Τα κόλπα των χάκερ για να βάλουν στο χέρι PIN και τραπεζικούς κωδικούς

Ερευ­νη­τές του Πανε­πι­στη­μίου του Νιού­κα­στλ έδειξαν ότι είναι δυνατό -υποκλέπτοντας μόνο τα δεδο­μένα που συλ­λέ­γουν οι αισθη­τή­ρες κίνησης του κινητού- να «σπάσει» κανείς με ακρί­βεια 70% το ΡΙΝ του χρήστη από την… πρώτη κιόλας από­πειρα.

Οι χάκερ είναι σε θέση να κλέψουν τα ΡΙΝ και τους διά­φο­ρους κωδι­κούς (passwords) -π.χ. τους τραπεζικούς- που εισάγει ο χρήστης στο κινητό του, από τον τρόπο και μόνο που γέρνει το τηλέ­φωνό του όταν πλη­κτρο­λο­γεί.

Βρε­τα­νοί ερευ­νη­τές προει­δο­ποιούν ότι τόσο οι κακό­βου­λες ιστο­σε­λί­δες όσο και οι εξίσου κακό­βου­λες εφαρ­μο­γές (apps) που εγκα­θι­στά κάποιος στη συσκευή του, μπορούν να τον κατα­σκο­πεύ­σουν χρη­σι­μο­ποιώ­ντας τις αφανείς πλη­ρο­φο­ρίες που κατα­γρά­φουν οι αισθη­τή­ρες κίνησης της συσκευής.

Η μελέτη βρήκε ότι κάθε κίνηση του χρήστη στην οθόνη αφής, ανάλογα με το πώς κρατά τη συσκευή του (π.χ. με ποια κλίση) δημιουρ­γεί ένα μονα­δικό ίχνος, το οποίο κατα­γρά­φε­ται και μετά μπορεί να υπο­κλα­πεί.

Σύμφωνα με το ΑΠΕ, οι ερευ­νη­τές του Πανε­πι­στη­μίου του Νιού­κα­στλ, με επι­κε­φα­λής τη δρα Μάριαμ Μερ­νε­ζάντ, που έκαναν τη σχετική δημο­σί­ευση στο διεθνές περιο­δικό ασφά­λειας πλη­ρο­φο­ριών “International Journal of Information Security”, έδειξαν ότι είναι δυνατό -υποκλέπτοντας μόνο τα δεδο­μένα που συλ­λέ­γουν οι αισθη­τή­ρες κίνησης του κινητού- να «σπάσει» κανείς με ακρί­βεια 70% το ΡΙΝ του χρήστη από την πρώτη κιόλας από­πειρα. Μετά από πέντε προ­σπά­θειες, το ποσοστό ανε­βαί­νει στο 100%, δηλαδή δεν υπάρχει περί­πτωση να απο­τύ­χει ο χάκερ.

Οι ερευ­νη­τές επι­σή­μα­ναν ότι οι χρήστες δεν έχουν επί­γνωση του κιν­δύ­νου και οι περισ­σό­τε­ροι δεν έχουν καν ιδέα τι κάνουν οι περίπου 25 δια­φο­ρε­τι­κοί αισθη­τή­ρες που δια­θέ­τει κάθε «έξυπνο» κινητό τηλέ­φωνο (smartphone). Αλλά και οι κατα­σκευα­στές των συσκευών και του λει­τουρ­γι­κού συστή­μα­τος που ενη­με­ρώ­θη­καν για το πρό­βλημα (Apple, Google κ.α.), δεν έχουν κατα­φέ­ρει να βρουν τρόπο να το αντι­με­τω­πί­σουν μέχρι τώρα.

