ανάγνωση σε: 15 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps
Δεν χρειάζεται ένας hacker με τεχνικές γνώσεις. Χρειάζεται μόνο ένα πειστικό email και δύο δευτερόλεπτα απροσεξίας. Το υπόλοιπο το κάνουμε εμείς οι ίδιοι, πατώντας.
Στο ίδιο λογιστικό γραφείο των 200 πελατών, δύο εβδομάδες μετά. Ο υπεύθυνος μισθοδοσίας ανοίγει το email του στις 08:47. Ένα μήνυμα με θέμα «ΕΠΕΙΓΟΝ – Εκκρεμότητα φορολογικής δήλωσης πελάτη» μοιάζει να έρχεται από γνωστό αποστολέα. Υπάρχει ένας σύνδεσμος. Τον πατάει, βλέπει μια σελίδα σύνδεσης πανομοιότυπη με αυτή που χρησιμοποιεί καθημερινά, πληκτρολογεί το email και το password του. Η σελίδα «κολλάει» για λίγο και μετά τον στέλνει στην κανονική αρχική. Σκέφτεται ότι απλώς δεν δούλεψε ο σύνδεσμος, και συνεχίζει τη δουλειά του.
Δεν συνέβη τίποτα ορατό. Κι αυτό ακριβώς είναι που κάνει σήμερα το phishing τόσο επικίνδυνο.
Το phishing δεν είναι πια το κακογραμμένο email που ξέραμε
Παλαιότερα, μια απάτη ήταν σχετικά εύκολο να εντοπιστεί: κακά ελληνικά, περίεργη εμφάνιση, άγνωστος αποστολέας. Σήμερα ένα παραπλανητικό μήνυμα μπορεί να μοιάζει σχεδόν απόλυτα με πραγματικό: ίδιο λογότυπο, ίδια χρώματα, ίδια δομή. Μπορεί να εμφανίζεται ως μήνυμα τράπεζας, δημόσιας υπηρεσίας, Microsoft 365, courier, ακόμη και ως ίδιος ο πελάτης σας ή συνεργάτης με τον οποίο μιλάτε καθημερινά. Όταν η επίθεση γίνεται μέσω SMS, ονομάζεται smishing, και έχει γίνει εξίσου συνηθισμένη.
Η ίδια η Εθνική Αρχή Κυβερνοασφάλειας έχει προειδοποιήσει φέτος για εκστρατείες phishing που υποδύονται κρατικές υπηρεσίες με σκοπό την υποκλοπή κωδικών TAXISnet, e-banking και άλλων προσωπικών στοιχείων. Δεν πρόκειται, δηλαδή, για ένα θεωρητικό σενάριο, αλλά για κάτι που καταγράφεται ενεργά στην ελληνική αγορά.
Τα «δολώματα» αλλάζουν συνεχώς ανάλογα με την εποχή: μια φορολογική προθεσμία που πλησιάζει, μια δήθεν επιστροφή φόρου, ένα πρόστιμο λίγων ευρώ που «πρέπει να εξοφληθεί άμεσα», μια ειδοποίηση courier για δέμα που δεν παραλάβατε. Το κοινό χαρακτηριστικό όλων αυτών είναι η βιασύνη: σας ζητούν να ενεργήσετε τώρα, χωρίς χρόνο να το σκεφτείτε ή να το επαληθεύσετε. Αυτή η πίεση χρόνου είναι συχνά πιο αξιόπιστο σημάδι ότι κάτι δεν πάει καλά από την ίδια την εμφάνιση του μηνύματος.
«Μα έχω επιβεβαίωση στο κινητό μου»
Είναι πράγματι σημαντική προστασία. Δεν είναι όμως αλάνθαστη. Αν κάποιος παραπλανηθεί και δώσει στον απατεώνα, εκτός από το password, και τον προσωρινό κωδικό που μόλις έλαβε στο κινητό του, ουσιαστικά του ανοίγει ο ίδιος την πόρτα. Γι’ αυτό ένας κωδικός μιας χρήσης ή ένα push notification δεν εγκρίνεται ποτέ μηχανικά, χωρίς να ξέρουμε ακριβώς τι εγκρίνουμε.
