Ηλεκτρονικές απάτες: Οι δέκα πιο συχνές παγίδες – Οδηγός άμυνας

Σε Λερναία Ύδρα, της οποίας η εξό­ντωση είναι αδύνατη, παρα­πέ­μπουν οι δια­δι­κτυα­κές και τηλε­φω­νι­κές απάτες που εκτι­μά­ται ότι προ­κα­λούν κάθε χρόνο απώ­λειες πολλών εκα­το­ντά­δων εκα­τομ­μυ­ρίων ευρώ.

Οι επι­τή­δειοι –ελλη­νικά και διεθνή κυκλώ­ματα– εφευ­ρί­σκουν συνεχώς νέους τρόπους εξα­πά­τη­σης, αλλά πάντοτε χρη­σι­μο­ποιούν τη μέθοδο της κοι­νω­νι­κής μηχα­νι­κής για να χει­ρα­γω­γή­σουν ανυ­πο­ψί­α­στους πολίτες και να απο­σπά­σουν πολύ­τι­μες πλη­ρο­φο­ρίες, όπως τρα­πε­ζι­κούς κωδι­κούς.

Στη μακρά λίστα των θυμάτων προ­στέ­θηκε πρό­σφατα ο δήμαρ­χος Μινώα Πεδιά­δας Μανώλης Φρα­γκά­κης. Ένα μόνο τηλε­φώ­νημα από δήθεν προ­μη­θευτή του υπήρξε αρκετό ώστε οι άγνω­στοι να αφαι­ρέ­σουν 7.800 ευρώ από τον λογα­ρια­σμό του.

Η Ελλη­νική Ένωση Τρα­πε­ζών (ΕΕΤ) υπο­λό­γισε πρό­σφατα σε περίπου 500.000 ευρώ ανά ημέρα, ή 175 εκατ. ευρώ τον χρόνο, τη λεία χάκερ τρα­πε­ζι­κών λογα­ρια­σμών, έστω κι αν πολλά από τα περι­στα­τικά αυτά απο­τρέ­πο­νται μέσω τεχνο­λο­γι­κών συστη­μά­των πρό­βλε­ψης της απάτης. Ωστόσο, οι απώ­λειες εκτι­μά­ται ότι είναι πολύ μεγα­λύ­τε­ρες. Κι αυτό επειδή τα θύματα σε πολλές περι­πτώ­σεις διστά­ζουν να γνω­στο­ποι­ή­σουν στις Αρχές τα περι­στα­τικά, ενώ ενίοτε δαπα­νούν σημα­ντικά ποσά ανα­θέ­το­ντας σε αμφι­βό­λου απο­τε­λε­σμα­τι­κό­τη­τος ειδι­κούς (π.χ. ανε­ξάρ­τη­τοι ερευ­νη­τές) τον εντο­πι­σμό των δραστών.

Επίσης, ένας πολύ μεγάλος αριθμός δια­φο­ρε­τι­κών τύπων εξα­πά­τη­σης δεν κατη­γο­ριο­ποιεί­ται αμιγώς ως δια­δι­κτυακή τρα­πε­ζική απάτη, όπως, για παρά­δειγμα, οι επεν­δυ­τι­κές εταιρείες-μαϊμού, που με δέλεαρ υψηλές απο­δό­σεις κατα­φέρ­νουν να απο­σπούν στα­διακά μεγάλα χρη­μα­τικά ποσά με τη συναί­νεση των ανυ­πο­ψί­α­στων, αρχικά, θυμάτων τους.

Υπο­λο­γί­ζε­ται ότι η συγκε­κρι­μένη ομάδα «επεν­δυ­τών» που ανα­ζη­τούν άμεσα κέρδη έχει χάσει αθροι­στικά την τελευ­ταία διετία περισ­σό­τερα από 200 εκατ. ευρώ.

Η ανυ­παρ­ξία εδα­φι­κών περιο­ρι­σμών και η χρήση εξε­λιγ­μέ­νων τεχνι­κών από­κρυ­ψης των ψηφια­κών ιχνών κάνουν δύσκολη την εξι­χνί­αση των απατών με υπο­λο­γι­στή που περι­λαμ­βά­νο­νται στο άρθρο 386Α του Ποι­νι­κού Κώδικα. Ετσι, εάν τα χρήματα κάνουν φτερά, είναι σχεδόν αδύ­να­τον να εντο­πι­στούν οι δράστες.

