Απάτες μέσω SMS: πώς να αναγνωρίσετε το smishing και τι να κάνετε αν δώσατε στοιχεία
Ένα απλό SMS αρκεί για να ξεκινήσει μια οργανωμένη απόπειρα εξαπάτησης. Η Εθνική Αρχή Κυβερνοασφάλειας έχει ήδη προειδοποιήσει για νέα κύματα smishing το 2026.
SMS απάτης: οδηγός αντίδρασης από την πρώτη επαφή έως τη διαρροή στοιχείων
Ένα μήνυμα εμφανίζεται στην οθόνη: «Το δέμα σας δεν μπόρεσε να παραδοθεί». «Εκκρεμεί η πληρωμή προστίμου». «Ο τραπεζικός λογαριασμός σας έχει προσωρινά δεσμευτεί». Ή πιο αθώο: «Γεια, είσαι η Μαρία;». Από περιέργεια απαντάμε — και αμέσως γεννιέται η ανησυχία. Μπορεί κάποιος να αποκτήσει πρόσβαση στο κινητό μας μόνο επειδή απαντήσαμε; Το Ta Nea δημοσίευσε αναλυτικό οδηγό για τους κινδύνους και τα βήματα προστασίας.
Απάντησα σε ύποπτο SMS — τι έχω χάσει;
Στη συντριπτική πλειονότητα των συνηθισμένων απατών μέσω SMS, ένα απλό μήνυμα κειμένου που στέλνουμε ως απάντηση δεν δίνει από μόνο του στον απατεώνα πρόσβαση σε φωτογραφίες, αρχεία, κωδικούς ή τραπεζικές εφαρμογές.
Αυτό, ωστόσο, δεν σημαίνει ότι η απάντηση είναι εντελώς αθώα. Αποκαλύπτει κάτι απλό αλλά πολύτιμο για τον απατεώνα: ότι ο αριθμός είναι ενεργός και κάποιος διαβάζει τα μηνύματα. Η αμερικανική Federal Trade Commission (FTC) προειδοποιεί ειδικά για τα λεγόμενα «wrong number texts» — μηνύματα που φαίνεται να έχουν σταλεί κατά λάθος σε λάθος παραλήπτη. Ακόμη και μια σύντομη απάντηση επιβεβαιώνει την ύπαρξη πραγματικού χρήστη πίσω από τον αριθμό, ανοίγοντας τον δρόμο για νέα SMS, τηλεφωνικές κλήσεις ή πιο στοχευμένη απόπειρα εξαπάτησης.
Ο ασφαλέστερος κανόνας: δεν απαντάμε σε απρόσμενα μηνύματα από αγνώστους.
Τι είναι το smishing και πού βρίσκεται η πραγματική παγίδα
Ο κίνδυνος δεν έγκειται συνήθως στο πρώτο SMS, αλλά σε αυτό που ακολουθεί: το μήνυμα που ο απατεώνας χρησιμοποιεί για να μας πείσει να κάνουμε κάτι — να πατήσουμε σύνδεσμο, να καλέσουμε αριθμό, να δώσουμε στοιχεία. Αυτή είναι η απάτη γνωστή ως smishing, συνδυασμός των λέξεων SMS και phishing.
Η Europol περιγράφει το smishing ως οργανωμένη προσπάθεια απόκτησης προσωπικών, οικονομικών ή διαπιστευτηρίων ασφαλείας μέσω γραπτών μηνυμάτων. Οι απατεώνες συνήθως υποδύονται τράπεζες, εταιρείες καρτών, courier, δημόσιες υπηρεσίες ή άλλους οργανισμούς και δημιουργούν αίσθηση επείγοντος, ώστε το θύμα να ενεργήσει χωρίς δεύτερη σκέψη.
Η Εθνική Αρχή Κυβερνοασφάλειας έχει προειδοποιήσει και μέσα στο 2026 για SMS που εμφανίζονταν ως ειδοποιήσεις για δήθεν τροχαίες παραβάσεις, καθώς και για μηνύματα που εκμεταλλεύονταν κρατικές ενισχύσεις με στόχο την υποκλοπή προσωπικών και τραπεζικών δεδομένων. Το «επείγον» παραμένει το ισχυρότερο εργαλείο του απατεώνα.
Απλή απάντηση — χωρίς link, χωρίς στοιχεία
Εάν στάλθηκε μόνο ένα «ναι», «όχι» ή «ποιος είναι;», χωρίς να πατηθεί σύνδεσμος, να κατεβεί αρχείο ή να δοθούν προσωπικά ή τραπεζικά στοιχεία, συνήθως δεν υπάρχει λόγος πανικού. Δεν απαιτείται ακύρωση κάρτας ή αλλαγή όλων των κωδικών.
