Τα περιστατικά ηλεκτρονικής απάτης που καταγράφονται σε ολόκληρη τη χώρα επιβεβαιώνουν ότι η ψηφιακή εξαπάτηση δεν αποτελεί πλέον ένα μεμονωμένο ή περιστασιακό φαινόμενο. Πολίτες, επιχειρήσεις και δημόσιοι οργανισμοί βρίσκονται αντιμέτωποι με ολοένα πιο οργανωμένες και στοχευμένες επιθέσεις, οι οποίες μπορούν μέσα σε ελάχιστο χρόνο να οδηγήσουν σε απώλεια χρημάτων, υποκλοπή δεδομένων ή παραβίαση λογαριασμών.
Η εποχή κατά την οποία ένα μήνυμα ηλεκτρονικού «ψαρέματος» (phishing) αναγνωριζόταν εύκολα από τα ορθογραφικά λάθη, την πρόχειρη εμφάνιση ή τις αδέξιες διατυπώσεις, υποχωρεί σταδιακά. Οι δράστες χρησιμοποιούν πλέον ιστοσελίδες που αντιγράφουν με μεγάλη ακρίβεια το περιβάλλον τραπεζών και οργανισμών, παραποιημένες διευθύνσεις αποστολέα, πλαστά email και SMS, τηλεφωνικές κλήσεις και τεχνικές κοινωνικής μηχανικής.
Στόχος τους είναι να οδηγήσουν τον χρήστη σε ενέργειες όπως να πληκτρολογήσει κωδικούς πρόσβασης, να αποκαλύψει στοιχεία κάρτας, να γνωστοποιήσει έναν κωδικό μιας χρήσης ή να εγκρίνει μια συναλλαγή που δεν πραγματοποίησε ο ίδιος.
Παράλληλα, τα εργαλεία παραγωγικής Τεχνητής Νοημοσύνης διευκολύνουν τη μαζική δημιουργία καλοδιατυπωμένων και εξατομικευμένων μηνυμάτων, καθώς και την πειστικότερη απομίμηση της φωνής, της εικόνας ή του τρόπου επικοινωνίας ενός προσώπου. Η Τεχνητή Νοημοσύνη αυξάνει σημαντικά την ταχύτητα, την κλίμακα και την πειστικότητα με την οποία μπορούν να πραγματοποιηθούν ήδη γνωστές μορφές εξαπάτησης αναφέρει το Ελληνικό Κέντρο Ασφαλούς Διαδικτύου.
Δύο πρόσφατες υποθέσεις στην Κρήτη αναδεικνύουν τον κίνδυνο
Ιδιαίτερη ανησυχία προκαλούν δύο πρόσφατα περιστατικά στην Κρήτη, τα οποία, σύμφωνα με τις έως τώρα διαθέσιμες πληροφορίες, βρίσκονται υπό διερεύνηση.
Στην πρώτη περίπτωση, δημοσιεύματα αναφέρουν ότι άγνωστοι απέκτησαν πρόσβαση σε τραπεζικούς λογαριασμούς υπηρεσίας της Περιφέρειας Κρήτης, αφού στοιχεία πρόσβασης καταχωρίστηκαν σε πλαστή ιστοσελίδα που προσομοίαζε το περιβάλλον συνεργαζόμενου τραπεζικού ιδρύματος. Λίγες ημέρες αργότερα έγινε γνωστό ότι διερευνάται περιστατικό ηλεκτρονικής απάτης με στόχο τον Δήμο Αγίου Νικολάου.
Ανεξάρτητα από την τελική έκβαση των ερευνών, τα περιστατικά υπογραμμίζουν πόσο πειστικά μπορούν να είναι τα ψηφιακά περιβάλλοντα εξαπάτησης και πόσο σημαντική είναι η άμεση αντίδραση ενός οργανισμού.
Το πρόβλημα, βέβαια, δεν περιορίζεται στην Κρήτη. Σε ολόκληρη την Ελλάδα πολίτες και επιχειρήσεις δέχονται παραπλανητικά μηνύματα για δήθεν επιστροφές φόρου, ανεξόφλητους λογαριασμούς, προβλήματα σε τραπεζικούς λογαριασμούς, επιδόματα, ταχυδρομικές αποστολές, επενδυτικές ευκαιρίες ή επείγουσες οικονομικές ανάγκες συγγενικών προσώπων.
