Όταν ο στόχος είναι ο άνθρωπος
Σε αρκετές περιπτώσεις οι δράστες δεν χρειάζεται να παραβιάσουν κάποιο πολύπλοκο πληροφοριακό σύστημα. Αρκεί να πείσουν τον χρήστη να τους ανοίξει ουσιαστικά την πόρτα.
Αυτό ακριβώς είναι η κοινωνική μηχανική (social engineering): η εκμετάλλευση ανθρώπινων συναισθημάτων και αντιδράσεων, όπως ο φόβος, η εμπιστοσύνη, η περιέργεια και κυρίως η πίεση χρόνου.
Φράσεις όπως "ο λογαριασμός σας πρόκειται να κλειδωθεί", "εντοπίστηκε ύποπτη συναλλαγή", "δικαιούστε επιστροφή χρημάτων" ή "πρέπει να ενεργήσετε τώρα" δεν χρησιμοποιούνται τυχαία.
Έχουν σχεδιαστεί ώστε να προκαλέσουν άγχος και να οδηγήσουν το θύμα σε μια γρήγορη απόφαση.
Η βιασύνη, επομένως, είναι από τα σημαντικότερα σημάδια που πρέπει να μας κάνουν να σταματήσουμε και να ελέγξουμε την κατάσταση.
Οι πιο συνηθισμένες μορφές ψηφιακής απάτης
Phishing: Ψεύτικα email που οδηγούν σε πλαστές ιστοσελίδες ή ζητούν προσωπικά και οικονομικά στοιχεία.
Smishing: Παρόμοια προσπάθεια εξαπάτησης, αλλά μέσω SMS ή εφαρμογών ανταλλαγής μηνυμάτων.
Vishing: Τηλεφωνική απάτη, κατά την οποία ο δράστης παρουσιάζεται ως υπάλληλος τράπεζας, λογιστής, τεχνικός ή εκπρόσωπος κάποιας υπηρεσίας.
Κλώνοι τραπεζικών ιστοσελίδων: Ψεύτικες σελίδες που αντιγράφουν την εμφάνιση του e-banking και καταγράφουν όσα πληκτρολογεί ο χρήστης.
Απάτες μέσω αγγελιών: Ο υποτιθέμενος αγοραστής στέλνει έναν σύνδεσμο, υποστηρίζοντας ότι χρειάζεται για την ολοκλήρωση ή την είσπραξη της πληρωμής, και κατευθύνει τον πωλητή σε πλαστή τραπεζική σελίδα.
Business Email Compromise (BEC): Οι δράστες παραποιούν ή αποκτούν πρόσβαση σε επαγγελματική επικοινωνία και στέλνουν ένα μήνυμα που μοιάζει να προέρχεται από πραγματικό στέλεχος ή συνεργάτη, ζητώντας για παράδειγμα άμεση πληρωμή ή αλλαγή τραπεζικού λογαριασμού.
Παρά τις διαφορές τους, όλες αυτές οι πρακτικές βασίζονται στην ίδια λογική: πρώτα δημιουργούν την αίσθηση εμπιστοσύνης και στη συνέχεια ασκούν πίεση, ώστε το θύμα να παρακάμψει τους συνηθισμένους ελέγχους.
Η Τεχνητή Νοημοσύνη κάνει τις απάτες πιο πειστικές
Η εξέλιξη της παραγωγικής Τεχνητής Νοημοσύνης προσθέτει ένα ακόμη επίπεδο δυσκολίας στην αναγνώριση μιας απάτης.
Ένα μήνυμα δεν χρειάζεται πλέον να περιέχει περίεργες εκφράσεις ή εμφανή γλωσσικά λάθη για να είναι ύποπτο. Με τη βοήθεια της AI μπορούν να παραχθούν σε πολύ μεγάλη κλίμακα:
καλογραμμένα και προσωποποιημένα μηνύματα,
ψεύτικες φωτογραφίες και βίντεο,
απομιμήσεις ανθρώπινης φωνής,
επικοινωνίες που μιμούνται το ύφος ενός γνωστού ή συνεργάτη,
πολλές διαφορετικές εκδοχές της ίδιας απάτης.
Αυτό σημαίνει ότι ούτε η άψογη σύνταξη ενός email ούτε μια φωνή που ακούγεται γνώριμη αποτελούν πλέον επαρκή απόδειξη γνησιότητας.
