Μια νέα γενιά τηλεφωνικών απατών εξαπλώνεται με ανησυχητική ταχύτητα και το πιο επικίνδυνο στοιχείο της δεν είναι κάποιο εξελιγμένο κακόβουλο λογισμικό. Είναι η δική σας φωνή που λέει «ναι».
Οι επιτήδειοι δεν χακάρουν συστήματα. Δεν παραβιάζουν firewalls. Σας πείθουν να τους ανοίξετε μόνοι σας την πόρτα.
Η μέθοδος ονομάζεται vishing (voice phishing) και αποτελεί σήμερα μία από τις πιο διαδεδομένες μορφές οικονομικής εξαπάτησης. Σε αντίθεση με τα κλασικά phishing emails ή τα ύποπτα SMS, εδώ το «όπλο» είναι η άμεση τηλεφωνική επικοινωνία και η ψυχολογική πίεση.
Πώς ξεκινά η παγίδα
Το τηλέφωνο χτυπά. Στην άλλη άκρη της γραμμής, ένας άνθρωπος μιλά με επαγγελματικό ύφος. Συστήνεται ως υπάλληλος τράπεζας. Αναφέρει το όνομά σας. Μπορεί να γνωρίζει και κάποια βασικά στοιχεία σας — δεδομένα που συχνά έχουν διαρρεύσει από παλαιότερες παραβιάσεις.
Σας ενημερώνει ότι εντοπίστηκε «ύποπτη συναλλαγή». Ο τόνος είναι σοβαρός. Υπάρχει επείγον. Πρέπει να δράσετε άμεσα για να προστατεύσετε τα χρήματά σας.
Εκεί ακριβώς βασίζεται το σενάριο: στον φόβο και στην αίσθηση κινδύνου.
Τι πραγματικά επιδιώκουν
Η διαδικασία είναι σχεδιασμένη με ακρίβεια. Ο απατεώνας:
Σας ζητά να «επιβεβαιώσετε» το username του e-banking.
Σας καθοδηγεί να δώσετε τον κωδικό πρόσβασης.
Σας ζητά τον κωδικό μίας χρήσης (OTP) που μόλις λάβατε στο κινητό σας.
Το κρίσιμο σημείο; Ο κωδικός OTP δεν ακυρώνει συναλλαγή. Την εγκρίνει.
Με τη δική σας συναίνεση, η μεταφορά χρημάτων ολοκληρώνεται κανονικά στο τραπεζικό σύστημα. Δεν υπάρχει τεχνική παραβίαση. Υπάρχει παραπλάνηση.
Η παρανόηση που κοστίζει ακριβά
Πολλοί θεωρούν ότι «αν ήταν απάτη, θα το μπλόκαρε η τράπεζα». Όμως εδώ δεν μιλάμε για hacking. Μιλάμε για κοινωνική μηχανική (social engineering).
Ο δράστης δεν χρειάζεται να σπάσει κωδικούς. Σας καθοδηγεί ώστε να εγκρίνετε εσείς τη μεταφορά. Στο σύστημα η συναλλαγή φαίνεται νόμιμη.
Σύμφωνα με προειδοποιήσεις της Ελληνική Ένωση Τραπεζών, καμία τράπεζα δεν ζητά τηλεφωνικά:
Πλήρη κωδικό e-banking
PIN κάρτας
Κωδικό επιβεβαίωσης συναλλαγής
Μεταφορά χρημάτων σε «ασφαλή λογαριασμό»
Η φράση «μεταφέρετε τα χρήματα προσωρινά για λόγους προστασίας» είναι από μόνη της κόκκινη σημαία.
Δεν σταματούν μόνο στις “τράπεζες”
Το vishing δεν περιορίζεται σε ψεύτικες τραπεζικές κλήσεις. Οι επιθέσεις προσαρμόζονται στα δεδομένα της εποχής:
1. «Κρατική επιδότηση»
Κάποιος παρουσιάζεται ως συνεργάτης τράπεζας ή λογιστής. Σας ενημερώνει ότι δικαιούστε επίδομα (π.χ. Fuel Pass, τουριστική επιδότηση). Για να «ολοκληρωθεί η κατάθεση», ζητά στοιχεία e-banking.
