Γιάννης Παπαδόπουλος - www.kathimerini.gr

Τους ενδιέφεραν μόνο τα πειστήρια.

Τον περασμένο Ιούλιο, όταν η Δίωξη Ηλεκτρονικού Εγκλήματος εντόπισε δύο Ρουμάνες ηλικίας 33 και 40 ετών σε διαμερίσματα βραχυχρόνιας μίσθωσης στην Καλλιθέα και στην Ηλιούπολη, δεν είχε εντολή να τις συλλάβει.

Οι Ελληνες αστυνομικοί είχαν κληθεί να ταυτοποιήσουν τις δύο γυναίκες και να εντοπίσουν οτιδήποτε είχαν στην κατοχή τους. Κατασχέθηκαν οκτώ κινητά τηλέφωνα, 17 κάρτες sim, ένας φορητός υπολογιστής, 56 τραπεζικές κάρτες με αναγραφόμενα στοιχεία τρίτων προσώπων και στάλθηκαν στις ρουμανικές αρχές.

Το νήμα της υπόθεσης θα οδηγούσε στους πρόποδες της οροσειράς των Καρπαθίων, στο μέρος που εδώ και χρόνια αποκαλείται ως η «πόλη των χάκερ».

Λίγες εβδομάδες νωρίτερα είχε προηγηθεί η σύλληψη δύο ανδρών στη Ρουμανία με τη συνδρομή των ολλανδικών αρχών. Σύμφωνα με όσα έγιναν γνωστά από τη Europol, οι δύο δράστες τουλάχιστον από το 2015 εξαπατούσαν πολίτες στην Ολλανδία με τη μέθοδο του «ηλεκτρονικού ψαρέματος» (phishing).

Αναρτούσαν σε πλαστές ιστοσελίδες ψευδείς αγγελίες μίσθωσης σπιτιών και έπειθαν τα ανυποψίαστα θύματά τους να καταβάλλουν ενοίκια έως και δύο μηνών χωρίς να έχουν δει ποτέ από κοντά τα διαμερίσματα.

Ακολούθησαν άλλες οκτώ συλλήψεις μελών του ίδιου κυκλώματος στη Ρουμανία, ενώ ζητήθηκε συνδρομή στις έρευνες και από τη Δίωξη Ηλεκτρονικού Εγκλήματος στην Ελλάδα.

Τον τελευταίο χρόνο οι δράστες φέρονται να εξαπατούσαν πελάτες των ιστοσελίδων Amazon και eBay, να δημοσίευαν ψευδείς αγγελίες πώλησης αυτοκινήτων αξίας άνω των 50.000 ευρώ και να μην παρέδιδαν ποτέ τα προϊόντα στους αγοραστές τους.

Προκειμένου να κρύψουν τα κέρδη τους είχαν ανοίξει με πλαστά έγγραφα τουλάχιστον 300 τραπεζικούς λογαριασμούς σε Ουγγαρία, Ισπανία, Πολωνία, Γερμανία και Ολλανδία. Οι δύο γυναίκες που βρέθηκαν στην Ελλάδα, όπως και άλλα περιφερειακά μέλη του κυκλώματος σε άλλα κράτη, πραγματοποιούσαν σε ελληνικά ATM αναλήψεις μέρους των κερδών για να παραπλανήσουν τις αρχές. Στην κατοχή τους βρέθηκαν 121.000 ευρώ.

Κομβικό ρόλο στις έρευνες είχαν οι εισαγγελικές και αστυνομικές αρχές της πόλης Ramnicu Valcea στη Ρουμανία. Εχει περάσει πάνω από μία δεκαετία από τότε που η συγκεκριμένη πόλη των 100.000 κατοίκων μπήκε στο στόχαστρο του FBI ως άντρο κυβερνοεγκληματιών, κερδίζοντας το προσωνύμιο «Hackerville».

Σε αφιέρωμα του περιοδικού Wired το 2011 αναφέρεται ότι οι κακοποιοί της περιοχής ασχολούνται κυρίως με απάτες στο ηλεκτρονικό εμπόριο (εστιάζοντας τότε στο eBay), ενώ βασίζονταν και τότε σε διάσπαρτες αναλήψεις μετρητών από ΑΤΜ άλλων κρατών που πραγματοποιούσαν συνεργοί τους.

Παλιά κόλπα που παραμένουν προσοδοφόρα. Άλλωστε τα κέρδη του κυκλώματος που απασχόλησε τον Ιούλιο και τις ελληνικές αρχές εκτιμάται ότι ξεπερνούν τα δύο εκατομμύρια ευρώ.

Μέχρι στιγμής, πάντως, δεν έχει εξακριβωθεί από τη Δίωξη Ηλεκτρονικού Εγκλήματος η ύπαρξη και Ελλήνων μεταξύ των θυμάτων τους.

