Phishing μέσω sms, chat, τηλεφώνου και QR

Ενότητα 3: Αναγνώριση phishing · Χρόνος ανάγνωσης: 12 λεπτά

Μαθησιακός στόχος: Μετά από αυτό το μάθημα θα μπορείτε να αναγνωρίζετε phishing εκτός email: μέσω sms και εφαρμογών συνομιλίας, στο τηλέφωνο (ακόμη και με απομιμούμενη φωνή), μέσω κωδικών QR και μέσω καταιγισμού ειδοποιήσεων σύνδεσης, και θα ξέρετε πώς να ελέγχετε ανά κανάλι.
Βασικές έννοιες: smishing, απάτη «φίλος σε ανάγκη», vishing, spoofing αριθμών, ψεύτικο helpdesk, κλωνοποίηση φωνής, quishing, βομβαρδισμός MFA

Γιατί τα άλλα κανάλια λειτουργούν τόσο καλά

Όλα όσα αναφέρθηκαν στο μάθημα 3.1 ισχύουν και εδώ: επείγον, αυθεντία, φόβος, περιέργεια και ανταμοιβή. Όμως εκτός email τα κόλπα λειτουργούν συχνά ακόμη καλύτερα:

• Στο τηλέφωνο διαβάζετε γρήγορα. Η οθόνη είναι μικρή, οι διευθύνσεις κόβονται, και συχνά βρίσκεστε στη μέση κάτι άλλου.
• Υπάρχει λιγότερη τεχνολογία που βοηθάει. Ένας διακομιστής email ελέγχει SPF, DKIM και DMARC και διαθέτει φίλτρο ανεπιθύμητων μηνυμάτων. Για sms, chat και τηλέφωνο αυτό υπάρχει πολύ λιγότερο.
• Είναι πιο προσωπικό. Ένα μήνυμα σε μια εφαρμογή συνομιλίας ή μια φωνή στο τηλέφωνο εμπνέει μεγαλύτερη εμπιστοσύνη από ένα email.
• Γίνεται ζωντανά. Ένας καλών μπορεί να ρωτήσει περαιτέρω, να αυξήσει την πίεση και να σας καθοδηγήσει βήμα βήμα.

Το αντανακλαστικό παραμένει το ίδιο: σταματήστε, ελέγξτε μέσω του δικού σας καναλιού, ρωτήστε. Αυτό που διαφέρει ανά κανάλι είναι το πώς μοιάζει αυτός ο έλεγχος.

Sms και chat: smishing και απάτη «φίλος σε ανάγκη»

Το smishing είναι phishing μέσω sms. Οι απατεώνες παρουσιάζονται ως οργανισμός από τον οποίο θα μπορούσατε να περιμένετε ένα sms: μια εταιρεία μεταφορών, η τράπεζα, μια δημόσια υπηρεσία, ο πάροχος ενέργειάς σας. Σύμφωνα με την ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), το ίδιο συμβαίνει και μέσω εφαρμογών συνομιλίας όπως το WhatsApp και το Telegram.

Ένα τυπικό παράδειγμα:

Υπηρεσία ταχυμεταφορών: το δέμα σας δεν μπόρεσε να παραδοθεί λόγω ελλιπούς διεύθυνσης. Προγραμματίστε νέα παράδοση: https://koeriersdienst.track-nl.example/z8K

Διαβάστε τον σύνδεσμο όπως στο μάθημα 3.2: το καταχωρίσιμο domain είναι track-nl.example και άρα όχι koeriersdienst.example της εταιρείας μεταφορών. Σε ένα τηλέφωνο αυτό είναι επιπλέον δύσκολο, επειδή βλέπετε μόνο την αρχή. Κρατήστε πατημένο έναν σύνδεσμο για να δείτε ολόκληρη τη διεύθυνση, ή μην τον ανοίξετε και πηγαίνετε μόνοι σας στην εφαρμογή ή τον ιστότοπο της εταιρείας μεταφορών.

Ο αριθμός ή το όνομα αποστολέα δεν αποδεικνύει τίποτα. Οι αποστολείς sms και οι αριθμοί τηλεφώνου μπορούν να πλαστογραφηθούν (spoofing). Ένα ψεύτικο μήνυμα μπορεί έτσι να εμφανιστεί στο ίδιο νήμα sms με πραγματικά μηνύματα από αυτόν τον αποστολέα. Άρα ούτε ένα γνωστό όνομα πάνω από ένα μήνυμα αποτελεί απόδειξη.

