Η διαδρομή της ψηφιακής απάτης για το Fuel Pass

Με μια βια­στική, πρώτη ανά­γνωση το sms μπορεί να μην κινήσει υποψίες στον παρα­λή­πτη. Είναι καλο­γραμ­μένο, με σωστή ορθο­γρα­φία και σύνταξη και βασί­ζε­ται στην επι­και­ρό­τητα για να απο­κτή­σει περισ­σό­τερη αλη­θο­φά­νεια. «Δικαιού­στε οικο­νο­μική ενί­σχυση καυ­σί­μων μέσω του προ­γράμ­μα­τος Fuel Pass IΙΙ. Για να πιστω­θεί το ποσό στον λογα­ρια­σμό σας, είναι απα­ραί­τητη η άμεση ενερ­γο­ποί­ηση της κάρτας σας. Σημα­ντικό: Η μη ενερ­γο­ποί­ηση εντός της προ­θε­σμίας θα οδη­γή­σει σε ακύρωση της επι­δό­τη­σης», ανα­φέ­ρει το παρα­πλα­νη­τικό μήνυμα που κυκλο­φο­ρεί τις τελευ­ταίες εβδο­μά­δες σε ελλη­νικά κινητά τηλέ­φωνα παρα­κι­νώ­ντας τους πολίτες να πατή­σουν έναν σύν­δε­σμο και να κατα­χω­ρί­σουν τα στοι­χεία τους. Η «Κ» ερεύ­νησε τι κρύ­βε­ται από πίσω και παρου­σιά­ζει την ανα­το­μία μιας ψηφια­κής απάτης.

Ο Ανδρέας Βενιέ­ρης, υπεύ­θυ­νος ασφα­λείας πλη­ρο­φο­ρια­κών συστη­μά­των, ανέλυσε για την «Κ» το link που περι­λαμ­βά­νε­ται σε αυτό το sms. Ο server βρί­σκε­ται στη Φραν­κφούρτη της Γερ­μα­νίας και ανήκει στην κινε­ζική υπη­ρε­σία cloud Tencent. «Είναι μια συνη­θι­σμένη τακτική για ιστο­σε­λί­δες υπο­κλο­πής δεδο­μέ­νων», παρα­τη­ρεί ο κ. Βενιέ­ρης. «Χρη­σι­μο­ποιούν ευρω­παϊκή IP για να φαί­νο­νται πιο νόμιμες και να απο­φύ­γουν άμεσο μπλο­κά­ρι­σμα. Ο επι­τι­θέ­με­νος δεν βρί­σκε­ται στη Γερ­μα­νία, απλώς νοί­κιασε έναν server εκεί. Η χρήση της κινε­ζι­κής υπη­ρε­σίας υπο­δη­λώ­νει πιθανή σύνδεση με Κίνα ή Νοτιο­α­να­το­λική Ασία, αλλά και αυτό δεν είναι σίγουρο».

Στον ίδιο σέρβερ βρέ­θη­καν δηλω­μένα 50 δια­φο­ρε­τικά domains που έχουν την ίδια δομή: vouchers-gov.[κάποιος τυχαίος 6ψήφιος αριθμός].cc/gr. Επι­χει­ρούν να μιμη­θούν την επίσημη σελίδα επι­δο­μά­των του gov.gr και παρα­πέ­μπουν σε μια οργα­νω­μένη απάτη. Σε αντί­θεση με άλλες παρό­μοιες από­πει­ρες εξα­πά­τη­σης το σχετικό link μοιάζει πιο αλη­θο­φα­νές καθώς περιέ­χει τη λέξη vouchers, το gov και το gr.

«Στόχος τους είναι εάν μπλο­κα­ρι­στεί ένα από αυτά τα domains να συνε­χί­σουν τη λει­τουρ­γία τους τα υπό­λοιπα 49. Στέλ­νουν δια­φο­ρε­τικά links σε δια­φο­ρε­τικά θύματα και είναι δύσκολο να κατέ­βουν όλα ταυ­τό­χρονα», λέει ο κ. Βενιέ­ρης που εκτιμά ότι πίσω από την απάτη δεν κρύ­βε­ται ένα άτομο, αλλά κάποια ομάδα δραστών. «Πιθα­νό­τατα στο­χεύ­ουν ταυ­τό­χρονα πολλούς Ελληνες χρήστες», τονίζει.