Αν κάποιος που εμφανίζεται ως συγγενής, συνεργάτης, προϊστάμενος ή λογιστής ζητήσει ξαφνικά χρήματα ή ευαίσθητα τραπεζικά στοιχεία, είναι προτιμότερο να τερματίσουμε την επικοινωνία και να τον καλέσουμε εμείς, χρησιμοποιώντας έναν αριθμό που έχουμε ήδη αποθηκευμένο ή γνωρίζουμε ότι είναι αυθεντικός.
Οκτώ βασικοί κανόνες για μεγαλύτερη ασφάλεια
Μπαίνουμε στο e-banking μόνο από επίσημο κανάλι
Δεν χρησιμοποιούμε συνδέσμους που μας έχουν σταλεί μέσω email, SMS ή εφαρμογής μηνυμάτων. Πληκτρολογούμε οι ίδιοι τη διεύθυνση της τράπεζας ή ανοίγουμε την επίσημη εφαρμογή.
Ελέγχουμε προσεκτικά το URL
Μια μικρή αλλαγή σε ένα γράμμα, μια παύλα ή την κατάληξη της διεύθυνσης μπορεί να σημαίνει ότι βρισκόμαστε σε πλαστό ιστότοπο.
Δεν δίνουμε ποτέ κωδικούς και PIN
Κωδικοί πρόσβασης, PIN και κωδικοί μιας χρήσης δεν πρέπει να αποκαλύπτονται σε τρίτους. Νόμιμοι οργανισμοί και τράπεζες δεν ζητούν τα πλήρη στοιχεία σύνδεσής μας μέσω τηλεφώνου ή μηνύματος.
Δεν εγκρίνουμε ειδοποιήσεις χωρίς έλεγχο
Πριν πατήσουμε "έγκριση", εξετάζουμε τι ακριβώς επιβεβαιώνουμε. Ελέγχουμε το ποσό, τον δικαιούχο και το είδος της ενέργειας που εμφανίζεται στην οθόνη.
Ενεργοποιούμε MFA
Ο πολυπαραγοντικός έλεγχος ταυτότητας προσφέρει ένα επιπλέον επίπεδο προστασίας. Δεν σημαίνει όμως ότι πρέπει να εγκρίνουμε κάθε ειδοποίηση που εμφανίζεται στο κινητό μας.
Επιβεβαιώνουμε τα οικονομικά αιτήματα ανεξάρτητα
Μια αλλαγή IBAN, ένας νέος δικαιούχος ή μια ασυνήθιστη πληρωμή πρέπει να επιβεβαιώνεται μέσω δεύτερου καναλιού. Χρησιμοποιούμε στοιχεία επικοινωνίας που γνωρίζαμε ήδη και όχι εκείνα που περιλαμβάνονται στο ύποπτο μήνυμα.
Χρησιμοποιούμε διαφορετικούς, ισχυρούς κωδικούς
Η επαναχρησιμοποίηση του ίδιου κωδικού σε πολλές υπηρεσίες αυξάνει σημαντικά τον κίνδυνο. Ένας διαχειριστής κωδικών μπορεί να βοηθήσει στη δημιουργία και αποθήκευση διαφορετικών κωδικών και, σε ορισμένες περιπτώσεις, να προειδοποιήσει για ύποπτες ιστοσελίδες.
Δεν υποκύπτουμε στην πίεση
Όταν ένα μήνυμα απαιτεί άμεση ενέργεια, κάνουμε ακριβώς το αντίθετο: σταματάμε και ελέγχουμε. Η πίεση χρόνου είναι συχνά μέρος της μεθόδου εξαπάτησης.
Το HTTPS δεν σημαίνει ότι η ιστοσελίδα είναι γνήσια
Ένα ακόμη συχνό λάθος είναι να θεωρούμε ότι το εικονίδιο με το λουκέτο ή η ένδειξη HTTPS αποδεικνύουν ότι ένας ιστότοπος είναι ασφαλής και ανήκει στην τράπεζα ή στον οργανισμό που αναφέρει.