Η απάτη «φίλος σε ανάγκη» γίνεται μέσω εφαρμογών συνομιλίας:

Γεια, αυτός είναι ο νέος μου αριθμός, το τηλέφωνό μου χάλασε. Μπορείτε να πληρώσετε κάτι για μένα; Θα σας το επιστρέψω αύριο. Πρέπει να γίνει σήμερα.

Σε μια επιχείρηση εμφανίζεται το ίδιο κόλπο ως μήνυμα από «τον διευθυντή» ή «έναν συνάδελφο» με νέο αριθμό, που θέλει γρήγορα μια πληρωμή ή δωροκάρτες. Ελέγξτε: καλέστε ή στείλτε μήνυμα στο πρόσωπο στον παλιό, γνωστό αριθμό, ή κάντε μια ερώτηση που μόνο το πραγματικό πρόσωπο μπορεί να απαντήσει.

Το τηλέφωνο: vishing, ψεύτικο helpdesk και κλωνοποιημένες φωνές

Το vishing (voice phishing) είναι phishing στο τηλέφωνο. Τρεις μορφές εμφανίζονται συχνά.

Ο υπάλληλος της τράπεζας. Κάποιος καλεί εξ ονόματος της τράπεζας ή του «τμήματος απάτης»: υπάρχουν ύποπτες πληρωμές, τα χρήματά σας πρέπει να «ασφαλιστούν», ή πρέπει να δώσετε έναν κωδικό ή να εγκρίνετε μια πληρωμή στην εφαρμογή της τράπεζάς σας. Στην οθόνη σας εμφανίζεται μερικές φορές ακόμη και ο πραγματικός αριθμός της τράπεζας. Και αυτό μπορεί να είναι πλαστογραφημένο. Μια πραγματική τράπεζα δεν ζητά ποτέ τους κωδικούς σύνδεσής σας ή να μεταφέρετε χρήματα σε έναν «ασφαλή λογαριασμό».

Το ψεύτικο helpdesk. Κάποιος καλεί εξ ονόματος ενός προμηθευτή λογισμικού, του παρόχου internet σας ή της εταιρείας πληροφορικής σας: ο υπολογιστής σας έχει μολυνθεί, υπάρχει πρόβλημα με τον λογαριασμό σας. Σας ζητά να εγκαταστήσετε ένα πρόγραμμα ώστε να παρακολουθήσει εξ αποστάσεως. Έτσι αναλαμβάνει τον έλεγχο του υπολογιστή σας. Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC) το λέει απλά: μην δίνετε ποτέ σε κάποιον, έτσι απλά, εξ αποστάσεως πρόσβαση στις συσκευές σας.

Η απομιμούμενη φωνή. Με τεχνητή νοημοσύνη μπορεί να απομιμηθεί μια φωνή με βάση ηχητικές εγγραφές, για παράδειγμα από ένα βίντεο ή τηλεφωνητή. Ένας κλώνος φωνής του διευθυντή σας ή ενός μέλους της οικογένειάς σας μπορεί τότε να καλέσει με ένα επείγον αίτημα. Δεν μπορείτε πλέον να εμπιστεύεστε τυφλά τα αυτιά σας.

Τι λειτουργεί και στις τρεις περιπτώσεις:

1. Κλείστε το τηλέφωνο μόλις ασκηθεί πίεση ή ζητηθούν κωδικοί, χρήματα ή πρόσβαση. Αυτό δεν είναι αγένεια.
2. Καλέστε πίσω εσείς οι ίδιοι σε έναν αριθμό που αναζητάτε μόνοι σας ή που ήδη είχατε: την πίσω πλευρά της τραπεζικής σας κάρτας, τον επίσημο ιστότοπο, τη δική σας λίστα επαφών. Όχι τον αριθμό που αναφέρει ο καλών.
3. Συμφωνήστε μια ερώτηση ελέγχου ή κωδική λέξη με τα άτομα που μπορούν να σας ζητήσουν χρήματα, όπως η διεύθυνση και το λογιστήριο. Ορίστε επίσης ότι οι πληρωμές δεν γίνονται ποτέ μόνο βάσει ενός τηλεφωνήματος (μάθημα 1.2).

