Απάτη μέσω phishing για την κλοπή κωδικών e-banking και πιστωτικών καρτών από πελάτες ελληνικής τράπεζας

[deligkos]

Δικογραφία για απόπειρα απάτης με υπολογιστή κατά συρροή σχημάτισε η Δίωξη Ηλεκτρονικού Εγκλήματος της ΕΛΑΣ, διαπιστώνοντας έπειτα από έρευνα πως κυβερνοεγκληματίες έστελναν παραπλανητικά e-mail σε πελάτες ελληνικής τράπεζας, με σκοπό να τους οδηγήσουν σε μία πλαστή ιστοσελίδα που υποτίθεται ανήκε στο πιστωτικό ίδρυμα και έτσι να τους υποκλέψουν τους κωδικούς e-banking ή τα στοιχεία των πιστωτικών τους καρτών.

Όπως αναφέρει σε δελτίο Τύπου της η Δίωξη Ηλεκτρονικού Εγκλήματος, η διερεύνηση της υπόθεσης ξεκίνησε ύστερα από καταγγελίες πολιτών για απατηλά - παραπλανητικά μηνύματα ηλεκτρονικού ταχυδρομείου που λάμβαναν, τα οποία υποτίθεται πως προέρχονταν από ελληνική τράπεζα.

 

Σύμφωνα με τις καταγγελίες, τα e-mail ενημέρωναν τους παραλήπτες ότι δήθεν επίκειται τραπεζική συναλλαγή σε βάρος τους, μέσω ηλεκτρονικής υπηρεσίας που προσφέρεται από το συγκεκριμένο τραπεζικό ίδρυμα. Για την ακύρωσή της, οι παραλήπτες έπρεπε να ακολουθήσουν διάφορα link, που υποτίθεται ότι θα τους μετέφεραν στον ιστότοπο της τράπεζας, ενώ στην πραγματικότητα τους οδηγούσαν σε πλαστές ιστοσελίδες που έμοιαζαν να ανήκουν στην τράπεζα.

 

Έτσι, προέτρεπαν τους παραλήπτες να εισάγουν προσωπικά τους στοιχεία, όπως όνομα χρήστη και κωδικό πρόσβασης στην υπηρεσία e-banking καθώς και στοιχεία πιστωτικών καρτών, έτσι ώστε οι διαχειριστές-δράστες αυτών των απατηλών ιστοσελίδων να αποκτήσουν αθέμιτη πρόσβαση σε αυτά τα δεδομένα.

 

Όπως αναφέρει η δίωξη, τα παραπάνω τέθηκαν υπ’ όψη της Εισαγγελίας Πρωτοδικών Αθηνών, η οποία παρήγγειλε τη διενέργεια προκαταρκτικής εξέτασης, για τη διερεύνηση των καταγγελλομένων καθώς και η χορήγηση των απαραίτητων στοιχείων και δεδομένων από τους αρμόδιους παρόχους τηλεπικοινωνιών και υπηρεσιών του διαδικτύου.

 

«Στο πλαίσιο αυτό, από τη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, διενεργήθηκε ενδελεχής αστυνομική και ψηφιακή - διαδικτυακή έρευνα των ψηφιακών στοιχείων και δεδομένων και ιδίως των απατηλών ιστοσελίδων που χρησιμοποιούνταν για το ηλεκτρονικό “ψάρεμα” (“phising sites”) προς διερεύνηση και διαλεύκανση της υπόθεσης», αναφέρεται στην ανακοίνωση.

 

Από την έρευνα προέκυψαν δύο (2) αλλοδαπές εταιρίες διαχείρισης-φιλοξενίας (hosting) των επίμαχων απατηλών ιστοσελίδων με έδρα σε χώρες του εξωτερικού και απεστάλησαν αιτήματα, προς τις εμπλεκόμενες αλλοδαπές Αρχές για τις δικές τους ενέργειες. Η σχηματισθείσα δικογραφία τακτικής διαδικασίας θα υποβληθεί στην Εισαγγελία Πρωτοδικών Αθηνών.

