Μπορεί να νομίζεις ότι μια εικόνα που εμφανίζεται στο email σου είναι απλώς… μια εικόνα. Ίσως να πρόκειται για μια φωτογραφία, ένα γραφικό ή μια κάρτα. Όμως, πίσω από ορισμένα από αυτά τα φαινομενικά ακίνδυνα αρχεία, μπορεί να κρύβεται μια καλά καμουφλαρισμένη κυβερνοαπειλή που δεν θα φανταζόσουν ούτε στους χειρότερους εφιάλτες σου.
Σύμφωνα με έρευνα της εταιρείας κυβερνοασφάλειας Ontinue, ένας ολοένα αυξανόμενος αριθμός ψηφιακών επιθέσεων αξιοποιεί ένα ύπουλο είδος αρχείων: τις εικόνες SVG (Scalable Vector Graphics). Αν και αυτές οι εικόνες χρησιμοποιούνται ευρέως για σχεδιαστικούς σκοπούς λόγω της ευελιξίας τους, οι εγκληματίες του κυβερνοχώρου τις έχουν μετατρέψει σε εργαλείο απάτης υψηλής ακρίβειας.
Γιατί το SVG είναι τόσο επικίνδυνο;
Σε αντίθεση με τις πιο γνωστές μορφές εικόνας όπως JPEG ή PNG, τα SVG αρχεία δεν αποτελούνται από pixels, αλλά από καθοδηγητικό κείμενο σε μορφή XML – κάτι που τα καθιστά ευάλωτα σε ενσωμάτωση κακόβουλου κώδικα, ειδικά JavaScript.
Τι σημαίνει αυτό στην πράξη; Ότι μια SVG εικόνα μπορεί να μην είναι καν… εικόνα. Μπορεί να είναι ένα καλοστημένο δόλωμα, σχεδιασμένο να μοιάζει ακίνδυνο, αλλά όταν ανοιχτεί – ιδιαίτερα στον προεπιλεγμένο browser του συστήματός σου – να σε ανακατευθύνει αυτόματα σε ύποπτες ή μολυσμένες ιστοσελίδες.
Και το χειρότερο; Εσύ δεν θα υποψιαστείς το παραμικρό.
Οι επιθέσεις μέσω εικόνας δεν είναι πια επιστημονική φαντασία
Ο J. Stephen Kowski, ερευνητής ασφαλείας στη SlashNext, προειδοποιεί: «Τα κακόβουλα SVG αρχεία μπορούν να χρησιμοποιηθούν για να προκαλέσουν αυτόματες ανακατευθύνσεις σε σελίδες που περιέχουν phishing επιθέσεις, malware ή ψευδείς φόρμες σύνδεσης. Ο χρήστης δεν προλαβαίνει καν να αντιδράσει».
Η τακτική είναι απλή, αλλά αποτελεσματική: αποστέλλεται ένα email με επισυναπτόμενη «εικόνα» – πολλές φορές από μια διεύθυνση που μοιάζει αξιόπιστη. Ο παραλήπτης κάνει το λάθος να την ανοίξει είτε από περιέργεια είτε γιατί νομίζει πως πρόκειται για ένα απλό γραφικό. Και εκεί αρχίζει το πρόβλημα.
Η εικόνα ανοίγει στον browser και με τη βοήθεια ενσωματωμένων scripts, ο χρήστης ανακατευθύνεται σιωπηλά σε ύποπτες ιστοσελίδες – συχνά με ψεύτικες φόρμες σύνδεσης για email ή social media, όπου και παραδίδει άθελά του τα προσωπικά του στοιχεία.
Τι μπορείς να κάνεις για να προστατευτείς
Ο πιο ασφαλής κανόνας είναι απλός: μην ανοίγεις ποτέ εικόνες από άγνωστους αποστολείς, ιδιαίτερα αν η εικόνα είναι σε μορφή .svg ή φαίνεται… «ύποπτη». Αν δεν περιμένεις κάτι συγκεκριμένο, μην το αγγίζεις.
Κάποιες ακόμη χρήσιμες συμβουλές:
-
Απενεργοποίησε την αυτόματη προεπισκόπηση εικόνων στον email client σου, αν σου το επιτρέπει.
-
Χρησιμοποίησε ένα antivirus ή browser extension που ελέγχει τις ανακατευθύνσεις και τις ιστοσελίδες πριν φορτωθούν.
-
Μην ανοίγεις αρχεία SVG που έχουν σταλεί μεμονωμένα, χωρίς εξήγηση ή πλαίσιο.
-
Σβήσε απευθείας emails που περιλαμβάνουν απρόσμενες εικόνες – ειδικά αν δεν συνοδεύονται από κείμενο ή κάποιο στοιχείο επικοινωνίας.
Γιατί αυτή η απάτη είναι τόσο επικίνδυνη
Η βασική δύναμη αυτών των επιθέσεων είναι ότι περνούν κάτω από το ραντάρ. Οι περισσότερες πλατφόρμες email (όπως Gmail και Outlook) έχουν φίλτρα ασφαλείας, αλλά τα SVG αρχεία – λόγω της nature τους – συχνά καταφέρνουν να αποφεύγουν τον εντοπισμό.
Δεν χρειάζεται να κάνεις κλικ σε κάποιο link. Δεν χρειάζεται να κατεβάσεις κάποιο αρχείο εγκατάστασης. Αρκεί ένα απλό άνοιγμα «εικόνας» για να ξεκινήσει η παγίδα. Κι αυτό ακριβώς είναι που την καθιστά τόσο επικίνδυνη.
Πίσω από την κουρτίνα της «αθώας» φωτογραφίας
Πρόκειται για μια μοντέρνα μορφή social engineering: συνδυάζει τεχνική ευφυΐα με ψυχολογική εκμετάλλευση της περιέργειας του χρήστη. Οι κυβερνοεγκληματίες γνωρίζουν ότι οι εικόνες είναι ελκυστικές, λιγότερο τρομακτικές από ένα εκτελέσιμο αρχείο (.exe) και ότι πολλοί δεν γνωρίζουν τους κινδύνους των SVG.
Κι όμως, αυτή η απλή εικόνα μπορεί να είναι το άνοιγμα για:
-
Κατασκοπεία δεδομένων
-
Υποκλοπή στοιχείων σύνδεσης
-
Εγκατάσταση κακόβουλου λογισμικού
-
Πρόσβαση σε ολόκληρους λογαριασμούς email ή και εταιρικά δίκτυα
Συμπέρασμα: Μην εμπιστεύεσαι εικόνες με… ωραία πρόσωπα
Στην εποχή της έξυπνης απάτης, ακόμα και μια εικόνα μπορεί να σε βάλει σε μπελάδες. Αν δεν γνωρίζεις τον αποστολέα ή δεν περιμένεις το αρχείο, καλύτερα να το διαγράψεις χωρίς δεύτερη σκέψη.
Γιατί αυτό που φαίνεται «αθώο»… μπορεί να είναι η τέλεια παγίδα.