Το πρό­βλημα αφορά, πέρα από τα κινητά, τους υπολογιστές-ταμπλέτες (tablets), τα «έξυπνα» ρολόγια (smartwatches), τους κατα­γρα­φείς της σωμα­τι­κής κατά­στα­σης (fitness trackers) που συνήθως φοριού­νται στον καρπό του χεριού και κάθε άλλη φορητή συσκευή εφο­δια­σμένη με GPS, γυρο­σκό­πιο, επι­τα­χυν­σιό­με­τρο, αισθη­τήρα επι­κοι­νω­νίας κοντι­νού πεδίου (NFC) και αρκε­τούς άλλους αισθη­τή­ρες.

«Επειδή οι εφαρ­μο­γές για τα smartphones και οι ιστο­σε­λί­δες δεν χρειά­ζο­νται να ζητή­σουν άδεια για να έχουν πρό­σβαση σε αυτούς τους αισθη­τή­ρες, τα κακό­βουλα προ­γράμ­ματα μπορούν κρυφά να ‘ακού­σουν’ τα δεδο­μένα των αισθη­τή­ρων και να τα χρη­σι­μο­ποι­ή­σουν για να απο­κα­λύ­ψουν μια ευρεία γκάμα ευαί­σθη­των πλη­ρο­φο­ριών για σας, μεταξύ των οποίων τα ΡΙΝ και οι κωδικοί που πλη­κτρο­λο­γείτε στις οθόνες αφής» δήλωσε η Μερ­νε­ζάντ.

Όπως είπε, «ακόμη πιο ανη­συ­χη­τικό είναι ότι, σε μερικά προ­γράμ­ματα πλο­ή­γη­σης στο δια­δί­κτυο, βρήκαμε πως αν ανοί­ξεις στο τηλέ­φωνο ή στο τάμπλετ σου μια ιστο­σε­λίδα που είναι παγι­δευ­μένη με κακό­βουλο κώδικα, και μετά ανοί­ξεις τον online τρα­πε­ζικό λογα­ρια­σμό σου, χωρίς να έχεις κλείσει την προη­γού­μενη ιστο­σε­λίδα, τότε οι χάκερ μπορούν να κατα­σκο­πεύ­ουν κάθε προ­σω­πική λεπτο­μέ­ρεια που πλη­κτρο­λο­γείς».

Οι ερευ­νη­τές επε­σή­μα­ναν ότι οι χρήστες ανη­συ­χούν περισ­σό­τερο για το GPS και την κάμερα (που όμως ζητούν την άδεια του χρήστη) παρά για τους «σιω­πη­λούς» αισθη­τή­ρες (που δεν ζητούν καμία άδεια για να έχουν πρό­σβαση στη συσκευή). Με δεδο­μένο όμως ότι στα­διακά ανα­δύ­ε­ται ένα Δια­δί­κτυο των Πραγ­μά­των, όπου οι συσκευές θα «μιλάνε» μεταξύ τους και θα ανταλ­λάσ­σουν online δεδο­μένα, οι κίν­δυ­νοι από τους αισθη­τή­ρες αυξά­νο­νται.

Οι ερευ­νη­τές συστή­νουν στους χρήστες να αλλά­ζουν συχνά τα ΡΙΝ και τους κωδι­κούς τους, να κλεί­νουν τις ανοι­κτές εφαρ­μο­γές που δεν χρη­σι­μο­ποιούν (ιδίως όταν παράλ­ληλα κάνουν online τρα­πε­ζι­κές συναλ­λα­γές), να απε­γκα­θι­στούν όσες εφαρ­μο­γές δεν χρειά­ζο­νται, να εγκα­θι­στούν τις τελευ­ταίες ενη­με­ρώ­σεις ασφα­λείας του λει­τουρ­γι­κού συστή­μα­τος, να δέχο­νται την εγκα­τά­σταση εφαρ­μο­γών μόνο από εγκε­κρι­μένα ηλε­κτρο­νικά κατα­στή­ματα και να ελέγ­χουν ποιες άδειες πρό­σβα­σης έχουν δώσει στις ήδη εγκα­τε­στη­μέ­νες εφαρ­μο­γές του τηλε­φώ­νου τους.

euro2day.gr