Lögreglan á höfuðborgarsvæðinu segir að yfir 300 ungmenni noti símastillingu sem heitir „Island Surge VPN“. Hún lætur þau líta út fyrir að vera eldri á island.is og í netbankanum. Stillingin hleypir líka ókunnugum að netumferð símans, svo hann getur lesið hana og breytt henni. Hér fyrir neðan sérðu hvernig þú finnur stillinguna og fjarlægir hana.
Hvað gerðist?
Lögreglan varaði foreldra og forráðamenn við 14. október. Ungmenni höfðu keypt fölsuð rafræn skilríki og einn maður var handtekinn.
Að sögn lögreglunnar borguðu unglingar fyrir aðgang að vefsíðu eða iPhone-appi sem líkist island.is. Önnur vara var líka til sölu, svokallaður VPN-prófíll sem heitir „Island Surge VPN“. Hann breytir kennitölunni sem unglingurinn sér á island.is og í netbankanum, svo hann virðist nógu gamall til að kaupa áfengi eða nikótín.
Landsbankinn segir að hægt hafi verið að kaupa prófílinn á netinu frá 8. júlí til 8. október. Hann er ekki lengur til sölu. Sími sem hann var settur upp á er samt opinn þar til prófíllinn er fjarlægður.
Hvernig virkar þetta?
VPN sendir alla netumferð símans í gegnum tölvu annars aðila. Venjuleg VPN-þjónusta frá traustum fyrirtækjum er gagnleg. Þessi þjónusta er annars eðlis.
Til að brellan virkaði þurfti unglingurinn að setja prófílinn upp og kveikja svo á trausti fyrir öryggisvottorði í stillingum símans. Lögreglan segir að vottorðið heiti „Surge CA“ eða „Surge Generated CA“. Síminn notar vottorð til að kanna hvort vefsíða, til dæmis bankinn, sé sú sem hún segist vera.
Lögreglan líkir þessu við bréf. Venjulega er netumferðin eins og bréf í lokuðu umslagi sem bara síminn og vefsíðan geta opnað. Hengilásinn í vafranum sýnir að innsiglið er órofið. Með prófílnum tekur síminn líka gild innsigli frá ókunnugum. Sá ókunnugi getur opnað bréfið, lesið það, breytt því, lokað því aftur og sent það áfram. Síminn sýnir hengilásinn áfram eins og ekkert hafi gerst.
Af hverju skiptir þetta máli?
Málið snýst um meira en fölsuð skilríki. Lögreglan nefnir þessar hættur fyrir alla sem eru með prófílinn í símanum:
- Hægt er að lesa umferðina. Sá sem rekur þjónustuna sér umferðina til island.is og bankanna, líka persónu- og bankaupplýsingar eftir innskráningu.
- Hægt er að breyta umferðinni. Þjónustan breytir nú þegar því sem unglingurinn sér á skjánum.
- Hún getur náð lengra án viðvörunar. Síminn treystir vottorðinu fyrir allar vefsíður, ekki bara bankana. Rekstraraðilinn gæti farið að skoða tölvupóst, samfélagsmiðla eða skilaboð og síminn segði samt að tengingin væri örugg.
- Rekstraraðilinn veit hver unglingurinn er. Til að kaupa þjónustuna þurftu unglingarnir að gefa upp rétta kennitölu og borga á netinu í gegnum Stripe. Rekstraraðilinn er því með rétta kennitölu, fullt nafn, netfang og í sumum tilvikum mynd.
- Gögnin eru farin úr landi. Lögreglan segir að persónuupplýsingar barnanna séu nú utan Íslands og EES.
Arnar S. Gunnarsson, öryggisstjóri hjá upplýsingatæknifyrirtækinu OK, sagði við Vísi 19. október að lærdómurinn nái langt út fyrir unglingana. Sá sem setur upp ókeypis VPN frá óþekktum aðila sendir alla umferð sína í gegnum tölvu ókunnugs manns. Hann minnti á gömlu regluna: ef eitthvað er ókeypis gætir þú verið varan.
Lögreglan bendir á að það telst skjalafals samkvæmt almennum hegningarlögum að framvísa fölsuðum skilríkjum. Hún biður foreldra að ræða rólega við börnin sín um öryggi á netinu, frekar en að skamma þau.
Hvað átt þú að gera?
Skoðið iPhone eða iPad unglingsins saman í dag
Valmyndirnar heita þetta á ensku í símanum, eins og í tilkynningu lögreglunnar.
- Farðu í Settings > General > VPN & Device Management og leitaðu að „Island Surge VPN“.
- Farðu í Settings > General > About > Certificate Trust Settings. Ef þú sérð vottorð með „Surge“ í nafninu og kveikt er á því er prófíllinn virkur.
- Farðu aftur í VPN & Device Management, ýttu á prófílinn og veldu Remove Profile. Lögreglan segir að þetta fjarlægi bæði vottorðið og VPN-ið.
- Eyddu falska appinu úr símanum. Það ráð kemur frá Íslandsbanka.
- Þegar skref 1 til 4 eru búin skaltu breyta innskráningu og öryggisnúmerum í bankaappinu og netbankanum. Íslandsbanki ráðleggur líka að frysta greiðslukort í appinu og panta ný.
- Farðu yfir nýlegar færslur á reikningum og kortum. Samþykktu ekki beiðni um rafræn skilríki sem þú baðst ekki um.
- Ef eitthvað lítur grunsamlega út skaltu hringja strax í bankann: Íslandsbanki 440 4000, Landsbankinn 410 4000. Íslandsbanki segir að starfsfólk í útibúum geti líka hjálpað til við að fjarlægja stillingarnar. Lögreglan er í síma 444 1000.
Þetta á við alla: settu ekki upp „prófíl“ og treystu ekki vottorði af því að vefsíða, app eða manneskja bað þig um það. Bankar og opinberar stofnanir biðja ekki um slíkt.
Tvö góð ráð fyrir Android
Valmyndirnar hér fyrir neðan heita þetta á ensku. Í íslensku viðmóti geta heitin verið önnur.
1. Sjáðu hvaða VPN eru í Android-símanum
Opnaðu Settings > Network & internet > VPN. Ef þú sérð VPN sem þú þekkir ekki ýtir þú á tannhjólið við hliðina á því og velur Forget. Ef þú finnur ekki valmyndina skaltu skrifa VPN í leitina efst í Settings, því valmyndir eru ólíkar eftir framleiðendum.
2. Athugaðu hvort vottorðum hafi verið bætt við símann
Opnaðu Settings > Security & privacy > More security settings > Encryption & credentials og ýttu á User credentials undir „Credential storage“. Hjá flestum er ekkert þar nema vinnustaður eða skóli hafi bætt einhverju við. Þú getur fjarlægt vottorð sem þú þekkir ekki. Innbyggðu vottorðin í símanum haldast óbreytt. Í sumum símum heitir valmyndin bara „Security“.
Heimildir
Lögreglan á höfuðborgarsvæðinu: Lögreglan varar foreldra/forráðamenn við (14. október 2026)
Íslandsbanki: Varúð vegna „Island Surge VPN“ (14. október 2026)
Landsbankinn: Lögreglan varar við fölsuðum skilríkjum ungmenna (14. október 2026)
Vísir: Ísland.is-svindlið bjóði hættunni heim (19. október 2026)
DV: Lögreglan varar foreldra við (14. október 2026)
Google: Connect to a VPN on Android · Google: Add & remove certificates