Koko kansan mobiilimaksu

Noin kuukausi sitten suomalaisten matkapuhelinoperaattorien asiakkaat alkoivat ihmetellä, kun laskulla näkyi outoja veloituksia palveluviesteistä. Summat vaihtelivat muutamasta eurosta useisiin kymppeihin. Alun selvityksien jälkeen kävi ilmi, että laskuttaja oli ollut Dimoco Europe Gmbh.

Dimoco Europe Gmbh on kansainvälisesti toimiva palveluntarjoaja, joka tarjoaa asiakkailleen mobiilimaksuratkaisuja. Suomalaisilla matkapuhelinoperaattoreilla on sopimus Dimocon kanssa, jotta Dimocon asiakkaat saavat rahansa suomalaisilta mobiilikäyttäjiltä. Tämä tarkoittaa sitä, että suomalaiset matkapuhelinoperaattorit näkevät Dimocon tekemän laskutuksen, mutta eivät yksityiskohtia veloituksesta. Ongelmana on, että veloitukset voivat olla vilpillisesti tehty. Kuvassa 1 on esiteltynä operaattorit, laskuttaja eli Dimoco ja pohjalla Dimocon asiakkaat eli palveluntarjoajat, jotka tarjoavat kuluttajille maksullista mobiilisisältöä.

Kuva 1. Toimintaperiaate.

Sekä Soneran että Elisan asiakkaat alkoivat pitää oudoista veloituksista meteliä. Myös DNA:n palstalla asiakkaat heräsivät.

Aluksi operaattorien asiakaspalvelijat toimivat normaalin kaavan mukaan, eli pyysivät olemaan yhteydessä palveluntarjoajaan. Pian alkoi selvitä, että kyse oli "uudesta" ominaisuudesta nimeltä Mobiilimaksu. Ominaisuutta kritisoitiin palstoilla, koska se tekee väärinkäytökset liian helpoksi.

Viime viikon puolivälissä sekä Elisa että Sonera sulkivat toistaiseksi laskutusyhteyden Dimocolle päin johtuen epäselvistä laskutuksista. DNA seurasi perässä. Tällä hetkellä asia on siis em. operaattoreilla tutkinnassa. Sonera on myös kerennyt jo todeta seuraavaa:

“Yhden palvelun toteuttajan kohdalla on ilmennyt epäselviä ja ohjeistuksen vastaisia maksun hyväksyntäsivuja kolmella aikuisviihdesivustolla. Kaikki sivustot korjattiin Dimocon toimesta 2.11. mennessä. Jos laskullasi on palveluveloituksia Dimoco Europe GmbH nimiseltä yritykseltä ennen 2.11.2015, Sonera hyvittää ne automaattisesti eikä asiakkaan tarvitse olla yhteydessä Sonera asiakaspalveluun”.

Muutaman googletuksen jälkeen kävi ilmi, että Dimoco on saanut kritiikkiä myös muuallakin kuin Suomessa. Tämä ei sinänsä yllätä - kyseessä on kuitenkin suuri toimija.

Eräs Soneran palstalla kirjoitellut käyttäjä oli saanut selvitettyä Dimocolta, mistä odottamaton veloitus oli hänelle kertynyt. Asiaa tutkittuaan hän kommentoi seuraavasti:

Kuva 2. Soneran palstalaisen havaintoja.

Palstojen keskusteluista kävi myös ilmi, että veloituksia oli tullut mm. finnish-here-sivustolta. Sonera oli huomannut lokakuussa, että sivusto oli ollut harhaanjohtava, jonka vuoksi Dimocoa pyydettiin korjauttamaan sivusto asianmukaiseksi. Korjaus oli tehty 19.10.2015.

Kävin vierailemassa finnish-here-sivustolla kiinteällä yhteydellä. Sivuston suomen kieli oli huonoa – selkeästi konekäännettyä. Ensimmäiseksi sivusto pyysi vahvistamaan iän. Tämän jälkeen näytölle aukesi suuri määrä aikuisviihdevideoita, joissa oli päällä toista-nappi. Tai sellaisen käsityksen sivusto halusi antaa. Videot olivat oikeasti vain kuvia. Toista-nappia painettaessa sivuston antoi virheilmoituksen. Mainintaa sivuston maksullisuudesta ei löytynyt. Kuva 3 on finnish-here-sivustolta ja se on tarkoituksella sotkettu.

Kuva 3. Esimerkkikuva sivustolta http://finnish-here.mobi.

Sivuston alareunasta löytyi palveluntarjoajan yhteystiedot ja mm. käyttöehdot, jotka olivat suhteellisen hyvää suomen kieltä. Käyttöehdoista kuitenkin löytyi lopulta tieto, että kyse on maksullisesta palvelusta:

“2. Sopimus astuu voimaan, kun käyttäjä vahvistaa palveluntarjoajan palvelun käytön painamalla mobiililaitteellaan vahvistus-/ostopainiketta, ja palveluntarjoaja on sen jälkeen mahdollistanut palvelun käytön.”

