Phising: Πώς επιτήδιοι κλέβουν κωδικούς τραπεζικών λογαριασμών με email και SMS

Νέα, πιο πειστικά κόλπα εφαρμόζουν το τελευταίο διάστημα οι επιτήδειοι που επιχειρούν να υποκλέψουν χρήματα από λογαριασμούς ανυποψίαστων συνδρομητών e-banking.

Σύμφωνα με τραπεζικές πηγές, εκτιμάται ότι κατά τη διάρκεια της περυσινής χρονιάς η λεία από καταθέσεις που έκαναν φτερά διαμορφώθηκε στη ζώνη των 50 εκατομμυρίων ευρώ, σχεδόν πέντε φορές πάνω έναντι του 2020.

Όπως εξηγούν, μετά το ξέσπασμα της πανδημίας και λόγω της ανάγκης για εξ αποστάσεως συναλλαγές, οι πρωτάρηδες του e-banking αυξήθηκαν κατακόρυφα. Περί τα 2.000.000 ιδιώτες άνοιξαν λογαριασμό στις υπηρεσίες ηλεκτρονικής τραπεζικής την τελευταία διετία, αποτελώντας εύκολα θύματα για τους e-ληστές, οι οποίοι είδαν την εξέλιξη αυτή ως μοναδική ευκαιρία για την ανάπτυξη των δραστηριοτήτων τους.

Τι να προσέξετε στα mail που δέχεστε

Η δημοσιοποίηση ωστόσο των περιστατικών απάτης, αλλά και οι εκστρατείες ενημέρωσης της Πολιτείας, της Ελληνικής Ένωσης Τραπεζών και των πιστωτικών ιδρυμάτων φρέναραν σε έναν βαθμό τον ρυθμό αύξησης των υποθέσεων. Αυτό ανάγκασε τους δράστες να γίνουν πιο επινοητικοί στον τρόπο που προσεγγίζουν τα θύματα και να βελτιώσουν ποιοτικά τα μηνύματά τους. Μέχρι πρότινος, η πλειονότητα των e-mails για το ψάρεμα πολιτών περιείχε ορθογραφικά/συντακτικά λάθη ή παραποιημένα λογότυπα των τραπεζών.

Πλέον, το περιεχόμενο των μηνυμάτων είναι προσεκτικά γραμμένο, ενώ όλο το εικαστικό που τα συνοδεύει δίνει την αίσθηση ότι προέρχονται από την ίδια την τράπεζα. Παράλληλα, επικαλούνται προβλήματα που δημιουργούν την αίσθηση του κατεπείγοντος, π.χ. ότι δεν μπορεί να χρησιμοποιηθεί η κάρτα ή ότι πρέπει να γίνει μια ενέργεια για την προστασία του λογαριασμού e-banking. Σε ορισμένες περιπτώσεις μάλιστα ορίζουν και συγκεκριμένες προθεσμίες.

Στόχος των επιτήδειων είναι το θύμα να κινηθεί γρήγορα για να λύσει το υποτιθέμενο πρόβλημα και να μην ανακαλύψει κοιτώντας πιο προσεκτικά το μήνυμα πως πρόκειται για απάτη. Μόνο τυχαίο δεν είναι το γεγονός ότι η καμπάνια της ΕΕΤ έχει τίτλο «Μία παύση αρκεί».

Ανεξάρτητα από το περιεχόμενο του μηνύματος που θα αποσταλεί στον συνδρομητή του e-banking, για να ολοκληρωθεί μια απάτη απαιτείται σε όλες τις περιπτώσεις η συμμετοχή του θύματος. Δεν τίθεται ζήτημα παραβίασης των συστημάτων ασφαλείας της τράπεζας. Ειδικότερα, για να εκτελεστεί μια μεταφορά χρειάζονται τα ακόλουθα: τα στοιχεία για την είσοδο στο e-banking και η επιβεβαίωση της συναλλαγής είτε με κωδικό μιας χρήσης ή μέσω ειδοποιήσεων στο κινητό του δικαιούχου του λογαριασμού.

Phising: Πώς ξεγελούν τους πολίτες με mail ή SMS

Η κλασική μέθοδος είναι το phishing. Οι δράστες αποστέλλουν ένα απατηλό e-mail ή SMS, με το οποίο ενημερώνουν τον παραλήπτη ότι πρέπει να μπει στον λογαριασμό του πατώντας συγκεκριμένο link, προφασιζόμενοι ένα πρόβλημα, π.χ. ότι μπλόκαρε η κάρτα ή πάγωσε ο λογαριασμός του.

Αν το θύμα πατήσει στον σύνδεσμο, εισέρχεται σε μια ιστοσελίδα που μοιάζει πολύ με το e-banking της τράπεζάς του. Εφόσον πληκτρολογήσειεκεί τα στοιχεία του, αυτά περιέρχονται σε γνώση των δραστών.

Οι τελευταίοι εισέρχονται έτσι στον πραγματικό λογαριασμό του θύματος και επιχειρούν την εκτέλεση μιας συναλλαγής. Η ολοκλήρωση της ληστείας γίνεται μετά την πληκτρολόγηση στην απατηλή ιστοσελίδα του κωδικού μίας χρήσης που λαμβάνει το θύμα στο κινητό του.

Εναλλακτικά, το θύμα επιβεβαιώνει τη συναλλαγή μέσω της ειδοποίησης που λαμβάνει στο m-banking, θεωρώντας ότι με τον τρόπο αυτόν θα λυθεί το δήθεν πρόβλημα.

Ένας άλλος τρόπος ώστε οι δράστες να εξασφαλίσουν την πολυπόθητη επιβεβαίωση μιας συναλλαγής είναι να αποκτήσουν τον έλεγχο του κινητού τηλεφώνου του θύματος. Συγκεκριμένα, δηλώνουν στον τηλεπικοινωνιακό πάροχο, προσποιούμενοι το θύμα, ότι έχασαν το κινητό και εκδίδεται νέα κάρτα SIM με τον ίδιο αριθμό. Έτσι, λαμβάνουν άμεσα και τα SMS που αποστέλλει η τράπεζα στον πελάτη της ή ενεργοποιούν στη συσκευή τους τον λογαριασμό m-banking. Πάντως, οι πάροχοι πλέον είναι πολύ προσεκτικοί στην έκδοση νέων καρτών SIM.

Εξάλλου, στο εξωτερικό έχουν καταγραφεί το τελευταίο διάστημα περιστατικά απάτης μέσω τηλεφώνου. Στην προκειμένη περίπτωση το θύμα λαμβάνει κλήση από τον αριθμό της τράπεζάς του, καθώς έχει βρεθεί τρόπος να εμφανίζεται αυτός στην αναγνώριση κλήσεων. Στην άλλη γραμμή όμως είναι ο δράστης που καθοδηγεί το θύμα ώστε να του δώσει πρόσβαση στο e-banking του.