Ηλεκτρονική απάτη: Οκτώ μέτρα προστασίας από το ΕΚΑΔ για phishing και social engineering
Το Ελληνικό Κέντρο Ασφαλούς Διαδικτύου προειδοποιεί για ολοένα πιο εξελιγμένες ψηφιακές απάτες με χρήση Τεχνητής Νοημοσύνης.
Ψηφιακή εξαπάτηση: Η χρονική πίεση ως κεντρικό εργαλείο χειραγώγησης
Η ψηφιακή εξαπάτηση πολιτών και δημόσιων οργανισμών γίνεται ολοένα πιο οργανωμένη και στοχευμένη, με επιθέσεις που σε ελάχιστο χρόνο οδηγούν σε απώλεια χρημάτων, υποκλοπή δεδομένων ή παραβίαση λογαριασμών. Αυτή είναι η εκτίμηση του Ελληνικού Κέντρου Ασφαλούς Διαδικτύου (ΕΚΑΔ), όπως μεταδίδει η Naftemporiki με αφορμή σχετική ανακοίνωση του φορέα.
Σύμφωνα με το ΕΚΑΔ, η εποχή κατά την οποία ένα μήνυμα ηλεκτρονικού «ψαρέματος» (phishing) αναγνωριζόταν εύκολα από ορθογραφικά λάθη ή πρόχειρη εμφάνιση υποχωρεί σταδιακά. Οι δράστες χρησιμοποιούν πλέον ιστοσελίδες που αντιγράφουν με μεγάλη ακρίβεια το περιβάλλον τραπεζών και οργανισμών, παραποιημένες διευθύνσεις αποστολέα, πλαστά email και SMS, καθώς και τηλεφωνικές κλήσεις.
Η κοινωνική μηχανική και ο ρόλος της Τεχνητής Νοημοσύνης
Σκοπός των δραστών δεν είναι πάντα η παραβίαση ενός συστήματος ασφαλείας. Συχνά επιδιώκουν να χειραγωγήσουν τον ίδιο τον χρήστη, ώστε να πατήσει έναν σύνδεσμο, να αποκαλύψει εμπιστευτικά στοιχεία ή να εγκρίνει μια συναλλαγή. Αυτή είναι η ουσία της κοινωνικής μηχανικής (social engineering): η αξιοποίηση εμπιστοσύνης, φόβου, περιέργειας ή πίεσης χρόνου, ώστε το θύμα να ενεργήσει χωρίς να πραγματοποιήσει τον απαραίτητο έλεγχο.
Μηνύματα όπως «ο λογαριασμός σας θα μπλοκαριστεί», «εντοπίστηκε ύποπτη συναλλαγή» ή «πρέπει να ενεργήσετε άμεσα» έχουν σχεδιαστεί για να προκαλούν βιαστική αντίδραση. Η αίσθηση του επείγοντος αποτελεί από μόνη της σημαντικό προειδοποιητικό σημάδι, επισημαίνει το ΕΚΑΔ.
Τα εργαλεία παραγωγικής Τεχνητής Νοημοσύνης επιτείνουν το πρόβλημα, καθώς διευκολύνουν τη μαζική δημιουργία γλωσσικά άρτιων και εξατομικευμένων μηνυμάτων, την απομίμηση ανθρώπινης φωνής, τη δημιουργία πλαστών εικόνων ή βίντεο, καθώς και την αναπαραγωγή του ύφους γνωστών προσώπων ή στελεχών. Η ΤΝ αυξάνει σημαντικά την ταχύτητα, την κλίμακα και την πειστικότητα γνωστών μορφών εξαπάτησης.
Οι βασικές μορφές ψηφιακής απάτης
Το ΕΚΑΔ καταγράφει τις πιο συνηθισμένες μορφές:
- Phishing: Παραπλανητικό email που οδηγεί σε πλαστή ιστοσελίδα ή ζητά εμπιστευτικά στοιχεία.
- Smishing: Αντίστοιχη προσπάθεια εξαπάτησης μέσω SMS ή εφαρμογής ανταλλαγής μηνυμάτων.
- Vishing: Τηλεφωνική κλήση από άτομο που παρουσιάζεται ως υπάλληλος τράπεζας, λογιστής ή εκπρόσωπος δημόσιας υπηρεσίας.