Κωδικοί QR: quishing

Ένας κωδικός QR είναι απλώς ένας σύνδεσμος που δεν μπορείτε να διαβάσετε. Το quishing είναι phishing με κωδικό QR. Δύο μορφές:

• Στον δρόμο ή σε έναν χώρο. Ένα αυτοκόλλητο με δικό του κωδικό QR πάνω στον πραγματικό, σε έναν αυτόματο πληρωμής στάθμευσης, έναν σταθμό φόρτισης, έναν κατάλογο μενού ή μια αφίσα. Νομίζετε ότι πληρώνετε την εφαρμογή στάθμευσης, αλλά εισάγετε τα στοιχεία της κάρτας σας σε έναν ψεύτικο ιστότοπο.
• Σε ένα email ή pdf. «Σαρώστε αυτόν τον κωδικό για να επιβεβαιώσετε το γραμματοκιβώτιό σας.» Ένας κωδικός QR σε μια εικόνα δεν μπορεί να ελεγχθεί από εσάς με το ποντίκι. Και τον σαρώνετε με το τηλέφωνό σας, όπου διαβάζετε χειρότερα τις διευθύνσεις.

Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC) συμβουλεύει, μεταξύ άλλων:

• Μην σαρώνετε έναν κωδικό QR χωρίς συνοδευτικό κείμενο ή εικόνα, και να είστε προσεκτικοί με κωδικούς σε δημόσιους χώρους.
• Κοιτάξτε αν ο κωδικός είναι πράγματι τυπωμένος στην αφίσα ή στην πινακίδα, ή αν έχει κολληθεί ένα αυτοκόλλητο πάνω του.
• Χρησιμοποιήστε έναν σαρωτή που δείχνει πρώτα προς ποια διεύθυνση ή domain κατευθύνεστε. Στις νεότερες εκδόσεις Android και iOS η κάμερα το κάνει αυτό από προεπιλογή.
• Αν δεν αναγνωρίζετε τη διεύθυνση, μην προχωρήσετε. Μην εισάγετε κωδικό πρόσβασης ή στοιχεία πληρωμής αν δεν είστε βέβαιοι ότι ο ιστότοπος είναι πραγματικός.

Στο παράδειγμα της διεύθυνσης που δείχνει η κάμερα, προσέξτε το καταχωρίσιμο domain, ακριβώς όπως στο μάθημα 3.2. Σε έναν αυτόματο πληρωμής στάθμευσης μπορείτε επίσης να χρησιμοποιήσετε την επίσημη εφαρμογή στάθμευσης ή τη διεύθυνση που αναγράφεται στην ίδια την πινακίδα.

Βομβαρδισμός MFA: όταν το τηλέφωνό σας συνεχίζει να χτυπάει

Πολλές υπηρεσίες στέλνουν κατά τη σύνδεση μια ειδοποίηση στο τηλέφωνό σας: «Προσπαθείτε να συνδεθείτε; Έγκριση ή απόρριψη.» Αν ένας επιτιθέμενος έχει ήδη τον κωδικό πρόσβασής σας, προσπαθεί να συνδεθεί ξανά και ξανά. Το τηλέφωνό σας λαμβάνει τη μία ειδοποίηση μετά την άλλη, μερικές φορές μέσα στη νύχτα. Αυτό ονομάζεται βομβαρδισμός MFA (ή κόπωση MFA). Ελπίζει ότι από εκνευρισμό ή κατά λάθος θα πατήσετε Έγκριση. Μερικές φορές σας καλεί ή σας στέλνει μήνυμα και ο ίδιος ως «helpdesk»: «Επαναφέρουμε τον λογαριασμό σας, πατήστε έγκριση.»

Τι κάνετε:

