Το sim swap, τo SOS της ΕΕΤ και τι λέει ο Μ. Σφακιανάκης
Πάνω από 1 εκατ. ευρώ η ζημιά στις εταιρίες- θύματα, μόνο σε ένα περιστατικό
Η “DEAL” ΕΙΧΕ ΑΠΟΚΑΛΥΨΕΙ ΤΗ ΔΡΑΣΗ ΤΩΝ ΚΥΚΛΩΜΑΤΩΝ ΜΕΣΩ ΤΟΥ E-BANKING
Την Πέμπτη, η Δίωξη Ηλεκτρονικού Εγκλήματος της ΕΛΑΣ ανακοίνωσε τη σύλληψη ενός ακόμα μέλους κυκλώματος, που απέσπασε χρήματα από τραπεζικό λογαριασμό επιχείρησης, με τη μέθοδο του «Business Email Compromise». Ήταν η τρίτη εξάρθωση τέτοιας σπείρας τον τελευταίο μήνα, με σημαντικότερη αυτή της προηγούμενης εβδομάδας, όπου, με τη μέθοδο του sim swap, οι απατεώνες είχαν καταφέρει να αποσπάσουν από 7 εταιρίες, ποσό που ξεπερνά το 1 εκατομμύριο ευρώ! Όμως, όσο αν αυτά τα περιστατικά «επιβεβαιώνουν» τη δράση των κυβερνοεγκληματιών, είναι μόνο… «σταγόνα στον ωκεανό» του διαδικτύου.
Η «Deal», με αποκλειστικό, πρωτοσέλιδο ρεπορτάζ της, μόλις δυόμισι μήνες πριν, είχε αποκαλύψει τους κινδύνους από το cybercrime και τη δράση των κυκλωμάτων, η δράση των οποίων καταγράφει έξαρση, λόγω της πανδημίας και της «έκρηξης» της χρήσης του e-banking. Με δεδομένο τον ψηφιακό αναλφαβητισμό του ελληνικού κοινού, είχαμε αποκαλύψει τη μεθοδολογία τους και τονίσει την ανάγκη σωστής ενημέρωσης του κοινού για το φαινόμενο που παίρνει εκρηκτικές διαστάσεις πλέον. Ακολούθησε το «καμπανάκι κινδύνου» που σήμανε η Ελληνική Ένωση Τραπεζών για την αύξηση των απατών με τη μέθοδο του sim swap. Το πλέον ανησυχητικό είναι ότι τα περισσότερα θύματα πλέον δεν είναι πολίτες, αλλά επιχειρήσεις, στους λογαριασμούς των οποίων «τρυπώνουν» οι κυβερνοεγκληματίες.
Νέες συλλήψεις
Για την υπόθεση της Αθήνας, όπου το κύκλωμα είχε αδειάσει λογαριασμούς εταιριών, βάζοντας στην τσέπη ποσό άνω του 1 εκατ. ευρώ, ανεξάρτητες πηγές επισημαίνουν στη “Deal” πως είναι ζήτημα λίγου χρόνου να εντοπιστούν και τα άλλα μέλη του κυκλώματος και να γίνουν νέες συλλήψεις. Άλλωστε, η υπόθεση ξετυλίχθηκε με τη συνδρομή της Ιντερπόλ, η οποία και εντόπισε την πρώτη ip, αφού πολλά από τα θύματα ήταν εταιρίες του εξωτερικού.
Ο «γκουρού» της κυβερνοασφάλειας, επικεφαλής της εταιρίας που ειδικεύεται στην ασφάλεια του διαδικτύου, CSI Institute, Mανώλης Σφακιανάκης, λέει πως το πρόβλημα είναι ευρύτερο. «Είναι ένα διεθνές φαινόμενο. Δεν έχει κάνει με την Ελλάδα και ο κάθε ανυποψίαστος κινδυνεύει να χάσει τα χρήματα από τον λογαριασμό του. Δυστυχώς, είναι πολλοί οι τρόποι και τα πονηρά και δύσκολα μπορεί να προβλέψει κανείς αν είναι καλόβουλο ή κακόβουλο ένα μήνυμα που του έχει έρθει».
Με ένα ποσοστό (περίπου 7%, υπολογίζει το CSI Institute) των διαδικτυακών απατών να αφορά το cracking σε τραπεζικούς λογαριασμούς, οι συστημικές τράπεζες κάνουν συνέχεια updates στα συστήματα ασφαλείας και εγκαθιστούν νέα firewalls. «Οφείλω να πω», λέει ο κ. Σφακιανάκης, «ότι οι τράπεζες και οι εταιρίες κινητής τηλεφωνίας δεν έχουν πρόβλημα με τα συστήματα ασφαλείας τους. Το πρόβλημα έχουν οι πελάτες τους, οι οποίοι δεν γνωρίζουν τους κανόνες ασφαλείας, με αποτέλεσμα να τους υφαρπάζονται εύκολα τα στοιχεία από κακόβουλους».