- Πλαστές τραπεζικές ιστοσελίδες: Ιστότοποι-κλώνοι που υποκλέπτουν ό,τι πληκτρολογεί ο χρήστης.
- Απάτες μέσω ηλεκτρονικών αγγελιών: Ο υποτιθέμενος αγοραστής αποστέλλει σύνδεσμο για να «λάβει ο πωλητής την πληρωμή», οδηγώντας τον σε πλαστή τραπεζική σελίδα.
- Business Email Compromise (BEC): Παραποίηση ή παραβίαση επαγγελματικής επικοινωνίας, με στόχο την έκδοση εντολής επείγουσας πληρωμής ή αλλαγής IBAN.
Κοινός παρονομαστής είναι η δημιουργία εμπιστοσύνης και πίεσης, ώστε ο χρήστης να παρακάμψει τις συνήθεις διαδικασίες ελέγχου.
Οκτώ μέτρα προστασίας
Το ΕΚΑΔ προτείνει οκτώ συγκεκριμένα μέτρα:
1. Μη σύνδεση στο e-banking μέσω συνδέσμου. Πληκτρολογούμε μόνοι μας τη διεύθυνση της τράπεζας ή χρησιμοποιούμε την επίσημη εφαρμογή. 2. Έλεγχος ολόκληρης της διαδικτυακής διεύθυνσης. Μικρές αλλαγές σε γράμματα, παύλες ή καταλήξεις μπορεί να παραπέμπουν σε πλαστό ιστότοπο. 3. Μη αποκάλυψη κωδικών, PIN ή κωδικών μιας χρήσης. Η τράπεζα και οι νόμιμες υπηρεσίες δεν ζητούν τηλεφωνικά ή μέσω μηνύματος τα πλήρη στοιχεία σύνδεσης. 4. Προσεκτικός έλεγχος κάθε ειδοποίησης σύνδεσης ή συναλλαγής. Πριν από κάθε έγκριση ελέγχουμε το ποσό, τον δικαιούχο και την ενέργεια που εμφανίζεται στην οθόνη. 5. Ενεργοποίηση πολυπαραγοντικού ελέγχου ταυτότητας (MFA). Προσθέτει ένα επίπεδο προστασίας, χωρίς να υποκαθιστά την προσεκτική εξέταση κάθε αιτήματος. 6. Επιβεβαίωση οικονομικών αιτημάτων από δεύτερο, ανεξάρτητο κανάλι. Αλλαγές IBAN, νέοι δικαιούχοι και ασυνήθιστες πληρωμές ελέγχονται τηλεφωνικά, σε αριθμό που γνωρίζουμε ήδη. 7. Χρήση διαφορετικών και ισχυρών κωδικών πρόσβασης. Ένας διαχειριστής κωδικών περιορίζει τον κίνδυνο επαναχρησιμοποίησης και βοηθά στην αναγνώριση πλαστών ιστοσελίδων. 8. Στάση σε κάθε μήνυμα που πιέζει για άμεση ενέργεια. Η χρονική πίεση είναι τεχνική χειραγώγησης, όχι λόγος να παρακαμφθεί ο έλεγχος.
Το HTTPS δεν είναι εγγύηση γνησιότητας
Το ΕΚΑΔ υπενθυμίζει επίσης ότι το λουκέτο και η ένδειξη HTTPS σημαίνουν μόνο ότι η σύνδεση με την ιστοσελίδα είναι κρυπτογραφημένη — δεν αποδεικνύουν ότι η ιστοσελίδα ανήκει πράγματι στην τράπεζα ή τον οργανισμό που ισχυρίζεται ότι εκπροσωπεί. Επομένως, ούτε ένα γλωσσικά άρτιο μήνυμα ούτε μια γνώριμη φωνή αποτελούν από μόνα τους απόδειξη ταυτότητας.
Αν κάποιος που παρουσιάζεται ως συγγενής, συνεργάτης, προϊστάμενος ή λογιστής ζητήσει αιφνιδιαστικά χρήματα ή τραπεζικά στοιχεία, το ΕΚΑΔ συνιστά να διακοπεί αμέσως η επικοινωνία και να γίνει επανεπικοινωνία μέσω αριθμού που ο ίδιος ο χρήστης γνωρίζει ήδη. Η ταχύτητα αντίδρασης είναι καθοριστική: δεν αναμένεται η επιβεβαίωση χρήσης των στοιχείων για να ληφθεί δράση.
Source: Naftemporiki