Τέσσερα βήματα όμως είναι απαραίτητα: σταματάμε αμέσως τη συνομιλία, μπλοκάρουμε τον αριθμό, χαρακτηρίζουμε το μήνυμα ως spam και παραμένουμε ιδιαίτερα επιφυλακτικοί απέναντι σε επόμενα μηνύματα ή κλήσεις. Δεν συνεχίζουμε τη συζήτηση για να «δοκιμάσουμε» ή να «ξεσκεπάσουμε» τον απατεώνα.
Πάτησα σύνδεσμο — τι κάνω τώρα;
Ένας κακόβουλος σύνδεσμος μπορεί να οδηγεί σε πλαστή ιστοσελίδα που αναμένει την πληκτρολόγηση στοιχείων, μπορεί όμως και να επιχειρεί λήψη κακόβουλου αρχείου ή να εκμεταλλευτεί αδυναμίες της συσκευής.
Τα βήματα: κλείνουμε αμέσως τη σελίδα, δεν κατεβάζουμε τίποτα, ελέγχουμε εάν εγκαταστάθηκε άγνωστη εφαρμογή και βεβαιωνόμαστε ότι το λειτουργικό σύστημα και οι εφαρμογές ασφαλείας είναι ενημερωμένα. Εάν έχει εγκατασταθεί άγνωστη εφαρμογή, ο κίνδυνος ανεβαίνει επίπεδο και απαιτείται άμεσος έλεγχος της συσκευής.
Έδωσα προσωπικά ή τραπεζικά στοιχεία
Εδώ δεν υπάρχει χρόνος αναμονής. Επικοινωνούμε αμέσως με την τράπεζα, χρησιμοποιώντας αποκλειστικά το επίσημο τηλέφωνο ή την εφαρμογή της — ποτέ στοιχεία επικοινωνίας που περιέχονται στο ύποπτο μήνυμα. Ζητάμε μπλοκάρισμα κάρτας ή λογαριασμού και αλλάζουμε αμέσως τους κωδικούς που ενδέχεται να έχουν υποκλαπεί. Εάν ο ίδιος κωδικός χρησιμοποιείται και σε άλλες υπηρεσίες, πρέπει να αλλαχθεί και εκεί.
Ιδιαίτερη προσοχή απαιτείται στους κωδικούς μιας χρήσης (OTP): δεν τους γνωστοποιούμε σε κανέναν, ακόμη κι αν ο συνομιλητής παρουσιάζεται ως υπάλληλος τράπεζας.
Η εμφάνιση γνωστού αποστολέα δεν είναι εγγύηση
Το όνομα μιας τράπεζας ή δημόσιας υπηρεσίας στο πεδίο αποστολέα δεν αποτελεί απόδειξη γνησιότητας. Οι απατεώνες αντιγράφουν λογότυπους, ονομασίες και γλώσσα πραγματικών οργανισμών, ενώ και τα στοιχεία που εμφανίζονται ως αποστολέας δεν πρέπει να θεωρούνται από μόνα τους εγγύηση ασφάλειας.
Εάν ένα SMS ενημερώνει για πρόβλημα σε τράπεζα, courier ή δημόσια υπηρεσία, δεν χρησιμοποιείται το link και δεν καλείται ο αριθμός που δίνει το μήνυμα. Ανοίγουμε μόνοι μας την επίσημη εφαρμογή ή πληκτρολογούμε εμείς τη γνωστή διαδικτυακή διεύθυνση.
Μπορεί ένα SMS να μολύνει το κινητό χωρίς να κάνω τίποτα;
Τεχνικά, ναι. Υπάρχουν οι λεγόμενες zero-click επιθέσεις, στις οποίες ειδικά κατασκευασμένο περιεχόμενο μπορεί να εκμεταλλευτεί ευπάθεια λογισμικού χωρίς ο χρήστης να ανοίξει κάποιο link. Δεν πρόκειται, ωστόσο, για τον συνήθη μηχανισμό πίσω από τα μαζικά μηνύματα «το δέμα σας δεν παραδόθηκε» ή «χρωστάτε πρόστιμο». Οι zero-click επιθέσεις είναι κατά κανόνα πολύ πιο σύνθετες και στοχευμένες — ένας επιπλέον λόγος να εγκαθιστούμε τις ενημερώσεις ασφαλείας του κινητού και των εφαρμογών μόλις γίνονται διαθέσιμες.
Ο κανόνας που ισχύει για όλα τα ύποπτα μηνύματα
Κάθε απρόσμενο μήνυμα που ζητά χρήματα, κωδικούς, προσωπικά στοιχεία ή άμεση ενέργεια αντιμετωπίζεται ως ύποπτο μέχρι να αποδειχθεί το αντίθετο. Δεν χρειάζεται να αποδειχθεί εάν το SMS είναι πλαστό — αρκεί να ελεγχθεί η πληροφορία από διαφορετικό και ανεξάρτητο κανάλι.
Source: Ta Nea