Alle som skal til VM må ha denne appen på mobilen – nå slår eksperter full alarm

English version

– Det er ikke min oppgave å gi reiseråd, men personlig hadde jeg aldri dratt til Qatar med mobiltelefonen min.

Det sier NRKs sikkerhetssjef Øyvind Vasaasen etter en grundig gjennomgang av VM-appene.

Alle som skal reise til Qatar under fotball-VM blir nemlig bedt om å laste ned to apper som heter Ehteraz og Hayya.

Kort fortalt er Ehteraz en smittesporingsapp opprettet etter starten på covid-19, mens Hayya er en offisiell VM-app som brukes for å holde orden på kampbilletter og få tilgang til gratis T-bane i Qatar.

Spesielt smitteappen Ehteraz ber om en rekke tilganger til mobilen din, som å lese, slette eller endre alt av innhold på telefonen, samt tilgang til å koble seg opp mot Wifi og blåtann, overstyre andre apper og hindre telefonen å skru seg av til sovemodus.

Ehteraz-appen, som alle over 18 år som kommer til Qatar må laste ned, ber også om en rekke andre tilganger som for eksempel oversikt over nøyaktig posisjon, muligheten til å gjennomføre direkte oppringinger via telefonen samt muligheten til å deaktivere skjermlåsen din.

– Kan endre innholdet i telefonen din

Hayya-appen ber ikke om like mye, men krever også en rekke tilganger. Blant annet ber appen om tilgang til å dele dine personlige opplysninger omtrent helt uten begrensninger. I tillegg gir Hayya-appen tilgang til å vite telefonens nøyaktige posisjon, hindre enheten fra å gå i sovemodus og se telefonens nettverkstilkoblinger.

– De kan rett og slett endre innholdet i hele telefonen din og ha fri kontroll på den informasjonen som er der, er konklusjonen til NRKs sikkerhetssjef.

NRK har i ettertid blitt gjort oppmerksom på at det ikke var presisert godt nok at Vasaasen kommenterte på grunnlag av appens personvernerklæring. Sikkerhetssjefen uttaler seg om hva appen juridisk, og ikke teknisk, kan gjøre.

Han har som et ledd i mediehusets forberedelser til Qatar-VM gjennomgått appene.

Vasaasen er regelrett skremt av det NRKs sikkerhetsgjennomgang har avdekket.

– Når du laster ned disse to appene, så godtar du vilkårene som står i kontrakten, og de vilkårene er veldig sjenerøse. Du gir egentlig fra deg all informasjon i telefonen din. Du gir de som styrer appene muligheten til å lese, endre ting og justere. De får også anledning til å hente informasjon fra andre apper hvis de har kapasitet til å gjøre det, og det tror vi at de har.

Sikkerhetssjefen bildelegger at det egentlig er som at myndighetene får fri tilgang til huset ditt.

– Du sier at det er helt ok at myndighetene går inn der du bor. De får nøkkel, de kan komme seg inn. Du vet ikke hva de gjør der. De sier de kanskje ikke kommer til å benytte seg av sjansen, men du gir dem anledning. Og det ville du aldri gjort, påpeker Vasaasen.

Sammenlignes med Smittestopp

NRK har bedt Bouvet og Mnemonic, to uavhengige IT-sikkerhetsselskaper, om å gjennomgå det tekniske ved appene, og gi sine konklusjoner.

Spesielt Ehteraz-appen får kritikk, og sammenlignes med den første Smittestopp-appen i Norge.

– Den var jo en personvern-skandale. Hvis noen har litt mer onde hensikter enn Folkehelseinstituttet, så kan jo man gjøre ganske mye dårlig med den informasjonen som appen samler i utgangspunktet, sier Martin Gravråk i selskapet Bouvet.

Han forklarer at appen sporer hvor du drar, og mobiltelefonene som er i nærheten av deg. Dermed kan de krysskoble informasjonen og finne ut hvem du møter og prater med.

– Hvis du jakter på opposisjonen, homofile, eller andre du ikke liker, så vil jo en app som dette gjøre det veldig mye enklere for deg, slår Gravråk fast.

– Konsekvensene kan være betydelige

Også selskapet Mnemonic sammenligner Ehteraz-appen med første versjon av Smittestopp.

– Konsekvensene for enkeltpersoner og grupper dersom data fra Ehteraz kommer på avveie kan være betydelige, sier Tor Erling Bjørstad i Mnemonic til NRK.

Han har lastet ned appene og analysert hva som ligger i applikasjonspakkene, og mener ikke appene er hårreisende sammenliknet med «helt vanlige apper» som folk flest bruker.

– Samtidig behandler de data, særlig knyttet til GPS og posisjon, som har et høyt potensial for misbruk. Da må man på en måte stole på de som utvikler eller eier appene, og det er det jo ikke gitt at man har spesielt lyst til å stole på myndighetene i Qatar.

Hans tekniske analyse fant dog ingen tegn til at de faktisk kan endre ting som ligger lagret lokalt på mobilen, men advarer likevel om at grunnen kan være at det foreløpig ikke er implementert. Det kan altså komme i en oppdatering senere.

– Øker risikoen

Naomi Lintvedt, stipendiat ved det juridiske fakultet ved Universitetet i Oslo, har gjennomgått det juridiske ved appene etter forespørsel fra NRK.

Hun sier seg enig med NRKs sikkerhetssjef i at det er mye problematisk å finne, og beskriver appene som «veldig inngripende».

– Du kan ikke samtykke til deler av bruken, men til alt. Hvis jeg forstår appene riktig så vil det også være begrenset med muligheter til å endre tillatelser der. Det vil si at hvis du vil til VM, så har du ikke noe valg. Dette er en påtvungen app, med ingen valgmuligheter, påpeker hun.

Lintvedt sier rett ut at hvis hun var en arbeidsgiver, ville hun ikke tillatt at ansatte tok med jobbmobilen til Qatar.

Også som privatperson ville hun vært svært skeptisk til å bruke egen telefon i VM-landet.

– Hva er hovedkritikken mot disse appene, slik du ser det?

– De går altfor langt i hvilke data som registreres og brukes. De får altfor vide tilganger til å endre og ta over funksjonalitet på mobilen din, og som fremstår som helt unødvendige. Det muliggjør statlig overvåking, og siden det er Qatar må det også tas i betraktning. Det øker risikoen for at data vil brukes til andre formål enn ren smittesporing, mener hun.

Taushet fra Qatar

NRK har forelagt FIFA funnene om appenes inngripende datainnsamling. De opplyser at de ikke ønsker å kommentere saken.

Også VM-komitéen i Qatar og den qatarske regjeringen er forelagt kritikken mot appene. De har heller ikke besvart NRKs henvendelser.