Τα δέκα πιο συνη­θι­σμένα ψηφιακά κόλπα

• Τα απατηλά μηνύ­ματα ηλε­κτρο­νι­κού ταχυ­δρο­μείου (phishing). Στόχος είναι η εξα­πά­τηση του παρα­λή­πτη, ώστε να γνω­στο­ποι­ή­σει προ­σω­πι­κές και οικο­νο­μι­κές πλη­ρο­φο­ρίες ή κωδι­κούς ασφα­λείας. Αυτού του είδους τα μηνύ­ματα μοιά­ζουν πολύ με όσα στέλ­νουν οι τρά­πε­ζες στους πελάτες τους, φέρο­ντας το ίδιο λογό­τυπο, τα χαρα­κτη­ρι­στικά και το ύφος των πραγ­μα­τι­κών e-mails.

• Τα ψεύτικα μηνύ­ματα στο κινητό (smishing). Ο παρα­λή­πτης ζητεί­ται να κάνει κλικ σε έναν ηλε­κτρο­νικό σύν­δε­σμο (link) προ­κει­μέ­νου να επα­λη­θεύ­σει, να ενη­με­ρώ­σει ή να ενερ­γο­ποι­ή­σει, εκ νέου, τον λογα­ρια­σμό του. Ωστόσο, το link οδηγεί σε ψεύτικη ιστο­σε­λίδα, μέσω της οποίας οι δράστες απο­κτούν τον έλεγχο του κινητού.

• Η προ­σέγ­γιση μέσω τηλε­φώ­νου (vishing) του θύματος. Σε συν­δυα­σμό με την υιο­θέ­τηση κοι­νω­νι­κής μηχα­νι­κής, το θύμα πεί­θε­ται να απο­κα­λύ­ψει προ­σω­πικά στοι­χεία, κωδι­κούς ασφα­λείας ή pin ή ακόμη και να μετα­φέ­ρει χρήματα στους απα­τε­ώ­νες. Αντί­στοιχα, ενδέ­χε­ται τα θύματα να λάβουν e-mail από αλυσίδα λια­νι­κής με αντι­κεί­μενο, για παρά­δειγμα, την ανάληψη χρη­μα­τι­κού ποσού από τον λογα­ρια­σμό τους. Μέσω του ίδιου μηνύ­μα­τος ζητεί­ται από το θύμα να καλέσει σε έναν τηλε­φω­νικό αριθμό υπο­στή­ρι­ξης πελατών. Σύμφωνα με τους ανα­λυ­τές της εται­ρείας παροχής λύσεων κυβερ­νο­α­σφά­λειας Karpersky, σε αντί­θεση με την πλη­κτρο­λό­γηση προ­σω­πι­κών δεδο­μέ­νων σε μία ιστο­σε­λίδα, η συγκε­κρι­μένη μέθοδος έχει περισ­σό­τερα ποσοστά επι­τυ­χίας. Κι αυτό επειδή όταν τα θύματα μιλούν στο τηλέ­φωνο, συνήθως η προσοχή τους απο­σπά­ται, ανα­γνω­ρί­ζο­ντας δυσκο­λό­τερα την παγίδα.

• Η τεχνική sim swap, της οποίας το «μυστικό επι­τυ­χίας» βασί­ζε­ται στο ότι η χρήση του αριθμού κινητού τηλε­φώ­νου είναι από τα πιο βασικά στοι­χεία ταυ­το­ποί­η­σης ενός συν­δρο­μητή ή συναλ­λασ­σό­με­νου. Οι δράστες προ­σποιού­νται τον κάτοχο της SIM με στόχο να εξα­πα­τή­σουν τους παρό­χους και να απο­κτή­σουν νέα κάρτα που αντι­κα­θι­στά αυτή του νόμιμου κατόχου. Μόλις ενερ­γο­ποι­ή­σουν τη νέα κάρτα, η παλιά απε­νερ­γο­ποιεί­ται. Ως απο­τέ­λε­σμα, όλες οι υπη­ρε­σίες (κλήσεις, SMS, πρό­σβαση στο Δια­δί­κτυο) λαμ­βά­νο­νται στη συσκευή του δράστη.