1. Μην εγκρίνετε ποτέ μια ειδοποίηση που δεν ξεκινήσατε εσείς οι ίδιοι. Ούτε καν αν κάποιος σας το ζητήσει.
2. Αντιμετωπίστε το ως συναγερμό. Μια απροσδόκητη ειδοποίηση σύνδεσης σημαίνει ότι κάποιος έχει τον κωδικό πρόσβασής σας. Αλλάξτε αμέσως τον κωδικό πρόσβασης αυτού του λογαριασμού, μέσω του ίδιου του ιστότοπου ή της εφαρμογής.
3. Ελέγξτε τις ενεργές συνεδρίες και αποσυνδέστε άγνωστες συνεδρίες (μάθημα 2.5).
4. Επιλέξτε μια ισχυρότερη μορφή ελέγχου ταυτότητας δύο παραγόντων αν υπάρχει διαθέσιμη. Με την αντιστοίχιση αριθμού (number matching) πρέπει να πληκτρολογήσετε έναν αριθμό από την οθόνη σύνδεσης στην εφαρμογή· μια ειδοποίηση χωρίς αυτή την οθόνη μπροστά σας δεν μπορείτε τότε να την εγκρίνετε έτσι απλά. Τα passkeys και τα κλειδιά ασφαλείας (μάθημα 2.4) είναι ακόμη ισχυρότερα, επειδή δεν λειτουργούν σε ψεύτικο ιστότοπο.

Στην πράξη: έτσι μοιάζει

Στο Το WebOké μου βλέπετε στις ενεργές συνεδρίες πού και πότε έχετε συνδεθεί, και μπορείτε να αποσυνδέσετε άλλες συνεδρίες (οδηγός WebOké 3.6). Άλλες υπηρεσίες, όπως το πρόγραμμα email σας, το λογιστικό σας πακέτο ή το Nextcloud, διαθέτουν παρόμοια επισκόπηση στις ρυθμίσεις ασφαλείας του λογαριασμού σας. Ελέγξτε εκεί πρώτα μετά από μια απροσδόκητη ειδοποίηση σύνδεσης.

Σύνοψη

• Εκτός email λειτουργούν τα ίδια κόλπα, αλλά υπάρχει λιγότερη τεχνολογία που βοηθάει και διαβάζετε πιο γρήγορα.
• Ένας αριθμός ή όνομα αποστολέα στην οθόνη σας δεν αποδεικνύει τίποτα: μπορούν να πλαστογραφηθούν.
• Στο τηλέφωνο: κλείστε το, καλέστε πίσω εσείς οι ίδιοι σε γνωστό αριθμό, μην δίνετε ποτέ κωδικούς, χρήματα ή πρόσβαση εξ αποστάσεως. Ακόμη και μια γνωστή φωνή μπορεί να έχει απομιμηθεί.
• Κωδικοί QR: προσέξτε αυτοκόλλητα, αφήστε την κάμερα να δείξει τη διεύθυνση και διαβάστε το καταχωρίσιμο domain.
• Μια απροσδόκητη ειδοποίηση σύνδεσης είναι συναγερμός: απορρίψτε, αλλάξτε τον κωδικό πρόσβασης, ελέγξτε τις συνεδρίες.

Κουίζ

Άσκηση

Άσκηση A3.4: Ανάγνωση ενός κωδικού QR χωρίς να τον ανοίξετε. Το πρόγραμμα εμφανίζει έναν κωδικό QR. Σαρώστε τον με την κάμερα του τηλεφώνου σας, αλλά μην ανοίξετε τον σύνδεσμο. Διαβάστε τη διεύθυνση που δείχνει η κάμερα και συμπληρώστε το καταχωρίσιμο domain, και αν θα ανοίγατε τον σύνδεσμο. Το πρόγραμμα το ελέγχει.

Άσκηση D3.4: Συμφωνίες για τηλέφωνο, συνομιλίες και ειδοποιήσεις σύνδεσης. Κάντε με την ομάδα σας συμφωνίες σχετικά με την επανάκληση, μια ερώτηση ελέγχου ή κωδική λέξη, και τι κάνετε σε περίπτωση απροσδόκητης ειδοποίησης σύνδεσης. Ελέγξτε στη συνέχεια στο δικό σας τηλέφωνο αν η κάμερα δείχνει τη διεύθυνση ενός κωδικού QR πριν ανοίξει κάτι.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η λειτουργία είναι παρόμοια.

• Εγχειρίδιο WebOké 3.6: Προβολή ενεργών συνδέσεων και αποσύνδεση
• Οδηγός Nextcloud 3.6: Συσκευές και συνεδρίες προβολή, ανάκληση ή απομακρυσμένη εκκαθάριση
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Sms-phishing («smishing»): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Πώς αναγνωρίζω ένα ψεύτικο τηλεφώνημα;: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Κωδικοί QR: https://www.ncsc.nl/phishing/qr-codes
• Αναφέρετε απάτη και phishing στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος: https://www.cyberalert.gr/