2. Απάντηση σε αγγελία
Δημοσιεύετε προϊόν προς πώληση. Ο υποψήφιος αγοραστής είναι πρόθυμος να πληρώσει άμεσα. Σας ζητά «κάποια στοιχεία» για να μεταφέρει τα χρήματα. Στην πραγματικότητα, σας καθοδηγεί ώστε να του στείλετε εσείς.
3. Κρατήσεις σε ξενοδοχεία ή εστιατόρια
Οι απατεώνες δηλώνουν ενδιαφέρον για κράτηση και επιμένουν να «ολοκληρώσουν άμεσα την πληρωμή». Στόχος, και πάλι, οι τραπεζικοί σας κωδικοί.
Γιατί το τηλέφωνο είναι πιο επικίνδυνο από ένα email
Ειδικοί κυβερνοασφάλειας, όπως η Kaspersky, επισημαίνουν ότι η τηλεφωνική επαφή μειώνει την κριτική σκέψη του θύματος. Όταν κάποιος μιλά ζωντανά:
Δεν έχετε χρόνο να αναλύσετε προσεκτικά την κατάσταση.
Δυσκολεύεστε να εντοπίσετε σημάδια απάτης.
Επηρεάζεστε ευκολότερα από πίεση ή εκφοβισμό.
Στα phishing emails υπάρχει χρόνος να εξετάσετε το domain, να παρατηρήσετε ορθογραφικά λάθη ή να συμβουλευτείτε κάποιον. Στο τηλέφωνο, η απόφαση λαμβάνεται μέσα σε δευτερόλεπτα.
Και αυτό ακριβώς εκμεταλλεύονται.
Τα προειδοποιητικά σημάδια που δεν πρέπει να αγνοήσετε
Υπάρχουν κοινά μοτίβα:
Κλήση από άγνωστο αριθμό
Έντονη αίσθηση επείγοντος
Επιμονή να ενεργήσετε «τώρα»
Καθοδήγηση βήμα-βήμα μέσα από την εφαρμογή e-banking
Αίτημα για έγκριση μέσω push notification
Αν κάποιος σας καθοδηγεί τι να πατήσετε στην τραπεζική σας εφαρμογή, σταματήστε αμέσως.
Τι πρέπει να κάνετε αν δεχθείτε τέτοια κλήση
Η σωστή αντίδραση είναι απλή και απόλυτη:
Τερματίστε την κλήση χωρίς εξηγήσεις.
Μην απαντήσετε σε επαναλαμβανόμενα τηλεφωνήματα.
Καλέστε εσείς την τράπεζά σας στον επίσημο αριθμό που αναγράφεται στην κάρτα ή στην ιστοσελίδα της.
Ελέγξτε άμεσα τις πρόσφατες κινήσεις του λογαριασμού σας.
Μην χρησιμοποιείτε αριθμούς που σας υπαγορεύουν. Ποτέ.
Η μεγαλύτερη αλήθεια
Καμία τράπεζα, κανένας κρατικός φορέας και καμία σοβαρή επιχείρηση δεν χρειάζεται τον κωδικό σας για να σας προστατεύσει.
Το vishing δεν είναι τεχνικά περίπλοκο. Είναι ψυχολογικά αποτελεσματικό.
Και όσο περισσότεροι πιστεύουν ότι «δεν θα συμβεί σε εμένα», τόσο πιο εύκολος γίνεται ο επόμενος στόχος.
Το τηλέφωνο μπορεί να χτυπήσει οποιαδήποτε στιγμή.
Το ερώτημα δεν είναι αν θα απαντήσετε.
Το ερώτημα είναι αν θα δώσετε αυτό που ζητούν.