 

Με αφορμή το συγκεκριμένο περιστατικό, η Δίωξη Ηλεκτρονικού Εγκλήματος δίνει τις παρακάτω συμβουλές στους πολίτες, ώστε να αποτρέψουν το ενδεχόμενο να γίνουν θύματα μίας ανάλογης απάτης. Έτσι, η Δίωξη συστήνει στους χρήστες ίντερνετ:

 

-Να μην ανταποκρίνονται ούτε να απαντούν σε τέτοιου είδους ηλεκτρονικά μηνύματα μέσω των οποίων μπορεί ακόμη να ζητούνται και προσωπικά δεδομένα ή οικονομικά στοιχεία.

 

-Να μην αποστέλλουν μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου, προσωπικά τους στοιχεία (ταυτότητα, διαβατήριο κ.τ.λ.), οικονομικά δεδομένα (αριθμούς τραπεζικών λογαριασμών, προσωπικούς κωδικούς (ΡΙΝ numbers) κ.τ.λ.

 

-Να πληκτρολογούνται οι διευθύνσεις των ιστοσελίδων (URL) στον περιηγητή (browser) αντί να χρησιμοποιείτε υπερσυνδέσμους (links) όταν αποστέλλονται μαζί με μηνύματα για να αποφευχθεί μια μορφή απάτης που μοιάζει με το «ψάρεμα» (phishing) και λέγεται «pharming» (παραπλάνηση) και η οποία κάνει ανακατεύθυνση των χρηστών από τις νόμιμες τοποθεσίες διαδικτύου (Web) σε απομιμήσεις, με σκοπό την κλοπή προσωπικών στοιχείων.

[Zein]

Αμα σε κλεψουν μεσω phising, δε σε καλυπτει η τραπεζα σου?

[George.Ember]

Το πρωτο πραγμα που σου λεει και σου τονιζει η τραπεζα ειναι πως ουδεποτε και με κανεναν τροπο θα σου ζητησει τους προσωπικους σου κωδικους.

 

Ουτε με mail, ουτε μεσω κινητου, ουτε μεσω sms και αν παιξει κατι με χρεωση, οποια και αν ειναι αυτη, η τραπεζα σε εχει απο πριν ενημερωσει και αν οχι, σε παιρνει τηλεφωνο και σου ζηταει να παραστεις με την ταυτοτητα σου σε ενα οποιοδηποτε καταστημα.

 

Και αν ξεχασεις τον κωδικο σου και θελεις να σου τον πουνε μεσω τηλεφωνου, θα σου ζητησουν τον μυστικο τηλεφωνικο κωδικο + ταυτοτητα και γενικα μεχρι και τι νουμερο μποξερακι φορας.

 

Γενικα πρεπει να εισαι πολυ ευκολοπιστος για να την πατησεις η να εχεις αγνοια.

[Amaretos]

Οχι βεβαια δεν φταει η τραπεζα αν εσυ εισαι λιγο χαζουλης

[coolworm]

εε και τι έγινε? από ότι ξέρω για μια συναλλαγή χρειάζεται κωδικο που έρχεται στο κινητό σου.. εκτός αν κάνω λάθος... eurobank και πειραιώς πάντως θέλει σίγουρα.

[keysmith]

Το πρωτο πραγμα που σου λεει και σου τονιζει η τραπεζα ειναι πως ουδεποτε και με κανεναν τροπο θα σου ζητησει τους προσωπικους σου κωδικους.

 

Ουτε με mail, ουτε μεσω κινητου, ουτε μεσω sms και αν παιξει κατι με χρεωση, οποια και αν ειναι αυτη, η τραπεζα σε εχει απο πριν ενημερωσει και αν οχι, σε παιρνει τηλεφωνο και σου ζηταει να παραστεις με την ταυτοτητα σου σε ενα οποιοδηποτε καταστημα.