Αύξηση των επιθέσεων

Παρότι οι τεχνικές εξαπάτησης ακολουθούν δοκιμασμένες συνταγές και δεν έχουν εξελιχθεί δραματικά τα τελευταία χρόνια, τα θύματά τους όλο και πληθαίνουν και στη χώρα μας.

Ήδη το υπουργείο Προστασίας του Πολίτη σε συνεργασία με την Τράπεζα της Ελλάδος και την Ελληνική Ενωση Τραπεζών αναζητούν τρόπους για τον περιορισμό του φαινομένου, σχεδιάζοντας ενημερωτικές καμπάνιες για τους καταναλωτές και προχωρώντας στη δημιουργία ενός συντονιστικού κέντρου αντιμετώπισης αυτών των συμβάντων.

Σύμφωνα με στοιχεία της Τράπεζας της Ελλάδος, τους πρώτους εννέα μήνες του 2021 αυξήθηκε κατά 200% το ποσό των χρημάτων που υπεξαιρέθηκαν σε σύγκριση με την αντίστοιχη περυσινή περίοδο, ενώ το 55% των καταγεγραμμένων περιστατικών αφορά περιστατικά phishing.

«Ανέκαθεν πόνταρε στον αδύναμο κρίκο, στον άνθρωπο», λέει στην «Κ» για αυτή τη μορφή ηλεκτρονικής απάτης ο Ανδρέας Βενιέρης, υπεύθυνος ασφάλειας πληροφοριακών συστημάτων.

«Το phishing ποντάρει στην ψυχολογία. Με τα μηνύματα που στέλνουν, οι δράστες προσπαθούν να αγχώσουν και να πιέσουν τους παραλήπτες, να τους δημιουργήσουν την εντύπωση ότι έχουν λίγο χρόνο στη διάθεσή τους για να λάβουν κρίσιμες αποφάσεις, αλλιώς τους λένε, για παράδειγμα, ότι μπορεί να μπλοκάρει ο τραπεζικός λογαριασμός τους».

Οπως εξηγεί ο ίδιος, μια από τις πιο κλασικές μορφές αυτής της απάτης είναι η αποστολή κάποιου παραπλανητικού email στο λογιστήριο μιας εταιρείας, το οποίο υποτίθεται πως περιέχει το τιμολόγιο κάποιου προμηθευτή. Στο συνημμένο αρχείο όμως έχει ενσωματωθεί κάποιο κακόβουλο λογισμικό, με το οποίο οι δράστες αποκτούν πρόσβαση στον υπολογιστή του θύματος.

«Οι περισσότερες επιθέσεις phishing είναι επιτυχείς λόγω των ανεπαρκών μέτρων ασφαλείας ή της άγνοιας των χρηστών», αναφέρεται στην πιο πρόσφατη έκθεση της Europol για την εκτίμηση των απειλών και του οργανωμένου εγκλήματος στον κυβερνοχώρο.

Στην ίδια έκθεση διαπιστώνεται ότι αρκετές από τις επιθέσεις phishing εκμεταλλεύτηκαν τη συγκυρία της πανδημίας της COVID-19 και προσάρμοσαν αναλόγως το περιεχόμενο των μηνυμάτων τους.

Το… δώρο αξίας 1,5 εκατ. ευρώ

Σε κάποιες περιπτώσεις η προσπάθεια των απατεώνων είναι τόσο πρόχειρη που δεν μπαίνουν καν στον κόπο να προσδώσουν μεγάλο βαθμό αληθοφάνειας στο μήνυμά τους, ακόμη κι αν επικαλούνται πραγματικά πρόσωπα ή γεγονότα.

Ενδεικτικό παράδειγμα είναι ένα email που στάλθηκε σε Ελληνες χρήστες πριν από λίγες ημέρες. «Γεια σας, η επιδημία του κορωνοϊού δεν είναι μόνο μια μεγάλη κρίση υγείας, είναι επίσης μια μεγάλη οικονομική αναστάτωση», γράφει η αποστολέας που εμφανίζεται με το όνομα Sheryll Goedert. «Δωρίζουμε 1.500.000 ευρώ για να βοηθήσουμε 10 άτομα. Επικοινωνήστε μαζί μου», προτρέπει στο ίδιο μήνυμα.

Η Goedert είναι υπαρκτό πρόσωπο στις ΗΠΑ και όντως έχει κερδίσει εκατομμύρια δολάρια σε ένα τζακ ποτ, αλλά δεν έχει καμία σχέση με αυτό το παραπλανητικό email

Η ίδια έχει κινηθεί νομικά κατά των αγνώστων που την υποδύονται για να εξαπατήσουν πολίτες ανά τον κόσμο. Ακόμη και η μετάφραση του συγκεκριμένου μηνύματος στα ελληνικά φαίνεται ότι έγινε πρόχειρα, με κάποιο πρόγραμμα στο Διαδίκτυο.

