Μία νέα μέθοδο που χρησιμοποιούν πλέον οι hackers για να εξαπατήσουν θύματα κινητών τηλεφώνων παρουσιάζει σήμερα η Symantec.

Μερικές από τις πιο αποτελεσματικές απάτες γίνονται συχνά με τον πιο απλό τρόπο, όπου μας παρουσιάζεται για παράδειγμα ένας αξιωματικός της αστυνομίας να ζητά να του παραδώσουμε τα κλειδιά του αυτοκινήτου μας. Ο μέσος άνθρωπος στο δρόμο πιθανότατα θα του τα παραδώσει χωρίς δεύτερη σκέψη ή αμφιβολία.

Η απάτη αυτή, χαρακτηρίζεται από δύο σημαντικά στοιχεία που την κάνουν και ιδιαίτερα αληθοφανή. Αυτά δεν είναι άλλα από την απλότητα αλλά και το γεγονός ότι οι άνθρωποι συνήθως εμπιστεύονται ανθρώπους που δηλώνουν αξιωματικοί της αστυνομίας ή άλλης δημόσιας αρχής. Με τον ίδιο πλέον τρόπο δρουν και οι κυβερνοεγκληματίες σήμερα.

Τον τελευταίο καιρό, σύμφωνα με μελέτες της Symantec, έχει παρατηρηθεί και μια αύξηση σε ένα συγκεκριμένο τύπο επίθεσης μέσω phishing με στόχο τους χρήστες κινητών τηλεφώνων. Ο απώτερος σκοπός είναι τελικά η πρόσβαση στο λογαριασμό e-mail του θύματος. Αυτή η επίθεση κοινωνικής μηχανικής (social engineering) είναι πολύ πειστική και οι χρήστες πέφτουν με ευκολία στην παγίδα.

Για να επιτύχει η επίθεση, θα πρέπει οι hackers να γνωρίζουν τη διεύθυνση ηλεκτρονικού ταχυδρομείου του στόχου και τον αριθμό του κινητού τους τηλεφώνου, δεδομένα που τελικά μπορούν να ληφθούν χωρίς μεγάλες προσπάθειες. Οι επιτιθέμενοι κάνουν χρήση της δυνατότητας ανάκτησης κωδικού πρόσβασης, που παρέχεται από πολλούς e-mail providers και έτσι τους «βοηθούν» να αποκτήσουν πρόσβαση στους λογαριασμούς τους, μεταξύ άλλων επιλογών, με έναν κωδικό επαλήθευσης που λαμβάνουν στο κινητό τους τηλέφωνο [άρα τους ζητείται και ο αριθμός κλήσης].