Missään ei kuitenkaan ollut osto- tai vahvistuspainiketta tai edes hintaa palvelulle. Itse sivuston selaaminen tai sen lähdekoodi ei antanut suoria viitteitä vilpistä.

Soneran ja Elisan mobiilimaksutoteutukset eroavat hieman toisistaan. Soneralla on lista web-sivustoista, joita kohti liikennöidessä liittymänumero lisätään HTTP-pakettiin. Tämä on täysin näkymätön toimenpide käyttäjälle. Elisan ratkaisussa liikennöidään kohti maksuyhdyskäytävää, jolloin liittymänumero lisätään HTTP-pakettiin. Käyttäjän on mahdollista havaita tämä liikennöinnissä.

Seuraavaksi tarkastelin, mitä oikeasti tapahtui, kun finnish-here-sivustolla vierailtiin. Käytössäni oli Elisan mobiiliyhteys. Alla olevassa kuvassa nähdään kaikki HTTP-pyynnöt, jotka lähtivät selaimestani, ennen kuin saavuin iänvahvistukseen (ylhäällä viimeisin pyyntö):

Kuva 4. Liikennöintiä sivustolle.

Liikennöinnistä kävi ilmi, että heti sivustolle saavuttaessa käyttäjälle luodaan tunniste, jonka jälkeen tehtiin uudelleenohjaus “services.dimoco.at” –sivustolle tunnisteen kera. Kun Dimoco oli käsitellyt tunnisteen, tehtiin uudelleenohjaus Elisan maksuyhdyskäytävälle, joka puolestaan ohjasi käyttäjän takaisin Dimocon domainiin ja lopulta takaisin finnish-here-sivustolle. Tässä vaiheessa ei siis ollut ostettu mitään. Ainakaan tietoisesti. Herääkin kysymys, miksi Elisan suuntaan oli tarve jo liikennöidä.

Jotta uudelleenohjaus Elisan suuntaan toteutui, oli käytettävä mobiilipohjaista selainta. Lisäksi kumppanioperaattorin tunnistus tehtiin ilmeisesti ip-osoitepohjaisesti (todettu aiemmissa blogikirjoituksissa). Kiinteää yhteyttä käyttäessä liikennöintiä ei siis tapahtunut Elisaa kohti, eikä olisi pitänytkään.

Klikkailin itseni eteenpäin ikätarkistuksesta ja aloin napsutella toista-painikkeita kuvien päältä. Tässä vaiheessa huomiona, että sivuston sisältö oli täysin vastaava kuin kiinteällä liittymällä selatessa.

Myöskään mobiiliyhteydellä kuvat eivät johtaneet videoihin. Alla kuvankaappaus liikennöinnistä (ylhäällä viimeisin pyyntö):

Kuva 5. Liikennöintiä toista-napin painamisen jälkeen.

Kuvasta 5 kuitenkin huomataan, että liikennöinti poikkeaa hieman verrattuna sivustolle saapumiseen. Selain tekee HTTP-kyselyn URI:iin /backend/api/ext… Lisäksi taas neuvotellaan Elisan maksuyhdyskäytävän kanssa. Veloitusta liittymältä ei tapahtunut.

Finnish-here-sivusto on hostattuna ip-osoitteessa 217.140.66.183. Kyseiseen ip-osoitteeseen osoittaa myös seuraavat domainit:

hotclips[.]mobi

maxxxflat[.]mobi

hotvod[.]mobi

hornyaut[.]mobi

Kaikki sivustot ovat samankaltaisia finnish-here-sivuston kanssa, mutta ne ovat vain suunnattu eri maiden kansalaisille. Pyrkimys niillä näyttäisi olevan täysin sama: rahastus. Osalla sivustoista mainitaan, että kyseessä on maksullinen palvelu. Esimerkiksi hornyaut[.]mobi-sivusto ilmoittaa, että painamalla toista-painiketta, mobiilikäyttäjä hyväksyy palvelun tekemän välittömän 12 euron veloituksen sekä pidättäytyy oikeudesta kyseisen veloituksen perumiseen.

Kuva 6. "Houkutteleva" 12 euron tarjous.

On hyvin todennäköistä, että finnish-here-sivustonkin olisi tarkoitus laskuttaa asiakasta, kun toista-nappia painetaan. Ilmeisesti veloitus ei nyt onnistunut, koska Elisa on katkaissut laskutusyhteyden Dimocolle.

Blogikirjoituksessa esiintyvien sivustojen palveluita ylläpitää Cloudcover SRL

–niminen yritys, joka sijaitsee Romaniassa. Kokonaisuutena bisnes on kuitenkin suurempi kuin moni on varmasti ajatellut. Kasasin blogikirjoituksen loppuun kaikki havaitsemani, Cloudcoverin kaltaiset palveluntarjoajat, jotka levittäytyvät pitkin Eurooppaa. Lisäksi listauksessa on linkkejä Finnish-here-sivuston kaltaisiin sivustoihin, jotka ovat suunnattu muualle kuin Suomeen.