Τα παραπλανητικά μηνύματα των δραστών όμως μπορεί να φτάσουν και σε μορφή sms.

Πρόσφατα ένα από αυτά υποτίθεται ότι είχε σταλεί από την ΑΑΔΕ. «Το ΕΝΦΙΑ ΦΠΑ πρόστιμό σας είναι 211,84 δολάρια, πληρωμή μέσω PAYSAFE για την αποφυγή άμεσης σύλληψής σας», έγραφε και παρέπεμπε σε ένα email.

Παρότι είναι προφανές από το περιεχόμενο του μηνύματος ότι πρόκειται για απάτη, θα μπορούσε κάποιος πολίτης να παρασυρθεί και να πληρώσει.

Αλλα μηνύματα μπορεί να είναι και πιο στοχευμένα. «Το spear phishing είναι πιο επικίνδυνο», λέει ο κ. Βενιέρης. «Παρακολουθούν κάποιο συγκεκριμένο άτομο, ψάχνουν τις προτιμήσεις του και προσαρμόζουν αναλόγως τα μηνύματά τους. Είναι η ίδια λογική που ακολουθούν και τα τμήματα μάρκετινγκ που γνωρίζουν τις προτιμήσεις του κοινού τους και στέλνουν στοχευμένα μηνύματα».

Μια αντίστοιχη περίπτωση στοχευμένης επίθεσης είναι ένα email που υποτίθεται ότι είχε σταλεί από ελληνική τράπεζα, ξεκινούσε με την προσφώνηση «Αγαπητέ βουλευτή» και ανέφερε ότι ο τραπεζικός του λογαριασμός έχει κλειδωθεί προσωρινά και για να τον ξεκλειδώσει θα έπρεπε να επαληθεύσει τα στοιχεία του.

Μία από τις βασικές οδηγίες που δίνουν πάντοτε οι τεχνικοί ασφαλείας στους χρήστες είναι να ελέγχουν προσεκτικά τη διεύθυνση email από την οποία στέλνεται κάποιο μήνυμα και να μη βιάζονται να μοιραστούν κωδικούς ή να ανοίξουν κάποιο συνημμένο αρχείο.

«Αν δείτε ένα email που ζητάει κωδικούς πρέπει να προσέχετε, να είστε λίγο υποψιασμένοι», λέει ο κ. Βενιέρης. Ωστόσο, ο ίδιος εκτιμά ότι δεν πρόκειται να πάψει ο ανθρώπινος παράγοντας να αποτελεί τον αδύναμο κρίκο στην αλυσίδα της κυβερνοασφάλειας.

«Το ρίσκο δεν μπορεί να εξαλειφθεί, μπορεί όμως να περιοριστεί σε ανεκτό επίπεδο», λέει.

ΑΠΟΨΕΙΣ Ο πιο αδύναμος κρίκος στην κυβερνοασφάλεια

Του Βασίλη Βλάχου*

Η αξιοποίηση των Τεχνολογιών Πληροφορικής και Επικοινωνιών συνέβαλε καθοριστικά στη μετρίαση των προβλημάτων που προέκυψαν από την πανδημία. Η τηλεργασία, το ηλεκτρονικό εμπόριο και οι ηλεκτρονικές τραπεζικές συναλλαγές είναι οι τομείς που προσέλκυσαν, αναγκαστικά σε αρκετές περιπτώσεις, τους περισσότερους νέους χρήστες. Πολλοί από αυτούς είχαν περιορισμένη εμπειρία με το Διαδίκτυο και συνεπακόλουθα ήταν λογικό και αναμενόμενο να αποτελέσουν προνομιακούς στόχους για τους κυβερνοεγκληματίες.

Οι επιθέσεις phishing στοχεύουν ουσιαστικά στην εξαπάτηση του θύματος, ώστε να εκτελέσει άθελά του ενέργειες που υποβοηθούν τους απατεώνες να αποκτήσουν πρόσβαση στα δεδομένα του και συνήθως στους τραπεζικούς του λογαριασμούς. Αυτού του τύπου οι επιθέσεις είναι ιδιαίτερα αποτελεσματικές γιατί είναι ανθρωποκεντρικές. Με άλλα λόγια στοχεύουν στον πιο αδύναμο κρίκο της αλυσίδας της κυβερνοασφάλειας, τον άνθρωπο.

Οι βασικές αρχές αυτών των απατών εντάσσονται στην κοινωνική μηχανική ή στο social engineering, όπως είναι ευρύτερα γνωστό. Ουσιαστικά πρόκειται για τεχνικές που μεγιστοποιούν τις πιθανότητες διαφόρων επιτηδείων να παραπλανήσουν τους χρήστες ψηφιακών υπηρεσιών. Μια προσεκτικότερη παρατήρηση των μηνυμάτων που οδηγούν σε απάτες phishing θα επιβεβαιώσει τα παραπάνω.

