Πώς μπορεί να σας κλέψουν τον κωδικό πρόσβασης στα e-mail σας

Οι υπη­ρε­σίες που σας δίνουν τη δυνα­τό­τητα να ανα­κτή­σετε έναν κωδικό πρό­σβα­σης που ξεχά­σατε στέλ­νο­ντας στο κινητό σας έναν προ­σω­ρινό με SMS δεν θα σας ζητή­σουν ποτέ «απά­ντηση». Εάν το γνω­ρί­ζετε αυτό, τότε δεν θα ξεγε­λα­στείτε από μια συνη­θι­σμένη και απλή απάτη «κοι­νω­νι­κής μηχα­νι­κής».

Σκε­φτείτε πως αρκεί να έχει κανείς τον αριθμό του τηλε­φώ­νου σας και την διεύ­θυνση του e-mail σας για να επι­χει­ρή­σει να σας εξα­πα­τή­σει. Στις υπη­ρε­σίες e-mail Gmail, Hotmail και Yahoo Mail υπάρχει η δυνα­τό­τητα ανά­κτη­σης του κωδικού πρό­σβα­σης στον λογα­ρια­σμό σας με έναν κωδικό επα­λή­θευ­σης που θα λάβετε στο κινητό σας τηλέ­φωνο (άρα απαι­τεί­ται και ο αριθμός κλήσης).

Χρη­σι­μο­ποιώ­ντας το Gmail για παρά­δειγμα, τα ακό­λουθα βήματα περι­γρά­φουν τον τρόπο με τον οποίο λει­τουρ­γεί η επίθεση:

Υπο­θέ­τουμε ότι το θύμα έχει κατα­χω­ρί­σει τον αριθμό του κινητού του τηλε­φώ­νου στο Gmail, έτσι ώστε αν ξεχάσει τον κωδικό, η Google να μπορεί να του στείλει ένα SMS με έναν κωδικό επα­λή­θευ­σης μιας χρήσης ώστε να έχει πρό­σβαση στον λογα­ρια­σμό του.

Ο κακός της υπό­θε­σης, ο κράκερ θέλει να εισβά­λει στο λογα­ρια­σμό του χρήστη, αλλά δεν γνω­ρί­ζει τον κωδικό πρό­σβα­σής του. Γνω­ρί­ζει όμως την e-mail διεύ­θυνση και το τηλέ­φωνό του. Επι­σκέ­πτε­ται λοιπόν την σελίδα login του Gmail και εισάγει τα στοι­χεία του υπο­ψή­φιου θύματος (χωρίς όμως το password) και στη συνέ­χεια αναζητά βοήθεια (μέσω του link “Need help?” -αυτή η παρα­πο­μπή είναι χρήσιμη όταν κανείς ξεχάσει τα στοι­χεία εισόδου του στην υπη­ρε­σία). Παρι­στά­νει δηλαδή ότι είναι ο ξεχα­σιά­ρης ιδιο­κτή­της του λογα­ρια­σμού που αναζητά τρόπο να ανα­κτή­σει τον κωδικό του.

Το σύστημα δίνει στον χρήστη αλλά και στον κράκερ πολλές επι­λο­γές, μεταξύ των οποίων και το “Enter the last password you remember” (Eισάγετε τον τελευ­ταίο κωδικό που θυμό­σα­στε) και πατήστε στο “Confirm password reset on my [MAKE AND MODEL] phone,” (Επι­βε­βαί­ωση επα­να­φο­ράς κωδικού πρό­σβα­σης στο τηλέ­φωνο μου [μάρκα και μοντέλο]. Επειδή, δεν μπορεί να γνω­ρί­ζει τα στοι­χεία αυτά, τα παρα­λεί­πει μέχρι να του δοθεί η επιλογή “Get a verification code on my phone: [MOBILE PHONE NUMBER] (Λήψη κωδικού επα­λή­θευ­σης στο τηλέ­φωνό μου: [ΚΙΝΗΤΟ ΤΗΛΕΦΩΝΟ]).