Το sim swap και οι άλλες
Ο απατεώνας, λένε, προσπαθεί να βρίσκεται πάντα ένα βήμα μπροστά. Έτσι λοιπόν, αφού το phising «πάλιωσε», οι κυβερνοεγκληματίες υιοθετούν νέες μεθόδους. Μια από τις συχνότερες, σήμερα, είναι το sim swap, κατά το οποίο, ο απατεώνας, με social engineering τεχνικές, πλαστοπροσωπεί το θύμα ώστε να μεταφέρει τον αριθμό τηλεφώνου του θύματος στην δική του κάρτα SIM. Μόλις το καταφέρει αυτό, χρησιμοποιώντας προσωπικά στοιχεία που έχει αποσπάσει, ο απατεώνας υποκλέπτει τα one-time passwords που αποστέλλονται μέσω κειμένου ή τηλεφωνικών κλήσεων στο θύμα (είτε πρόκειται για τραπεζικούς λογαριασμούς, λογαριασμούς κοινωνικών μέσων κ.λπ.) που βασίζονται σε μηνύματα κειμένου ή τηλεφωνικές κλήσεις.
Άλλη τεχνική, είναι το «Business Email Compromise (BEC) – Απάτη με τη μέθοδο του ενδιάμεσου», απάτη που στοχεύει στις επιχειρήσεις και τα άτομα που εκτελούν πληρωμές μέσω τραπεζικών εμβασμάτων. Εδώ, αποκτάται μη εξουσιοδοτημένη πρόσβαση και γίνεται παρέμβαση σε τμήματα της ηλεκτρονικής αλληλογραφίας, μεταξύ συναλλασσόμενων επαγγελματιών και εμπόρων με προμηθευτές ή πελάτες, κατευθύνοντας τις επικείμενες πληρωμές από τον τραπεζικό λογαριασμό της επιχείρησης-θύματος, σε αυτό των δραστών.
Με τη μέθοδο BEC, στη Θεσσαλονίκη δράστης που συνελήφθη εξαπάτησε επιχείρηση, αποσπώντας συνολικά 8.255 ευρώ τροποποιώντας αριθμό τραπεζικού λογαριασμού, σε τιμολόγιο παροχής υπηρεσιών προμηθεύτριας εταιρίας, με αποτέλεσμα τα χρήματα να κατατεθούν σε ατομικό τραπεζικό λογαριασμό που διατηρούσε ο δράστης σε τράπεζα στο εξωτερικό. Σε άλλη απάτη, προ ημερών, με την ίδια μέθοδο, ο συλληφθείς δράστης απέσπασε περίπου 5.461 ευρώ από εταιρία.
Όμως, όπως η μεθοδολογία, έτσι και η ζημιά δεν είναι πάντα ίδια. Χαρακτηριστικό είναι το παράδειγμα του κυκλώματος που δρούσε με τη μέθοδο του sim swap, «χτυπώντας» επιχειρήσεις στην Ελλάδα και το εξωτερικό. Οι επτά επιχειρήσεις που «χτυπήθηκαν» προσδιόρισαν ότι ένα μεγάλο μέρος της ζημιάς ύψους 1 εκατομμυρίου ευρώ που υπέστησαν από τις παραβιάσεις των κυβερνοεγκληματιών, προέρχεται από την απώλεια πηγαίου κώδικα μηχανογραφικών εφαρμογών. Πρακτικά, αυτό σημαίνει ότι οι εταιρίες- θύματα θα πρέπει να επαναγοράσουν όλα τα λογισμικά και τις εφαρμογές που χρησιμοποιούσαν στα υπολογιστικά τους συστήματα, σαν να είναι η πρώτη τους μέρα λειτουργίας!
Η ΛΥΣΗ ΤΟΥ «ΑΠΟΣΤΕΙΡΩΜΕΝΟΥ ΥΠΟΛΟΓΙΣΤΗ»
Πώς θα προστατευθείτε
Όταν… έχουν γνώση οι φύλακες, οι απατεώνες δεν μπορούν να περάσουν! Ο Μανώλης Σφακιανάκης λέει ότι για να προστατευθούμε, ο τρόπος είναι ο αυτονόητος, δηλαδή η ενημέρωση, η προσοχή και η ακολούθηση των οδηγιών των τραπεζών, ώστε να μην επιτρέψουμε πρόσβαση σε κανέναν στο λογαριασμό μας. Όχι όμως μόνο αυτός. «Σαν ειδικός στην κυβερνοασφάλεια», τονίζει ο επικεφαλής του CSI Institute, «λέω πάντα ότι ο χρυσός κανόνας για να κάνεις με ασφάλεια κινήσεις στο ebanking είναι ένας και μοναδικός.
Και έχει να κάνει με την αγορά μιας συσκευής -κόστους ακόμα και 150-200 ευρώ. Μιλάω για έναν… αποστειρωμένο ηλεκτρονικό υπολογιστή, ο οποίος δεν θα έχει πρόσβαση σε καμία άλλη ιστοσελίδα και εφαρμογή, παρά μόνο στον τραπεζικό λογαριασμό. Μόνο τότε μπορεί να είναι κανείς σίγουρος ότι δεν θα του υποκλέψουν τα στοιχεία. Είναι άλλωστε και εύκολος τρόπος, με δεδομένο ότι το κόστος είναι ελάχιστο μπροστά σε αυτό που προσφέρει».
ΑΠΟ ΤΗΝ ΕΝΤΥΠΗ ΕΚΔΟΣΗΣ