Ο ενορ­χη­στρω­τής της απάτης δεν βρί­σκε­ται στη Γερ­μα­νία, όμως νοί­κιασε έναν server εκεί. Η χρήση της κινε­ζι­κής υπη­ρε­σίας υπο­δη­λώ­νει πιθανή σύνδεση με Κίνα ή ΝΑ Ασία, ανα­φέ­ρει ο Ανδρέας Βενιέ­ρης, υπεύ­θυ­νος ασφα­λείας πλη­ρο­φο­ρια­κών συστη­μά­των.

Μόλις ο παρα­λή­πτης του sms πατήσει το επίμαχο link μετα­φέ­ρε­ται σε μια ιστο­σε­λίδα που μιμεί­ται αυτήν του επι­δό­μα­τος Fuel Pass. Ακο­λου­θεί μια φόρμα εγγρα­φής στην οποία ο ενδια­φε­ρό­με­νος συμπλη­ρώ­νει τα στοι­χεία του: ονο­μα­τε­πώ­νυμο, ΑΦΜ, διεύ­θυνση, αριθμό τηλε­φώ­νου. Για να ολο­κλη­ρω­θεί η δια­δι­κα­σία ζητεί­ται έπειτα να κατα­χω­ρί­σει και τα στοι­χεία της τρα­πε­ζι­κής του κάρτας.

Απάτες phishing: Οι νέες μέθοδοι και τι να προ­σέ­χουν οι πολίτες

Ο επι­τι­θέ­με­νος ενη­με­ρώ­νε­ται κάθε φορά που κάποιος επι­σκέ­πτε­ται τη σελίδα και συμπλη­ρώ­νει τις σχε­τι­κές φόρμες. Μόλις περα­στούν τα στοι­χεία της τρα­πε­ζι­κής κάρτας ο επι­τι­θέ­με­νος τα χρη­σι­μο­ποιεί για να υλο­ποι­ή­σει μια πραγ­μα­τική συναλ­λαγή. Η τράπεζα στέλνει στο κινητό του χρήστη το OTP για να ολο­κλη­ρω­θεί η συναλ­λαγή. Τότε εμφα­νί­ζε­ται στην ιστο­σε­λίδα μια ειδική φόρμα για να πλη­κτρο­λο­γή­σει ο χρήστης τον προ­σω­ρινό κωδικό ασφα­λείας. Το θύμα νομίζει ότι πρό­κει­ται για ακόμη ένα βήμα επα­λή­θευ­σης της ταυ­τό­τη­τάς του, στην πραγ­μα­τι­κό­τητα όμως είναι η τελευ­ταία κίνηση που γίνεται για να κλαπούν τα χρήματά του.

Πώς μπορούν να προ­στα­τευ­τούν οι πολίτες; Αρκεί να θυμού­νται ότι οι δημό­σιοι φορείς δεν στέλ­νουν ποτέ μηνύ­ματα με συν­δέ­σμους για κατα­χώ­ριση τρα­πε­ζι­κών στοι­χείων.

Πώς δρούσαν τα call centers εξα­πά­τη­σης ηλι­κιω­μέ­νων

Πολ­λα­πλά σενάρια

Δεν απο­κλεί­ε­ται όποιοι κρύ­βο­νται πίσω από τον σχε­δια­σμό αυτής της απάτης να την πουλούν σαν «υπη­ρε­σία» σε άλλους κυβερ­νο­ε­γκλη­μα­τίες. Αυτή είναι η εκτί­μηση του κ. Βενιέρη. «Δεν πρό­κει­ται για μια απλή σελίδα υπο­κλο­πής δεδο­μέ­νων, αλλά για ένα πλήρες Phishing-as-a-Service kit που μπορεί να καλύψει δια­φο­ρε­τι­κές μορφές απάτης. Ο “πελάτης” της κακό­βου­λης υπη­ρε­σίας επι­λέ­γει κάθε φορά ποιο σενάριο τον εξυ­πη­ρε­τεί», λέει. Από την ανάλυση του κώδικα της παρα­πλα­νη­τι­κής ιστο­σε­λί­δας προ­κύ­πτει ότι περι­λαμ­βά­νο­νται σε αυτόν και άλλα ελλη­νικά μηνύ­ματα που καλύ­πτουν πολ­λα­πλά σενάρια. Πέρα από Fuel Pass η απάτη μπορεί να μιμηθεί εται­ρείες courier για την παρά­δοση δεμάτων, τρα­πε­ζικά ιδρύ­ματα για την αύξηση του πιστω­τι­κού ορίου, ή υπο­τι­θέ­μενα ηλε­κτρο­νικά κατα­στή­ματα που πωλούν ηλε­κτρι­κές οδο­ντό­βουρ­τσες, ρολόγια, ακόμη και air fryer.

Πηγή: kathimerini.gr