Ο κράκερ επι­βε­βαιώ­νει την επιλογή. Το θύμα θα λάβει ένα SMS με έναν εξα­ψή­φιο κωδικό επα­λή­θευ­σης στο τηλέ­φωνο του -το οποίο όμως, δεν βρί­σκε­ται στα χέρια του «κακού». Ο χρήστης λαμ­βά­νει ένα μήνυμα που γράφει “Your Google Verification code is [SIX-DIGIT CODE].” (Ο κωδικός επα­λή­θευ­σης του Google είναι [εξα­ψή­φιος κωδικός]

Στο σημείο αυτό, επεμ­βαί­νει ο κράκερ: στέλνει στο θύμα του ένα δεύτερο SMS που γράφει κάτι πει­στικό υπο­δυό­με­νος αυτή τη φορά την υπη­ρε­σία, δηλαδή την Google, την Yahoo ή το Hotmail, ώστε να του απα­ντή­σει το θύμα με τον κωδικό που μόλις έλαβε, όπως: “Google has detected unusual activity on your account. Please respond with the code sent to your mobile device to stop unauthorized activity”.

(Η Google εντό­πισε ασυ­νή­θι­στη δρα­στη­ριό­τητα στο λογα­ρια­σμό σας. Απα­ντή­στε με τον κωδικό που σας έχει σταλεί στο κινητό σας τηλέ­φωνο για να εμπο­δί­σετε τυχόν μη εξου­σιο­δο­τη­μένη δρα­στη­ριό­τητα).

Ο χρήστης πιστεύει ότι το μήνυμα είναι αξιό­πι­στο και απαντά με τον κωδικό επα­λή­θευ­σης. Εκτός βέβαια εάν παρα­τη­ρή­σει ποιος του έστειλε το μήνυμα και θελήσει να βεβαιω­θεί για την ταυ­τό­τητά του (ενδε­χο­μέ­νως, συγκρί­νο­ντας την προ­έ­λευση του αρχικού μηνύ­μα­τος με τον εξα­ψή­φιο κωδικό).

Στο παρά­δειγμά μας, το αυθε­ντικό μήνυμα της Google εμφα­νί­ζει ως απο­στο­λέα την “Google” και εάν ανα­ζη­τή­σετε με παρα­τε­τα­μένο άγγιγμα τις «λεπτο­μέ­ρειες μηνύ­μα­τος» θα δείτε ως Κέντρο υπη­ρε­σίας τον αριθμό της υπη­ρε­σίας μηνυ­μά­των του παρόχου σας, π.χ. από την Vodafone το +306942190000

Δια­φο­ρε­τικά, ο κράκερ θα λάβει και θα χρη­σι­μο­ποι­ή­σει τον κωδικό επα­λή­θευ­σης για να πάρει προ­σω­ρινά έναν κωδικό πρό­σβα­σης και στη συνέ­χεια θα μπει στον λογα­ρια­σμό για να βρει ό,τι θέλει.

Η Symantec μας λέει πως η «επι­κοι­νω­νία» του κράκερ με τα θύματά του δεν σταματά εδώ. Αρκετοί εξα­κο­λου­θούν να στέλ­νουν μηνύ­ματα στα θύματά τους όταν κάτι δεν πάει καλά με τη σύνδεση και τους κωδι­κούς. Βεβαίως και πάλι τα μηνύ­ματα εξα­κο­λου­θούν να είναι απλά και αλη­θο­φανή, με απο­τέ­λε­σμα να πείθουν χωρίς ιδιαί­τερη προ­σπά­θεια τα θύματά τους.

Πού προ­ω­θού­νται τα e-mail σας;

Όταν πλέον ο επι­τι­θέ­με­νος απο­κτή­σει πρό­σβαση στον λογα­ρια­σμό του θύματος, μπορεί για παρά­δειγμα, μεταξύ άλλων, να προ­σθέ­σει μια εναλ­λα­κτική διεύ­θυνση ηλε­κτρο­νι­κού ταχυ­δρο­μείου στο λογα­ρια­σμό και έτσι να λαμ­βά­νει αντί­γραφα όλων των μηνυ­μά­των που θα δια­βι­βά­ζο­νται στη διεύ­θυνση αυτή.