Όταν ο στόχος δεν είναι το σύστημα, αλλά ο άνθρωπος
Σε πολλές περιπτώσεις, ο δράστης δεν χρειάζεται να παραβιάσει ένα προηγμένο σύστημα ασφαλείας. Επιδιώκει να χειραγωγήσει τον ίδιο τον χρήστη, ώστε εκείνος να πατήσει έναν σύνδεσμο, να αποκαλύψει εμπιστευτικά στοιχεία ή να εγκρίνει μια συναλλαγή.
Αυτή είναι η ουσία της κοινωνικής μηχανικής (social engineering): η αξιοποίηση της εμπιστοσύνης, του φόβου, της περιέργειας, της εξοικείωσης ή της πίεσης χρόνου, προκειμένου το θύμα να ενεργήσει χωρίς να πραγματοποιήσει τον απαραίτητο έλεγχο.
Μηνύματα όπως «ο λογαριασμός σας θα μπλοκαριστεί», «εντοπίστηκε ύποπτη συναλλαγή», «δικαιούστε επιστροφή χρημάτων» ή «πρέπει να ενεργήσετε άμεσα» έχουν σχεδιαστεί για να προκαλούν βιαστική αντίδραση. Η αίσθηση του επείγοντος αποτελεί από μόνη της σημαντικό προειδοποιητικό σημάδι.
Οι συνηθέστερες μορφές ηλεκτρονικής εξαπάτησης
Οι σύγχρονες απάτες μπορούν να εμφανιστούν με διαφορετικές μορφές:
- Phishing: Παραπλανητικό email που οδηγεί σε πλαστή ιστοσελίδα ή ζητά εμπιστευτικά στοιχεία.
- Smishing: Αντίστοιχη προσπάθεια εξαπάτησης μέσω SMS ή εφαρμογής ανταλλαγής μηνυμάτων.
- Vishing: Τηλεφωνική κλήση από άτομο που εμφανίζεται ως υπάλληλος τράπεζας, λογιστής, τεχνικός ή εκπρόσωπος δημόσιας υπηρεσίας.
- Πλαστές τραπεζικές ιστοσελίδες: Ιστότοποι-κλώνοι που αντιγράφουν το περιβάλλον ηλεκτρονικής τραπεζικής και υποκλέπτουν όσα πληκτρολογεί ο χρήστης.
- Απάτες μέσω ηλεκτρονικών αγγελιών: Ο υποτιθέμενος αγοραστής αποστέλλει σύνδεσμο για να «λάβει ο πωλητής την πληρωμή», οδηγώντας τον σε πλαστή τραπεζική σελίδα.
- Business Email Compromise (BEC): Παραποίηση ή παραβίαση επαγγελματικής επικοινωνίας, ώστε ένα μήνυμα να εμφανίζεται ως εντολή πραγματικού στελέχους ή προμηθευτή και να ζητά επείγουσα πληρωμή ή αλλαγή IBAN.
Κοινός παρονομαστής είναι η προσπάθεια δημιουργίας εμπιστοσύνης και πίεσης, ώστε ο χρήστης να παρακάμψει τις συνήθεις διαδικασίες ελέγχου.
Η Τεχνητή Νοημοσύνη αλλάζει τα «σημάδια που πρέπει να προσέχουμε»
Η απουσία ορθογραφικών λαθών ή η επαγγελματική εμφάνιση ενός μηνύματος δεν αποτελούν πλέον αξιόπιστες ενδείξεις γνησιότητας. Με τη βοήθεια της Τεχνητής Νοημοσύνης μπορούν να δημιουργηθούν:
- γλωσσικά άρτια και προσωποποιημένα μηνύματα,
- πλαστές φωτογραφίες ή βίντεο,
- απομιμήσεις ανθρώπινης φωνής,
- μηνύματα που αναπαράγουν το ύφος ενός γνωστού προσώπου ή στελέχους,
- διαφορετικές παραλλαγές της ίδιας απάτης σε πολύ μεγάλη κλίμακα.