Η πλειοψηφία των περιπτώσεων που καταγράφηκε από τη Symantec, αφορά χρήστες Gmail, Hotmail και Yahoo Mail. Χρησιμοποιώντας το Gmail για παράδειγμα, τα ακόλουθα βήματα περιγράφουν τον τρόπο με τον οποίο λειτουργεί η επίθεση:
Ο χρήστης-θύμα καταχωρεί τον αριθμό του κινητού τηλεφώνου στο Gmail, έτσι ώστε αν ξεχνάει τον κωδικό, η Google να αποστέλλει μήνυμα κειμένου με έναν κωδικό επαλήθευσης και ο χρήστης να μπορεί να έχει πρόσβαση στο λογαριασμό του.
Ο κακός της υπόθεσης, ο hacker, θέλει να εισβάλει στο λογαριασμό του χρήστη, αλλά δεν γνωρίζει τον κωδικό πρόσβασή του. Γνωρίζει την email διεύθυνση και το τηλέφωνό του. Ο hacker επισκέπτεται την σελίδα login του Gmail και εισάγει τα στοιχεία του χρήστη [χωρίς όμως το password] και στη συνέχεια αναζητά βοήθεια μέσω του “Need help?” link. Αυτός ο σύνδεσμος χρησιμοποιείται όταν οι χρήστες έχουν ξεχάσει τα στοιχεία εισαγωγής τους.
Το σύστημα δίνει στον hacker πολλές επιλογές, μεταξύ των οποίων και το “Enter the last password you remember” [Eισάγετε τον τελευταίο κωδικό που θυμόσαστε] και πατήστε στο “Confirm password reset on my [MAKE AND MODEL] phone,” [Επιβεβαίωση επαναφοράς κωδικού πρόσβασης στο τηλέφωνο μου [μάρκα και μοντέλο] παραλείποντας όμως αυτά τα στοιχεία μέχρι να του δοθεί η επιλογή “Get a verification code on my phone: [MOBILE PHONE NUMBER] [Λήψη κωδικού επαλήθευσης στο τηλέφωνό μου: [ΚΙΝΗΤΟ ΤΗΛΕΦΩΝΟ]]
Ο hacker επιβεβαιώνει την επιλογή για να λάβει ο χρήστης-θύμα πλέον με μήνυμα SMS τον εξαψήφιο κωδικό επαλήθευσης στο τηλέφωνο του.
Ο χρήστης λαμβάνει ένα μήνυμα που γράφει “Your Google Verification code is [SIX-DIGIT CODE].” [Ο κωδικός επαλήθευσης του Google είναι [εξαψήφιος κωδικός]
Ο hacker αποστέλλει στο χρήστη ένα μήνυμα SMS που γράφει κάτι σχετικό με αυτό: “Google has detected unusual activity on your account. Please respond with the code sent to your mobile device to stop unauthorized activity". [Η Google εντόπισε ασυνήθιστη δραστηριότητα στο λογαριασμό σας. Απαντήστε με τον κωδικό που σας έχει σταλεί στο κινητό σας τηλέφωνο για να εμποδίσετε τυχόν μη εξουσιοδοτημένη δραστηριότητα].
Ο χρήστης, πιστεύει ότι το μήνυμα είναι αξιόπιστο και απαντά με τον κωδικό επαλήθευσης.
Ο hacker χρησιμοποιεί τον κωδικό επαλήθευσης για να πάρει προσωρινά έναν κωδικό πρόσβασης και στη συνέχεια επιτίθεται στο λογαριασμό e-mail και στα δεδομένα του.

Η «επικοινωνία» όμως του hacker με τα θύματά του δεν σταματά εδώ. Αρκετοί hackers εξακολουθούν να στέλνουν μηνύματα στα θύματά τους όταν κάτι δεν πάει καλά με τη σύνδεση και τους κωδικούς. Βεβαίως και πάλι τα μηνύματα εξακολουθούν να είναι απλά και αληθοφανή, με αποτέλεσμα να πείθουν χωρίς ιδιαίτερη προσπάθεια τα θύματά τους.
Όταν πλέον ο επιτιθέμενος αποκτά πρόσβαση στον λογαριασμό του χρήστη, μπορεί για παράδειγμα, μεταξύ άλλων, να προσθέσει μια εναλλακτική διεύθυνση ηλεκτρονικού ταχυδρομείου στο λογαριασμό και έτσι να λαμβάνει αντίγραφα όλων των μηνυμάτων που θα διαβιβάζονται στη διεύθυνση αυτή. Μάλιστα οι hackers στέλνουν και «ευχαριστήριο» μήνυμα στα θύματά τους, που συνήθως έχει τη μορφή “Thank you for verifying your Google account. Your temporary password is (TEMPORARY PASSWORD)” (Σας ευχαριστούμε για την επαλήθευση του λογαριασμού σας στο Google. Ο προσωρινός κωδικός πρόσβασης σας είναι (προσωρινός κωδικός πρόσβασης)"

Αυτό κάνει την επίθεση phishing όλο και πιο πιστευτή, αφού το θύμα θεωρεί όλη την αλληλογραφία νόμιμη και πιστεύει ότι λογαριασμός του είναι πλέον ασφαλής. Οι κυβερνοεγκληματίες αυτού του τύπου των επιθέσεων δεν φαίνεται να επικεντρώνονται στο οικονομικό κέρδος, όπως για παράδειγμα συμβαίνει στην κλοπή αριθμών πιστωτικών καρτών. Φαίνεται ότι προσπαθούν να συλλέξουν πληροφορίες σχετικά με τα θύματά τους και μάλιστα όχι μαζικά, αλλά σε συγκεκριμένα άτομα. Ο τρόπος λειτουργίας τους είναι παρόμοιος με τις μεθόδους που χρησιμοποιούνται από APT ομάδες.
Αυτή η απλή, αλλά άκρως αποτελεσματική μέθοδος επίθεσης είναι πολύ πιο οικονομική από τις παραδοσιακές spear-phishing επιθέσεις, όπου ένας εισβολέας πρέπει να καταχωρήσει ένα domain και να δημιουργήσει μια ιστοσελίδα phishing.