• Οι αγορές μέσω Δια­δι­κτύου και οι μεγάλες προ­σφο­ρές χωρίς πραγ­μα­τικό αντί­κρι­σμα. Σε αυτή την κατη­γο­ρία ανήκουν και οι ψευδείς δια­γω­νι­σμοί για δωρο­ε­πι­τα­γές από αλυ­σί­δες λια­νι­κής. Το θύμα καλεί­ται να πλη­κτρο­λο­γή­σει τον τηλε­φω­νικό αριθμό του και άλλα προ­σω­πικά στοι­χεία.

• Οι απάτες με επεν­δύ­σεις υψηλών απο­δό­σεων συνο­δεύ­ο­νται, ίσως, και με τη μεγα­λύ­τερη λεία. Οι δράστες χρη­σι­μο­ποιούν, συνήθως, εργα­λεία και λογι­σμικά που τους επι­τρέ­πουν να αλλοιώ­νουν τους τηλε­φω­νι­κούς τους αριθ­μούς («fake caller ID»), να παρου­σιά­ζουν ψεύ­τι­κες ιστο­σε­λί­δες ως αλη­θι­νές και να δημιουρ­γούν πλα­στο­γρα­φη­μένα έγγραφα. Υπό­σχο­νται στα θύματά τους ότι με πολύ μικρό αρχικό κεφά­λαιο, συνήθως 250 ευρώ, μπορούν να κερ­δί­σουν πολλά επεν­δύ­ο­ντας σε χρη­μα­το­οι­κο­νο­μικά προ­ϊ­ό­ντα.

• Τα δια­δι­κτυακά ραντε­βού. Οι απα­τε­ώ­νες, αφότου κερ­δί­σουν την εμπι­στο­σύνη του συνο­μι­λητή τους, ζητούν και συνήθως λαμ­βά­νουν προ­σω­πι­κές φωτο­γρα­φίες ή βίντεο, ενώ στη συνέ­χεια, τους εκβιά­ζουν, απαι­τώ­ντας χρήματα για να μη τα δημο­σιο­ποι­ή­σουν.

• Η πληρωμή τιμο­λο­γίων και παρα­στα­τι­κών. Σύμφωνα με τη Europol, μια επι­χεί­ρηση προ­σεγ­γί­ζε­ται, μέσω e-mail, τηλε­φω­νι­κής κλήσης κ.λπ., από κάποιον που ισχυ­ρί­ζε­ται ότι εκπρο­σω­πεί έναν προμηθευτή-δικαιούχο πλη­ρω­μής. Ο απα­τε­ώ­νας ζητεί να τρο­πο­ποι­η­θούν οι πλη­ρο­φο­ρίες για τις μελ­λο­ντι­κές πλη­ρω­μές τιμο­λο­γίων (δηλαδή τα στοι­χεία του τρα­πε­ζι­κού λογα­ρια­σμού του δικαιού­χου πλη­ρω­μής), εξα­σφα­λί­ζο­ντας έτσι την κυριό­τητα του προ­τει­νό­με­νου λογα­ρια­σμού.

• Η απο­στολή εται­ρι­κού e-email σε εξου­σιο­δο­τη­μένο για την πραγ­μα­το­ποί­ηση πλη­ρω­μών υπάλ­ληλο μιας εται­ρείας. Ο απα­τε­ώ­νας, που έχει γνώση της εσω­τε­ρι­κής εται­ρι­κής διάρ­θρω­σης, υπο­δύ­ε­ται ένα υψη­λό­βαθμο στέ­λε­χος (π.χ. οικο­νο­μι­κός διευ­θυ­ντής) και απαιτεί επει­γό­ντως την εξό­φληση ενός τιμο­λο­γίου, ενώ συχνά ανα­φέ­ρε­ται σε μια «ευαί­σθητη» για την επι­χεί­ρηση κατά­σταση (π.χ. φορο­λο­γι­κός έλεγχος). Συχνά το αίτημα εξό­φλη­σης αφορά τη διε­νέρ­γεια πλη­ρω­μών σε τρά­πε­ζες εκτός Ευρώπης.