Επομένως, ούτε ένα καλοδιατυπωμένο μήνυμα ούτε μια γνώριμη φωνή αποτελούν από μόνα τους απόδειξη ταυτότητας. Αν κάποιος που εμφανίζεται ως συγγενής, συνεργάτης, προϊστάμενος ή λογιστής ζητήσει αιφνιδιαστικά χρήματα ή τραπεζικά στοιχεία, διακόπτουμε την επικοινωνία και επικοινωνούμε εμείς μαζί του, χρησιμοποιώντας αριθμό ή άλλο στοιχείο επικοινωνίας που γνωρίζουμε ήδη.
Οκτώ ουσιαστικά μέτρα προστασίας
- Δεν συνδεόμαστε στο e-banking μέσω συνδέσμου που λάβαμε σε email, SMS ή μήνυμα. Πληκτρολογούμε μόνοι μας τη διεύθυνση της τράπεζας ή χρησιμοποιούμε την επίσημη εφαρμογή της.
- Ελέγχουμε ολόκληρη τη διαδικτυακή διεύθυνση. Μικρές αλλαγές σε γράμματα, παύλες ή καταλήξεις μπορεί να παραπέμπουν σε πλαστό ιστότοπο.
- Δεν αποκαλύπτουμε ποτέ κωδικούς πρόσβασης, PIN ή κωδικούς μιας χρήσης. Η τράπεζα και οι νόμιμες υπηρεσίες δεν ζητούν τηλεφωνικά ή μέσω μηνύματος τα πλήρη στοιχεία σύνδεσής μας.
- Δεν εγκρίνουμε μηχανικά ειδοποιήσεις σύνδεσης ή συναλλαγών. Πριν από κάθε έγκριση ελέγχουμε προσεκτικά το ποσό, τον δικαιούχο και την ενέργεια που εμφανίζεται στην οθόνη.
- Ενεργοποιούμε πολυπαραγοντικό έλεγχο ταυτότητας (MFA). Προσθέτει ένα σημαντικό επίπεδο προστασίας, χωρίς όμως να υποκαθιστά την προσεκτική εξέταση κάθε αιτήματος έγκρισης.
- Επιβεβαιώνουμε οικονομικά αιτήματα από δεύτερο, ανεξάρτητο κανάλι. Αλλαγές IBAN, νέοι δικαιούχοι και ασυνήθιστες πληρωμές πρέπει να ελέγχονται τηλεφωνικά, σε αριθμό που διαθέταμε ήδη και όχι σε αριθμό που αναγράφεται στο ύποπτο μήνυμα.
- Χρησιμοποιούμε διαφορετικούς και ισχυρούς κωδικούς πρόσβασης. Η χρήση διαχειριστή κωδικών περιορίζει τον κίνδυνο επαναχρησιμοποίησης και μπορεί να βοηθήσει στην αναγνώριση μιας πλαστής ιστοσελίδας.
- Αν το μήνυμα μας πιέζει να ενεργήσουμε αμέσως, σταματάμε. Η χρονική πίεση είναι τεχνική χειραγώγησης, όχι λόγος να παρακάμψουμε τον έλεγχο.
Χρειάζεται, επίσης, να γνωρίζουμε ότι το λουκέτο και η ένδειξη HTTPS σημαίνουν μόνο ότι η σύνδεση με την ιστοσελίδα είναι κρυπτογραφημένη. Δεν αποδεικνύουν ότι η ιστοσελίδα ανήκει πράγματι στην τράπεζα ή στον οργανισμό που ισχυρίζεται ότι εκπροσωπεί.
Αν έχουμε ήδη δώσει στοιχεία ή εγκρίνει συναλλαγή
Η ταχύτητα αντίδρασης είναι καθοριστική. Δεν περιμένουμε να διαπιστώσουμε αν θα χρησιμοποιηθούν τα στοιχεία μας.
- Επικοινωνούμε αμέσως με την τράπεζα ή τον πάροχο της υπηρεσίας, χρησιμοποιώντας αποκλειστικά τον επίσημο αριθμό επικοινωνίας.
- Ζητούμε τη δέσμευση καρτών, λογαριασμών ή συναλλαγών, όπου αυτό είναι δυνατό.
- Αλλάζουμε αμέσως τον κωδικό που εκτέθηκε και κάθε άλλο λογαριασμό στον οποίο είχαμε χρησιμοποιήσει τον ίδιο κωδικό.