Στην περίπτωση αυτή, το μόνο κόστος που βαρύνει τους hackers είναι το μήνυμα SMS, ενώ ως μέθοδος είναι και πολύ δύσκολα ανιχνεύσιμη καθώς πρέπει να γίνει από ειδικό λογισμικό για κινητά τηλέφωνα ή από τον εκάστοτε πάροχο κινητής τηλεφωνίας.

Η Symantec συμβουλεύει τους χρήστες να είναι καχύποπτοι προς τα μηνύματα SMS που ζητούν κωδικούς επαλήθευσης, ειδικά αν δεν τους έχουν ζητήσει οι ίδιοι. Εάν δεν είμαστε βέβαιοι για το μήνυμα που λάβαμε ελέγχουμε την προέλευσή του με τον παροχέα του ηλεκτρονικού μας ταχυδρομείου, για να επιβεβαιωθεί εάν το μήνυμα είναι νόμιμο.

Τα μηνύματα που αποστέλλονται συνήθως από τις υπηρεσίες ανάκτησης κωδικού πρόσβασης, αποστέλλουν μόνο τον κωδικό επαλήθευσης και δεν ζητούν από το χρήστη να απαντήσει με οποιονδήποτε τρόπο. Να θυμάστε πάντα ότι ακόμη και αν κάποιος μοιάζει με έναν αστυνομικό ή κάποια ανώτερη αρχή, αυτό δε σημαίνει απαραίτητα ότι θα πρέπει να παραδώσουμε και τα στοιχεία μας, χωρίς να ζητήσουμε αντίστοιχη επιβεβαίωση της ταυτότητάς του.

newsit.gr

Τη Δευτέρα 3 Αυγούστου θα καταβληθεί η σύνταξη μηνός Αυγούστου σε 679.460 συνταξιούχους του ΟΓΑ με πίστωση στους τραπεζικούς λογαριασμούς τους ή λογαριασμούς ΕΛΤΑ που έχουν επιλέξει για την πληρωμή των συντάξεων.

Σύμφωνα με την ανακοίνωση του Οργανισμού, η συνολική δαπάνη για την καταβολή των συντάξεων μηνός Αυγούστου 2015 ανέρχεται στο ποσό των 304.905.621,94 ευρώ.

Τη Δευτέρα θα καταβληθούν επίσης οι συντάξεις του Οργανισμού Ασφάλισης Ελευθέρων Επαγγελματιών (ΟΑΕΕ).

Σε ανακοίνωσή του, το υπουργείο Εργασίας επισημαίνει ότι οι συντάξεις των φορέων Κοινωνικής Ασφάλισης που υπάγονται στην εποπτεία του υπουργείου καταβάλλονται την προτελευταία εργάσιμη ημέρα του προηγούμενου μήνα, εκτός από τις συντάξεις του ΟΑΕΕ και του ΟΓΑ που καταβάλλονται την πρώτη εργάσιμη ημέρα κάθε μήνα.

ΑΠΕ-ΜΠΕ

Μια νέα σοβαρή υπόθεση θα απασχολήσει τις αρχές

Μια σοβαρή υπόθεση υποκλοπής κωδικών από λογαριασμό ενός 56χρονου Αφαντενού, τραπεζικού υπαλλήλου και εμβάσματος αποταμιεύσεων του μέσω συστήματος e-banking, αναμένεται να απασχολήσει από την προσεχή Δευτέρα την Εισαγγελία Πλημμελειοδικών Ρόδου και την Δίωξη Ηλεκτρονικού Εγκλήματος, μετά την υποβολή σχετικής μηνύσεως.