Οι κράκερ στέλ­νουν ακόμη και «ευχα­ρι­στή­ριο» μήνυμα στα θύματά τους, που συνήθως έχει τη μορφή “Thank you for verifying your Google account. Your temporary password is [TEMPORARY PASSWORD]” (Σας ευχα­ρι­στούμε για την επα­λή­θευση του λογα­ρια­σμού σας στο Google. Ο προ­σω­ρι­νός κωδικός πρό­σβα­σης σας είναι [προ­σω­ρι­νός κωδικός πρό­σβα­σης] “. Αυτό κάνει την επίθεση ψαρέ­μα­τος (“phishing”) όλο και πιο πιστευτή, αφού το θύμα θεωρεί όλη την αλλη­λο­γρα­φία νόμιμη και πιστεύει ότι λογα­ρια­σμός του είναι πλέον ασφαλής.

Οι κυβερ­νο­ε­γκλη­μα­τίες αυτού του τύπου των επι­θέ­σεων δεν φαί­νε­ται να επι­κε­ντρώ­νο­νται στο οικο­νο­μικό κέρδος, όπως για παρά­δειγμα συμ­βαί­νει στην κλοπή αριθμών πιστω­τι­κών καρτών. Φαί­νε­ται ότι προ­σπα­θούν να συλ­λέ­ξουν πλη­ρο­φο­ρίες σχετικά με τα θύματά τους και μάλιστα όχι μαζικά, αλλά σε συγκε­κρι­μένα άτομα.

Αυτή η απλή, αλλά άκρως απο­τε­λε­σμα­τική μέθοδος επί­θε­σης είναι πολύ πιο οικο­νο­μική από τις παρα­δο­σια­κές spear-phishing επι­θέ­σεις, όπου ένας εισβο­λέας πρέπει να κατα­χω­ρή­σει ένα domain και να δημιουρ­γή­σει μια ιστο­σε­λίδα phishing. Στην περί­πτωση αυτή, το μόνο κόστος που βαρύνει τους επι­τι­θέ­με­νους είναι το μήνυμα SMS, ενώ ως μέθοδος είναι πολύ δύσκολα ανι­χνεύ­σιμη καθώς πρέπει να γίνει από ειδικό λογι­σμικό για κινητά τηλέ­φωνα ή από τον εκά­στοτε πάροχο κινητής τηλε­φω­νίας.

Η Symantec συμ­βου­λεύει τους χρήστες να είναι καχύ­πο­πτοι προς τα μηνύ­ματα SMS που ζητούν κωδι­κούς επα­λή­θευ­σης, ειδικά αν δεν τους έχουν ζητήσει οι ίδιοι.

Εάν δεν είμαστε βέβαιοι για το μήνυμα που λάβαμε ελέγ­χουμε την προ­έ­λευσή του με τον παροχέα του ηλε­κτρο­νι­κού μας ταχυ­δρο­μείου, για να επι­βε­βαιω­θεί εάν το μήνυμα είναι νόμιμο.

Τα μηνύ­ματα που απο­στέλ­λο­νται συνήθως από τις υπη­ρε­σίες ανά­κτη­σης κωδικού πρό­σβα­σης, απο­στέλ­λουν μόνο τον κωδικό επα­λή­θευ­σης και δεν ζητούν από τον χρήστη να απα­ντή­σει με οποιον­δή­ποτε τρόπο.

Να θυμάστε πάντα ότι ακόμη και αν κάποιος μοιάζει με έναν αστυ­νο­μικό ή κάποια ανώτερη αρχή, αυτό δε σημαί­νει απα­ραί­τητα ότι θα πρέπει να παρα­δώ­σουμε και τα στοι­χεία μας, χωρίς να ζητή­σουμε αντί­στοιχη επι­βε­βαί­ωση της ταυ­τό­τη­τάς του.

in.gr