• Η «χρυσή κλη­ρο­νο­μιά». Στις «απάτες 419» ή «Νιγη­ρια­νές Απάτες», όπως απο­κα­λού­νται, απο­στέλ­λο­νται, μηνύ­ματα σε τυχαί­ους χρήστες του Δια­δι­κτύου, με τα οποία πλη­ρο­φο­ρούν ότι απε­βί­ωσε κάτοχος μεγάλης περιου­σίας. Και, είτε δεν υφί­στα­ται κανείς κλη­ρο­νό­μος και ο παρα­λή­πτης του μηνύ­μα­τος έχει επι­λε­γεί ως κλη­ρο­νό­μος, είτε για να κατα­στεί δυνατό να απο­δε­σμευ­τεί η περιου­σία, χρειά­ζε­ται αυτή να μετα­φερ­θεί σε τρα­πε­ζικό λογα­ρια­σμό του εξω­τε­ρι­κού. Ετσι, ο παρα­λή­πτης ενη­με­ρώ­νε­ται ότι εάν δια­θέ­σει τον λογα­ρια­σμό του (και απο­στεί­λει τα στοι­χεία του τρα­πε­ζι­κού λογα­ρια­σμού του), θα απο­κτή­σει κάποιο ποσοστό επί της περιου­σίας αυτής. Αντί­στοιχα, άτομα από τη Νιγηρία ανα­ζη­τούν συνερ­γά­τες για να μετα­φέ­ρουν τα κεφά­λαιά τους και υπό­σχο­νται υψηλές αμοιβές.

Πώς να απο­φύ­γουμε τις e-παγίδες

«Μια παύση αρκεί για να απο­φύ­γουμε την ηλε­κτρο­νική απάτη». Αυτό είναι το βασικό μήνυμα της εκστρα­τείας ενη­μέ­ρω­σης για τις ηλε­κτρο­νι­κές απάτες που πραγ­μα­το­ποιούν το υπουρ­γείο Προ­στα­σίας του Πολίτη, η Τράπεζα της Ελλάδος, η Ελλη­νική Αστυ­νο­μία και η Ελλη­νική Ενωση Τρα­πε­ζών. Πράγ­ματι, σύμφωνα με τους ειδι­κούς στην κυβερ­νο­α­σφά­λεια, η κοινή λογική και κρίση όσον αφορά το περιε­χό­μενο ενός εισερ­χό­με­νου μηνύ­μα­τος ή κλήσης απο­τε­λούν την καλύ­τερη ασπίδα προ­στα­σίας κατά των ψηφια­κών απατών.

Για παρά­δειγμα, στην περί­πτωση μηνυ­μά­των που φέρο­νται να προ­έρ­χο­νται από τρά­πε­ζες, μπορεί να αποβεί σωτήρια η σκέψη ότι εάν έχει προ­κύ­ψει κάποιο σημα­ντικό ζήτημα, ο πελάτης θα ενη­με­ρω­θεί μέσω μηνύ­μα­τος στον ηλε­κτρο­νικό τρα­πε­ζικό λογα­ρια­σμό του. Αντί­στοιχα, μπορεί κάποιος να απο­φύ­γει τις παγίδες, γνω­ρί­ζο­ντας ότι μία τράπεζα δεν θα ζητούσε ποτέ τον κωδικό «PIN» της πιστω­τι­κής ή χρε­ω­στι­κής κάρτας ή τον κωδικό πρό­σβα­σης του τρα­πε­ζι­κού λογα­ρια­σμού μέσω e-banking.

Στην περί­πτωση των απα­τη­λών μηνυ­μά­των (phishing), οι ειδικοί συνι­στούν την ενη­μέ­ρωση με την τελευ­ταία έκδοση του φυλ­λο­με­τρητή ιστο­σε­λί­δων (browser), του αντι­ι­ι­κού προ­γράμ­μα­τος, αλλά και του λει­τουρ­γι­κού συστή­μα­τος του υπο­λο­γι­στή. Εφι­στούν ακόμη ιδιαί­τερη προσοχή σε μηνύ­ματα ηλε­κτρο­νι­κού ταχυ­δρο­μείου «τρά­πε­ζας» που ζητούν ευαί­σθη­τες πλη­ρο­φο­ρίες (π.χ. τον κωδικό πρό­σβα­σης του τρα­πε­ζι­κού σας λογα­ρια­σμού μέσω internet banking).

