke kendte i forvejen," siger Jette Knudsen.
Rasmus Porsager giver da også DanID ret i, at phishing begrebet er en gammel metode, der siden midten af 1990'erne er vokset.
"Det er også derfor, at det undrer mig, at de ikke har beskyttet sig bedre imod det. Det er meget simpelt at købe andre domæner som minder om ens eget," siger Rasmus Porsager.
Han peger også på, at DanID kan gøre mere for at informere brugerne om at benytte en sikker forbindelse via https og et gyldigt certifikat udstedt af udbyderen.
Vil overdrage materiale til DanID
Rasmus Porsager fortæller, at han i forbindelse med phishing-demonstrationen ikke loggede brugeroplysninger på siden, og at han efterfølgende har tilbudt at overdrage DanID de lignende domæner og materiale fra forsøget.
Det tilbud overvejer DanID ifølge Jette Knudsen, om det vil gøre brug af, mens firmaet ligeledes overvejer, om onsdagens aktion skal have juridiske eller økonomiske følger for Rasmus Porsager.
"Han har overtrådt en lang række bestemmelser. Om der kommer nogen konsekvenser, det er under overvejelse lige nu," siger Jette Knudsen.
