Statseid Telco BSNL bruker kodeinnsprøytning i nettlesere for å vise ondsinnede annonser, Indias Digital Liberties Organization legger merke til

Personvern og sikkerhet på internett bør være en grunnleggende rettighet. Mange land innfører strenge regler for å beskytte brukerne. Som regjeringer har til og med internettleverandører en stor rolle i å beskytte brukerne. Ifølge rapporter gjør Indias statseide teleselskap BSNL akkurat det motsatte.

BSNL Doling Out-annonser gjennom nettleserinjeksjoner

Internet Freedom Foundation er en indisk organisasjon for digitale friheter som arbeider for å forsvare online frihet og privatliv for brukere i India. 17. mai la de ut en rapport som beskriver feilbehandling av BSNL, spesielt med henvisning til bruk av nettleserinjeksjoner.

I utgangspunktet injiserer BSNL kode i nettlesere ved å endre DOM-strukturen til HTML og sette inn ytterligere HTML iframe-er som inneholder annonsen. Dette er en vanlig teknikk som praktiseres av malware og skyggefulle nettleserutvidelser som injiserer annonser i en brukers nettleser, men det er uhørt fra en ISP. Mange klager vi kunne finne tilbake til 2014, og som det fremgår av dette Reddit-innlegget her, er det fortsatt et problem.

Selv annonseinnholdet utgjør en stor trussel fordi det meste er rett opp malware. BSNL er et statlig selskap som leverer internett til mange små byer og landsbyer i India, der teknologikompetanse er lav, slik at folk i disse regionene blir enkle mål, og dette blir en farlig kombinasjon.

Som IFFs rapport påpeker riktig, er denne praksisen ulovlig i henhold til Indias egne internettlover. IFF skriver “Departementet for telekommunikasjon sirkulerte også en kunngjøring om at minimumskrav til sikkerhet skal oppfylles av lisensinnehaveren, i tråd med DoTs lisensieringsbetingelser i mai 2011. Det forventer spesifikt at det skal være tiltak mot inntrenging av skadelig programvare, beskyttelse av informasjon i nettverk og sine fasiliteter, grunnleggende oppdaterte sikkerhetstiltak i samsvar med lovbestemte, regulatoriske, lisensierende eller kontraktsmessige forpliktelser. BSNL ser ut til å være klart å ikke oppfylle disse kravene.”

Som denne Reddit-brukeren (og flere andre) påpeker, gjør andre Internett-leverandører det samme. Det som er verre er at MTNL også er et statlig selskap.

Denne tweeten ovenfor beskriver noen av de skyggefulle URL-ene der brukerne blir ledet gjennom annonsene.

BSNL’s Financial Woes

BSNL har vært i en finanskrise i ganske lang tid nå. Gjennom årene har det vært hard konkurranse mellom private telekomspillere i India, og BSNL har rett og slett ikke vært i stand til å konkurrere. I år ble lønnene til de 1,76 lakh-ansatte forsinket på grunn av en stor kontantknusing som rammet selskapet.

Dette forklarer noe hvorfor BSNL har slike avtaler med skyggefulle annonsenettverk. Betalende brukere som overlater Internett-leverandører deres sikkerhet og personvern, trenger ikke å tåle dette. Det er veldig bekymringsfullt at en Internett-leverandør, enn si en statseid, vil gjøre dette. Bekymrede myndigheter bør iverksette umiddelbare tiltak basert på IFFs rapport.

Du kan lese IFFs detaljerte rapport her.