Mobiilimaksut tulevat varmasti jatkossa yleistymään merkittävästi ja sen myötä myös vilpilliset palveluntarjoajat. Kun palveluntarjoajan välissä on vielä toinen palveluntarjoaja, kuten Domeco, ei tarkkaa tietoa lopullisesta velottajasta välttämättä saa helposti. Domeco kuitenkin tarjoaa sivustollaan palvelua, josta voi tarkastella liittymälle kertyneitä veloituksia.

Jos mobiilimaksamisen haitoista haetaan jotain positiivista, niin nykyään asiakaspalvelu alkaa jo ymmärtää, että veloitukset voivat tulla muustakin kuin asiakkaan holtittomasta numeron jakamisesta nettikilpailuihin, kädettömyydestä tai mukulan tilaamista mobiilipeleistä.

Estääksesi mobiilimaksamisen, kytke liittymällesi esto palvelutekstiviesteille. Pelkän mobiilimaksamisen estäminen ei ole mahdollista.

Blogikirjoituksessa käsiteltiin yhtä suomalaisille kohdistettua palvelua, jonka havaittiin toimivan epäilyttävästi. Ei ole tiedossa, kuinka kuluttajat ovat sivustolle päätyneet. Sivusto ei varmastikaan nouse korkealle hakukoneiden tuloksissa, joten on mahdollista, että kuluttajat on ohjattu jonkin toisen sivuston kautta palveluun.

Alla myös aiemmat blogikirjoitukseni, joissa käsitellään mobiimaksamisen väärinkäyttöä:

• Helvet** palvelutekstiviestit
• Identifying Mobile Network Users

Domainit:

69clips[.]mobi

alpenfun[.]mobi

autjoy[.]mobi

autvids[.]mobi

bonplaisir[.]mobi

chevids[.]mobi

chicks-piccante[.]mobi

click4fun[.]mobi

clique-erotique[.]mobi

deujoy[.]mobi

deujoytube[.]mobi

deujoyvids[.]mobi

deumobile[.]mobi

deumobvid[.]mobi

deumovie[.]mobi

dirtyclips[.]mobi

dirtyjeux[.]mobi

eroticphone[.]mobi

erovod[.]mobi

espavids[.]mobi

firstchoicexxx[.]com

frenchmobile[.]mobi

friendlyapp[.]mobi

frivoly[.]mobi

frmymobile[.]mobi

fummelvideos[.]com

funflat[.]mobi

funvod[.]mobi

geileseiten[.]mobi

gervid[.]mobi

gfkjkegffwfsjhg2jhg8gdskajbdfjkasgvfhsvbcf4wkvc[.]com

hairydarlings[.]mobi

happyapp[.]mobi

hookernow[.]mobi

hornyandhappy[.]mobi

horowelt[.]mobi

hot3gphone[.]mobi

hotaut[.]mobi

hotdreamz[.]mobi

hotelhure[.]mobi

hotload[.]mobi

hotmobilevids[.]net

hotmovil[.]mobi

hotsweets[.]mobi

hurehier[.]mobi

juicyaut[.]mobi

juicydeu[.]mobi

livechics[.]mobi

lovelyfun[.]mobi

maennertv[.]mobi

mobilewelt[.]net

mobilspass[.]com

moobile666[.]mobi

myautvod[.]mobi

mydeujoy[.]mobi

myhooker[.]mobi

mymobilefun[.]mobi

mymobilevids[.]mobi

myvideos[.]mobi

myvids4[.]mobi

ochochicas[.]com

onlyamateurs[.]mobi

onvod[.]mobi

partyvid[.]mobi

picshunter[.]mobi

private24[.]mobi

privatexxxshow[.]com

seksi-klipleri[.]mobi

sexscout[.]mobi

sexydeu[.]mobi

sexymobile[.]mobi

sexyonly[.]mobi

sexypause[.]mobi

sexysurf[.]mobi

smartat[.]mobi

snappyapp[.]mobi

steamesp[.]mobi

steamnld[.]mobi

steamylust[.]mobi

suchmaus[.]mobi

sweet2hot[.]mobi

sweethots[.]mobi

swevids[.]mobi

sydneysin[.]mobi

threegirls[.]mobi

tightteens[.]mobi

tubez[.]mobi

veces-sexy[.]mobi

videogoesmobile[.]mobi

videos4mobile[.]mobi

vidzbox[.]mobi

vodinswe[.]mobi

vodphone[.]mobi

wuschig[.]mobi

xxxfiles-aut[.]mobi

xxxfilmy[.]mobi

xxxmoments[.]com

xxxstadl[.]mobi

xxxtrasexy[.]com

yourcom[.]mobi

yourdeujoy[.]mobi

Palveluntarjoajat:

RapidGo SRL

EasyMedia D.O.O.

betacore sp z.o.o.

Emvado Webadvertising B.V.

Lowomobile SP.Z.O.O.

Concept Media Group

Intercon Media GmbH & Co. KG

Marvelo Media S.R.L.

Media on Demand GmbH & Co KG

Nidononline SRL

Olega Online UG

Pembroke SRL

CloudCover SRL

ViperTown SRL

Nevillo Mobile B.V.

Team internet media b.v

clickmedia4you D.O.O.

//Päivitetty teknistä selostusta 24.1.2016