Ο τραπεζικός υπάλληλος, που διατηρεί λογαριασμό, τον οποίο διαχειρίζεται μέσω e-banking, διαπίστωσεσυγκεκριμένα ότι την 10η Ιουνίου 2015 είχαν μεταφερθεί από τον λογαριασμό του 1.754 ευρώ σε λογαριασμό ενός άγνωστου σ’ αυτόν Αθηναίου, ο οποίος και ανέλαβε το ποσό την επόμενη ημέρα.

Ο 56χρονος τραπεζικός ενημέρωσε σχετικά την τράπεζα, που διαπίστωσε μετά από έλεγχο ότι είχε γίνει χρήση τόσο των κωδικών πρόσβασης όσο και του κωδικού ασφαλούς σύνδεσης στο σύστημα, ο οποίος αντλείται ηλεκτρονικά μέσω ειδικού μηχανήματος με κλειδάριθμους.

Η τράπεζα μάλιστα φέρεται να επικοινώνησε με τον αποδέκτη των χρημάτων ο οποίος αρνήθηκε να δώσει περαιτέρω εξηγήσεις.
Από την μέχρι τώρα έρευνα του θύματος πιθανολογείται ότι κάποιοι επιτήδειοι, αφού απέκτησαν πρόσβαση στους κωδικούς του λογαριασμού e-banking του εν συνεχεία συγχρόνισαν αυτούς με ειδική εφαρμογή για smart phones, που παράγει και τον κλειδάριθμο της ασφαλούς σύνδεσης και μετέφεραν από τον λογαριασμό του τα χρήματα.
Πιθανολογείται μάλιστα ότι δεν είναι η μοναδική περίπτωση στην περιοχή.

Η Διωξη Ηλεκτρονικού Εγκλήματος έχει προειδοποιήσει εξάλλου ότι στο τελευταίο χρονικό διάστημα παρατηρείται αύξηση στις υποθέσεις απάτης, όπου κακοποιοί «πείθουν» επιχειρήσεις και δρομολογούν ηλεκτρονικές πληρωμές σε δικούς τους λογαριασμούς.

Πιο αναλυτικά, οι κακοποιοί διεισδύουν (CRACKING) ηλεκτρονικά στις επικοινωνίες εμπορικών εταιρειών και υποκλέπτουν την ηλεκτρονική τους αλληλογραφία (e-mail), με σκοπό τον εντοπισμό των εμπορικών συναλλαγών τους με άλλες επιχειρήσεις.

Στη συνέχεια, επικοινωνούν με την εταιρεία-στόχο, προσποιούμενοι πως ανήκουν σε συνεργαζόμενη επιχείρηση και δίνουν στοιχεία δικών τους λογαριασμών για την αποστολή μελλοντικών εμβασμάτων.
Η προειδοποίηση της Διεύθυνσης Δίωξης Ηλεκτρονικού Εγκλήματος αφορά επιχειρήσεις που δραστηριοποιούνται τόσο στην Ελλάδα όσο και στο εξωτερικό.
Οι εμπορικές εταιρείες για να μπορέσουν να διασφαλίσουν τα ψηφιακά δεδομένα τους, αλλά και να προστατεύσουν τις τραπεζικές συναλλαγές τους καλούνται να τηρούν τις παρακάτω διαδικασίες:

Συνεχή επαλήθευση της ορθής διεύθυνσης ηλεκτρονικού ταχυδρομείου των εταιρειών – επιχειρήσεων με τις οποίες πραγματοποιείται η επικοινωνία για επικείμενες συναλλαγές.

Σε περίπτωση που απαιτείται αποστολή χρημάτων με οποιονδήποτε τρόπο, θα πρέπει να πραγματοποιείται επαλήθευση των στοιχείων αποστολής και με οποιοδήποτε άλλο τρόπο, πλην του ηλεκτρονικού ταχυδρομείου (τηλέφωνο, διαδικτυακή συνομιλία κτλ)

Επαλήθευση των συναλλαγών απευθείας με τους τραπεζικούς οργανισμούς στους οποίους πρόκειται να γίνει η μεταφορά των χρημάτων.
Τήρηση δεύτερου ή επιπρόσθετου κωδικού ασφαλείας κατά την διαχείριση των λογαριασμών ηλεκτρονικών ταχυδρομείων, που λαμβάνουν – αποστέλλουν ευαίσθητα ή τραπεζικά δεδομένα.