Τα μηνύματα αυτά είτε έχουν κάποιο αυστηρό και επίσημο ύφος, είτε είναι ιδιαίτερα επείγοντα και πιεστικά ως προς τον χρόνο που πρέπει να ολοκληρωθεί κάποια ενέργεια, είτε είναι ιδιαίτερα φιλικά και οικεία.

Η συμμόρφωση με τους νόμους και τους κανόνες, το άγχος να κλείσει μια εκκρεμότητα πριν παρέλθει η προθεσμία της αλλά και η προδιάθεση σχεδόν κάθε ανθρώπου να είναι φιλικός και συνεργάσιμος είναι έμφυτα στην ανθρώπινη φύση. Είναι όμως επίσης και οι «αδυναμίες» που διαχρονικά εκμεταλλεύονται όλοι οι απατεώνες σε κάθε είδους απόπειρα εξαπάτησης, στον πραγματικό αλλά και στον ψηφιακό κόσμο.

Ειδικότερα, μέσω του Διαδικτύου οι κυβερνοεγκληματίες μπορούν σαφώς πιο εύκολα να προσδώσουν ιδιαίτερη αληθοφάνεια και πειστικότητα στα παραπλανητικά μηνύματα που χρησιμοποιούν ως δόλωμα για τις απάτες phishing. Για τους πιο άπειρους χρήστες του Διαδικτύου, παλαιότερα οι συναλλαγές τους με την τράπεζα είχαν μια πιο ανθρώπινη και προσωπική διάσταση που πλέον δεν υφίσταται. Η αντιμετώπιση του προβλήματος του phishing δεν πρόκειται να λυθεί μόνο με τεχνολογικά μέσα.

Αλλωστε, οι περισσότερες τράπεζες εφαρμόζουν σε γενικές γραμμές τα απαραίτητα μέτρα κυβερνοασφάλειας, καθώς είναι υποχρεωμένες να συμμορφώνονται με ανάλογους σχετικούς κανονισμούς και διεθνή πρότυπα. Φυσικά υπάρχουν περιθώρια βελτιώσεων, αλλά αυτά είναι μικρά σε σχέση με την πιεστική ανάγκη να ενημερώνονται καλύτερα και αποτελεσματικότερα οι πελάτες τους για τους κινδύνους των επιθέσεων phishing.

Απλά βήματα προφύλαξης

Του Ανδρέα Δρυμιώτη

Τις τελευταίες ημέρες διαβάζουμε για τις απάτες σε τραπεζικούς λογαριασμούς μέσω Internet. Εχουν γραφεί πολλά για το πώς να αποφύγουμε τις απάτες, αλλά στο σημείωμα αυτό θα προσπαθήσω να σας δώσω έναν πολύ απλό τρόπο για να μπορείτε πολύ εύκολα να ξεχωρίσετε αν τα μηνύματα ηλεκτρονικού ταχυδρομείου προέρχονται από την τράπεζά σας ή από απατεώνες.

Όταν πάρετε κάποιο μήνυμα ηλεκτρονικού ταχυδρομείου που φαίνεται ότι προέρχεται από την τράπεζά σας, πριν κάνετε οποιαδήποτε άλλη ενέργεια πηγαίνετε με το ποντίκι στον αποστολέα και κάνετε δεξί κλικ. Τότε θα αποκαλυφθεί η πραγματική ηλεκτρονική διεύθυνση του αποστολέα και αμέσως φαίνεται αν είναι πραγματική ή όχι.

Για παράδειγμα. Έχω στο email μου διάφορα emails με αποστολέα Alpha Bank. Στα γνήσια, με δεξί κλικ φαίνεται ο αποστολέας [email protected], [email protected], [email protected]. 

Αντίθετα, στα μηνύματα που προσπαθούν να υποκλέψουν τα στοιχεία και πάλι ο αποστολέας φαίνεται Alpha Bank, ενώ με δεξί κλiκ αποκαλύπτεται η απάτη.

Οι διευθύνσεις που ακολουθούν είναι από απατεώνες: [email protected] [email protected] [email protected]. Πιστεύω ότι είναι πολύ εύκολη η διάκριση.

Αν πάντως παρ’ ελπίδα ανοίξετε κάποιο email απατεώνων, να γνωρίζετε ότι καμία τράπεζα δεν θα σας ζητήσει για κανένα απολύτως λόγο τα στοιχεία και τους κωδικούς σας.

Όποιος τα ζητάει είναι απατεώνας και καλά θα κάνετε να μην τα δώσετε, έστω και αν σας λένε ότι ο λογαριασμός σας έχει κλειδωθεί ή θα σας εμβάσουν χρήματα.