- Ελέγχουμε τις πρόσφατες συνδέσεις και συναλλαγές και αποσυνδέουμε άγνωστες συσκευές.
- Διατηρούμε όλα τα αποδεικτικά στοιχεία: μηνύματα, διευθύνσεις email, τηλεφωνικούς αριθμούς, συνδέσμους, στιγμιότυπα οθόνης, IBAN και αποδεικτικά συναλλαγών.
- Ενημερώνουμε τη Διεύθυνση Δίωξης Κυβερνοεγκλήματος στο 11188 ή υποβάλλουμε σχετική καταγγελία μέσω του gov.gr ή κάνουμε καταγγελία στην ανοιχτή γραμμή καταγγελιών για το παράνομο περιεχόμενο στο διαδίκτυο SafeLine.gr.
- Αν πρόκειται για εταιρικό περιστατικό, ενημερώνουμε αμέσως τον υπεύθυνο ασφάλειας πληροφοριών ή το αρμόδιο Τμήμα Πληροφορικής, ώστε να περιοριστεί ενδεχόμενη περαιτέρω παραβίαση.
Η ανθρώπινη εγρήγορση αποτελεί βασικό μέρος της κυβερνοασφάλειας
Η κυβερνοασφάλεια δεν αποτελεί αποκλειστική ευθύνη των Τμημάτων Πληροφορικής. Η τεχνική προστασία είναι αναγκαία, αλλά δεν αρκεί όταν ένας εργαζόμενος πιέζεται να παρακάμψει μια διαδικασία ή να εγκρίνει μια ασυνήθιστη πληρωμή.
Ένας ενημερωμένος εργαζόμενος που αναγνωρίζει ένα ύποπτο μήνυμα, ένα λογιστήριο που επιβεβαιώνει ανεξάρτητα την αλλαγή ενός IBAN ή ένας πολίτης που αποφεύγει έναν σύνδεσμο μπορεί να αποτρέψει μια σοβαρή οικονομική απώλεια.
Σε αυτό το πλαίσιο εντάσσεται η πρωτοβουλία του Επιμελητηρίου Ηρακλείου, σε συνεργασία με το Ελληνικό Κέντρο Ασφαλούς Διαδικτύου του Ινστιτούτου Πληροφορικής του ΙΤΕ, για την πραγματοποίηση δωρεάν δράσεων επιμόρφωσης και ευαισθητοποίησης των επιχειρήσεων σε θέματα κυβερνοασφάλειας.
Οι δράσεις Cybersecurity Awareness Training καλύπτουν, μεταξύ άλλων, το phishing και την κοινωνική μηχανική, το Business Email Compromise, το ransomware, τις απάτες με τη χρήση Τεχνητής Νοημοσύνης και deepfakes, την ασφαλή χρήση εργαλείων ΤΝ, τον πολυπαραγοντικό έλεγχο ταυτότητας και την προστασία των εταιρικών δεδομένων. Ιδιαίτερη έμφαση δίνεται στην πρακτική εκπαίδευση και στην ανάπτυξη διαδικασιών που μπορούν να εφαρμοστούν στην καθημερινή λειτουργία μιας επιχείρησης.
Ο κανόνας που πρέπει να γίνει ψηφιακή συνήθεια
Οι ηλεκτρονικές απάτες εξελίσσονται μαζί με την τεχνολογία. Ένα email μπορεί να φαίνεται απολύτως αυθεντικό, μια ιστοσελίδα σχεδόν πανομοιότυπη με την πραγματική και μια τηλεφωνική κλήση να ακούγεται σαν να προέρχεται από πρόσωπο που εμπιστευόμαστε.
Γι’ αυτό χρειάζεται να υιοθετήσουμε μια απλή αλλά ουσιαστική ψηφιακή συνήθεια:
Σταματάμε. Ελέγχουμε. Επιβεβαιώνουμε. Και μόνο τότε ενεργούμε.
Λίγα επιπλέον δευτερόλεπτα ελέγχου, πριν από ένα «κλικ», την αποκάλυψη ενός κωδικού ή την έγκριση μιας οικονομικής συναλλαγής, μπορούν να αποτρέψουν μια απάτη με σοβαρές συνέπειες.