Προς την κατεύ­θυνση αυτή, οι παρα­λή­πτες θα πρέπει να ελέγ­χουν προ­σε­κτικά τα μηνύ­ματα και να συγκρί­νουν την ηλε­κτρο­νική διεύ­θυνση της τρά­πε­ζας με αυτήν που εμφα­νί­ζε­ται σε παλαιό­τερα (πραγ­μα­τικά) μηνύ­ματα. Η ύπαρξη λαθών ορθο­γρα­φίας, γραμ­μα­τι­κής ή σύντα­ξης απο­τε­λεί τη σοβα­ρό­τερη ένδειξη ότι πρό­κει­ται για από­πειρα phishing, ενώ απα­γο­ρεύ­ε­ται ρητά το κλικ στον ηλε­κτρο­νικό σύν­δε­σμο ή η λήψη του συνημ­μέ­νου αρχείου.

Αντί­στοιχα, οι παρα­λή­πτες δεν θα πρέπει να απα­ντούν σε sms που ζητούν τον κωδικό «PIN» ή τον κωδικό πρό­σβα­σης («password») στον τρα­πε­ζικό τους λογα­ρια­σμό ή οποια­δή­ποτε άλλα εξα­το­μι­κευ­μένα δια­πι­στευ­τή­ρια ασφα­λείας (π.χ. όνομα χρήστη e-banking).

Τι συνιστά η Europol

«Εάν νομί­ζετε ότι ενδέ­χε­ται να έχετε απα­ντή­σει σε ένα απατηλό sms και παρεί­χατε τα στοι­χεία των τρα­πε­ζι­κών σας λογα­ρια­σμών, επι­κοι­νω­νή­στε αμέσως με την τράπεζα συνερ­γα­σίας σας», συνιστά η Europol.

​​​​​​Οσον αφορά τις τηλε­φω­νι­κές κλήσεις, όπου οι δράστες εμφα­νί­ζο­νται συνήθως ιδιαί­τερα ευγε­νι­κοί, συνι­στά­ται οι απο­δέ­κτες να κρατούν τον αριθμό τηλε­φώ­νου από τον οποίο έχουν κληθεί και να ενη­με­ρώ­νουν ότι θα επι­στρέ­ψουν οι ίδιοι το τηλε­φώ­νημα. Θα πρέπει ακόμη να γνω­ρί­ζουν ότι οι απα­τε­ώ­νες μπορούν να βρουν τα βασικά στοι­χεία επι­κοι­νω­νίας ενός ατόμου μέσω Δια­δι­κτύου (π.χ. από τα μέσα κοι­νω­νι­κής δικτύ­ω­σης ή τον τηλε­φω­νικό κατά­λογο). Δεν απο­τε­λεί δηλαδή από­δειξη της πραγ­μα­τι­κής ιδιό­τη­τας του καλού­ντος το γεγονός ότι έχει στη διάθεσή του τέτοιου είδους πλη­ρο­φο­ρίες.

Σχετικά με την εξα­πά­τηση μέσω τιμο­λο­γίων, οι επι­χει­ρή­σεις θα πρέπει να δια­σφα­λί­ζουν ότι οι υπάλ­λη­λοι είναι ενη­με­ρω­μέ­νοι και γνω­ρί­ζουν τη συγκε­κρι­μένη μορφή απάτης και τον τρόπο απο­φυ­γής της.

Από την πλευρά τους, οι υπάλ­λη­λοι δεν θα πρέπει να κάνουν χρήση των στοι­χείων επι­κοι­νω­νίας που περι­λαμ­βά­νο­νται στην ηλε­κτρο­νική αλλη­λο­γρα­φία με την οποία ζητεί­ται η αλλαγή στοι­χείων.

Πηγή kathimerini.gr

Δημή­τρης Δελε­βέ­γκος