Γιατί το email είναι τόσο πολύτιμο στόχο
Το επαγγελματικό email λειτουργεί σήμερα σαν κέντρο της ψηφιακής μας ζωής: μέσω αυτού λαμβάνουμε τιμολόγια, έγγραφα, ειδοποιήσεις, αιτήματα αλλαγής password, συνδέσμους ενεργοποίησης, οικονομικές πληροφορίες. Γι’ αυτό η παραβίαση ενός επαγγελματικού λογαριασμού email μπορεί να έχει πολύ μεγαλύτερες συνέπειες από την απλή ανάγνωση της αλληλογραφίας. Ο δράστης μπορεί να τον χρησιμοποιήσει ως αφετηρία για περαιτέρω προσπάθειες πρόσβασης σε άλλες υπηρεσίες.
Ρόλο παίζει και ο browser, που έχει γίνει κι αυτός ένα μικρό «γραφείο»: πολλοί χρήστες αποθηκεύουν εκεί κωδικούς, παραμένουν συνδεδεμένοι σε εφαρμογές, χρησιμοποιούν την ίδια συσκευή για email, λογιστικές εφαρμογές και κρατικές υπηρεσίες. Αυτό δεν σημαίνει ότι όποιος αποκτήσει πρόσβαση σε μια συσκευή μπαίνει αυτόματα σε κάθε τράπεζα ή στο TAXIS. Τέτοιοι ισχυρισμοί είναι υπεραπλούστευση. Σημαίνει όμως ότι η παραβίαση μιας συσκευής ή ενός browser μπορεί, ανάλογα με τις συνθήκες, να δώσει σε έναν επιτιθέμενο αποθηκευμένους κωδικούς, ενεργές συνεδρίες ή στοιχεία που διευκολύνουν την επόμενη, πιο στοχευμένη, απάτη.
Το χειρότερο σενάριο είναι να μην το γνωρίζετε
Αν κάποιος σπάσει την πόρτα ενός γραφείου, το καταλαβαίνετε αμέσως. Αν όμως κάποιος αποκτήσει πρόσβαση σε έναν λογαριασμό email, μπορεί να μη θέλει να αλλάξει τίποτα. Μπορεί απλώς να παρακολουθεί σιωπηλά: ποιος σας πληρώνει, σε ποιον πληρώνετε, ποιος εγκρίνει τις συναλλαγές, πότε περιμένετε ένα μεγάλο τιμολόγιο.
Αυτή η σιωπή είναι επίτηδες. Όσο περισσότερο παραμένει απαρατήρητος, τόσο περισσότερα μαθαίνει για το πώς λειτουργεί πραγματικά η επιχείρησή σας, και τόσο πιο πειστική γίνεται η κίνηση που θα κάνει όταν, τελικά, αποφασίσει να ενεργήσει. Και αυτό, όπως θα δούμε στο επόμενο άρθρο, είναι το σημείο όπου η ζημιά αρχίζει να γίνεται πραγματικά μεγάλη, και δεν αφορά πια μόνο εσάς, αλλά και όσους σας εμπιστεύονται.
| 5 ΠΡΑΓΜΑΤΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΚΑΝΕΤΕ ΑΥΡΙΟ ΤΟ ΠΡΩΙ
1. Πριν πατήσετε οποιονδήποτε σύνδεσμο σε email ή SMS που σας πιέζει χρονικά, ανοίξτε μόνοι σας την επίσημη εφαρμογή ή πληκτρολογήστε την επίσημη διεύθυνση. 2. Αν έχετε ήδη δώσει κωδικό σε σελίδα που σας φάνηκε ύποπτη, έστω και για δευτερόλεπτο, αλλάξτε τον κωδικό αμέσως, ακόμη κι αν «δεν συνέβη τίποτα». 3. Ποτέ μην εγκρίνετε κωδικό μιας χρήσης ή ειδοποίηση σύνδεσης αν δεν είστε εσείς που μόλις προσπαθήσατε να συνδεθείτε. 4. Ελέγξτε αν ο browser σας έχει αποθηκευμένους κωδικούς για κρίσιμες υπηρεσίες (email, e-banking, TAXISnet) σε συσκευή που χρησιμοποιείται από περισσότερα άτομα. 5. Ενημερώστε τους συνεργάτες σας: ένα ύποπτο email αναφέρεται πάντα, δεν αγνοείται σιωπηλά. |