Συνεχής ενημέρωση των προγραμμάτων προστασίας και ασφάλειας των πληροφοριακών συστημάτων.

Διαδικασίες – εξπρές για την κατάσχεση χρημάτων από τραπεζικούς λογαριασμούς αλλά και την γενικότερη επίδοση εγγράφων στους φορολογούμενους ετοιμάζει το υπουργείο Οικονομικών.

Το σχέδιο προβλέπει την αντικατάσταση της χειρόγραφης επίδοσης εγγράφων της φορολογικής διοίκησης με ηλεκτρονικές επιδόσεις που θα γίνονται γρηγορότερα και με ελάχιστο κόστος.

Με βάση το σημερινό κοστοβόρο και χρονοβόρο καθεστώς οι επιδόσεις εγγράφων της φορολογικής διοίκησης γίνονται από δικαστικούς επιμελητές οι οποίοι αμείβονται ανά πράξη από το ελληνικό δημόσιο. Το κόστος για αυτές τις επιδόσεις είναι μεγάλο με κάποιες εκτιμήσεις να το ανεβάζουν σε μερικά εκατομμύρια ευρώ ετησίως.

Χαρακτηριστικά παραδείγματα χειρόγραφης επίδοσης είναι αυτά που γίνονται στις περιπτώσεις οφειλετών του δημοσίου. Η εφορία εκδίδει κατασχετήριο εις χείρας τρίτων για τα χρέη του οφειλέτη. Το κατασχετήριο αυτό θα πρέπει να επιδοθεί με δικαστικό επιμελητή στα κεντρικά καταστήματα όλων των τραπεζών και πολλές φορές και σε λογιστήρια επιχειρήσεων στην περίπτωση που ο οφειλέτης είναι μισθωτός και αποφασίζεται η κατάσχεση μέρους των αποδοχών του.

Η νομική υποδομή για την αντικατάσταση των χειρόγραφων επιδόσεων με ηλεκτρονικές υπάρχει. Οι σχετικές διατάξεις έχουν ψηφιστεί από το 2013 και το 2014 εκδόθηκαν και οι σχετικές εγκύκλιοι. Ωστόσο, το μέτρο δεν εφαρμόστηκε πραγματικά καθώς έπεσε θύμα των αλλαγών στην ηγεσία του υπουργείου Οικονομικών και της φορολογικής διοίκησης.

Η νέα ηγεσία του υπουργείου Οικονομικών δηλώνει αποφασισμένη να εφαρμόσει το μέτρο προκειμένου να επιταχυνθούν οι διαδικασίες και να μειωθεί το κόστος τους. Για την πλήρη λειτουργία του συστήματος των ηλεκτρονικών επιδόσεων θα πρέπει όλοι οι φορολογούμενοι να έχουν δηλώσει διεύθυνση ηλεκτρονικού ταχυδρομείου στη μερίδα τους στο taxisnet. Η φορολογική διοίκηση θα μπορεί να αποστείλει ειδοποιήσεις οι οποίες θα θεωρείται ότι έχουν επιδοθεί κανονικά με τη νομική ισχύ της επίδοσης. Αυτό σημαίνει ότι από τη λήψη του email θα ξεκινούν να τρέχουν προθεσμίες.

Για παράδειγμα, θα μπορούν να κοινοποιούνται μέσω email εκθέσεις φορολογικού ελέγχου και βεβαίωσης πρόσθετων φόρων. Επίσης πολύ γρήγορα θα διεκπεραιώνονται και κατασχέσεις χρηματικών υπολοίπων από τραπεζικούς λογαριασμούς οφειλετών του δημοσίου καθώς τα κατασχετήρια θα κοινοποιούνται ηλεκτρονικά στις τράπεζες.

capital.gr