Στην πραγματικότητα, αυτά δείχνουν ότι η σύνδεση με τη συγκεκριμένη ιστοσελίδα είναι κρυπτογραφημένη. Δεν επιβεβαιώνουν την ταυτότητα του ιδιοκτήτη της σελίδας.
Γι’ αυτό είναι απαραίτητος ο έλεγχος ολόκληρης της διαδικτυακής διεύθυνσης και όχι μόνο η παρουσία του λουκέτου.
Τι κάνουμε αν έχουμε ήδη δώσει στοιχεία ή εγκρίνει συναλλαγή
Αν έχουμε ήδη πέσει θύμα απάτης, η άμεση αντίδραση μπορεί να περιορίσει τις συνέπειες. Δεν περιμένουμε να δούμε αν οι απατεώνες θα χρησιμοποιήσουν τα στοιχεία που τους δώσαμε.
Επικοινωνούμε άμεσα με την τράπεζα ή τον αντίστοιχο πάροχο, χρησιμοποιώντας μόνο τα επίσημα στοιχεία επικοινωνίας.
Ζητούμε, όπου είναι εφικτό, μπλοκάρισμα καρτών, λογαριασμών ή συναλλαγών.
Αλλάζουμε αμέσως τον κωδικό που αποκαλύφθηκε και όλους τους άλλους λογαριασμούς όπου χρησιμοποιούσαμε τον ίδιο κωδικό.
Ελέγχουμε τις τελευταίες συνδέσεις και συναλλαγές και αποσυνδέουμε άγνωστες συσκευές.
Κρατάμε όλα τα διαθέσιμα στοιχεία, όπως email, SMS, αριθμούς τηλεφώνου, συνδέσμους, screenshots, IBAN και αποδείξεις συναλλαγών.
Ενημερώνουμε τη Διεύθυνση Δίωξης Κυβερνοεγκλήματος στο 11188, υποβάλλουμε καταγγελία μέσω του gov.gr ή απευθυνόμαστε στη SafeLine.gr για παράνομο περιεχόμενο στο διαδίκτυο.
Σε περίπτωση εταιρικού περιστατικού, ενημερώνουμε χωρίς καθυστέρηση τον υπεύθυνο ασφάλειας ή το αρμόδιο τμήμα Πληροφορικής.
Η προσοχή του χρήστη παραμένει κρίσιμο κομμάτι της ασφάλειας
Οι μέθοδοι ηλεκτρονικής εξαπάτησης εξελίσσονται παράλληλα με την τεχνολογία. Για τον λόγο αυτό, η κυβερνοασφάλεια δεν μπορεί να θεωρείται αποκλειστικά υπόθεση των ειδικών πληροφορικής.
Τα τεχνικά μέτρα προστασίας είναι απαραίτητα, όμως μπορούν να αποδειχθούν ανεπαρκή όταν ένας εργαζόμενος πείθεται να παρακάμψει μια διαδικασία ή όταν ένας πολίτης εγκρίνει βιαστικά μια συναλλαγή.
Ένας ενημερωμένος εργαζόμενος που αναγνωρίζει ένα ύποπτο email, ένας υπάλληλος που επιβεβαιώνει ανεξάρτητα μια αλλαγή τραπεζικού λογαριασμού ή ένας χρήστης που αποφεύγει ένα ύποπτο link μπορεί να αποτρέψει μια σημαντική οικονομική ζημιά.
Το πιο σημαντικό είναι να μην εμπιστευόμαστε αποκλειστικά την εμφάνιση ή τον τρόπο με τον οποίο παρουσιάζεται ένα μήνυμα. Ένα email μπορεί να φαίνεται αυθεντικό, μια ιστοσελίδα να είναι σχεδόν ίδια με την πραγματική και μια τηλεφωνική φωνή να μοιάζει απόλυτα γνώριμη.
Γι’ αυτό ένας απλός κανόνας αξίζει να γίνει καθημερινή ψηφιακή συνήθεια:
"Σταματάμε. Ελέγχουμε. Επιβεβαιώνουμε. Και μετά ενεργούμε".
Μερικά δευτερόλεπτα επιπλέον πριν από ένα κλικ, την αποκάλυψη ενός κωδικού ή την έγκριση μιας συναλλαγής μπορεί να είναι αρκετά για να αποτρέψουν μια απάτη με σοβαρές οικονομικές και προσωπικές συνέπειες.