 

Και αν ξεχασεις τον κωδικο σου και θελεις να σου τον πουνε μεσω τηλεφωνου, θα σου ζητησουν τον μυστικο τηλεφωνικο κωδικο + ταυτοτητα και γενικα μεχρι και τι νουμερο μποξερακι φορας.

 

Γενικα πρεπει να εισαι πολυ ευκολοπιστος για να την πατησεις η να εχεις αγνοια.

Το πρόβλημα είναι ότι ούτε ο "κακός hacker" σου ζητάει τον κωδικό άμεσα ή με αφελώς εύκολο τρόπο! Το θύμα δεν δίνει άμεσα τον κωδικό σε κανέναν πχ επειδή σου το ζήτησε στο email.

 

Το "κόλπο" είναι ότι σε προτρέπει  να συνδεθείς στην "τράπεζα" να δεις τι γίνεται για κάτι που νομίζεις ότι έγινε (δημιουργόντας σου πανικό πχ τάχα με κάποια μεγάλη συναλλαγή που έκανες ταχα)). Το link όμως που έχουν στο email οδηγεί σε ψεύτικο site όμοιο με της τράπεζας εμφανισιακά όπου οι κωδικοί σου δίνονται σε αυτούς. 

 

Και καλά οι τράπεζες έχουν 2 factor authentication που πρέπει για συναλλαγή να δώσεις extra κωδικό. Αν και για αυτό υπάρχουν επιθέσεις πχ σου ζητάει το δεύτερο κωδικό από το κλειδάκι το οποίο αν κάποιος είναι online έχει κάποιο χρόνο να το χρησιμοποιήσει. Αν είναι κωδικός στο τηλέφωνο είναι λίγο πιο δύσκολο και θέλει να κάνει μαζί σου ενέργειες παράλληλα. Το πρόβλημα όμως είναι ότι σου ζητάνε κωδικούς πχ από paypal που δεν έχει 2 factor authentication.

 

Τις προάλλες μου ήρθε ένα ότι τάχα υπήρχαν απόπειρες από κάποιον με iphone από uk που το (τάχα) paypal "σταμάτησε" και κάποιο Link χαμηλά να συνδεθώ να δω λεπτομέρειες. Το site που συνδεόσουν ΔΕΝ ήταν το paypal αλλά "πλαστό" και μάζευε κωδικούς.

 

Ο μέσος χρήστης μπορεί να την πατήσει. Δεν καταλαβαίνει τον τρόπο που "δίνει" τον κωδικό του στον "κακό hacker". 

 

Παλιά κάποιες τράπεζες έλεγαν ότι ποτέ δεν θα έχουν σύνδεσμο μέσα στα email τους αλλά θα πρέπει εσύ να πληκτρολογήσεις κάτι να συνδεθείς. Οι περισσότερες το τηρούν αλλά με την μορφή ότι δεν σε παραπέμπουν στην σελίδα σύνδεσης (login screen). Δυστυχώς όμως μπορεί να έχουν άλλους "συνδέσμους" μέσα (πχ τα καταστήματα τους) και έτσι ο κόσμος είναι εξοικειωμένος στην ιδέα ότι τα mail (τα κανονικά) των τραπεζών έχουν links και έτσι να πιστέψει και το Phishing.

[deadwar]

2017 και υπάρχουν άτομα που ανταποκρίνονται σε τέτοια email; Δεν έχουν διαβασει/δει τι γίνεται; Τι να πω....

[eliasjuve]

Όσο περισσότεροι ασχολούνται με υπολογιστές, τάμπλετς, σμαρτφονς, είτε μικροί είτε μεσήλικες ακόμα και υπερήλικες σπανίως,πάντα θα υπάρχουν νέα θύματα τα οποία δεν έχουν την εμπειρία να διαχειρίζονται τέτοια θέματα.

[Zein]

Αντε να εξηγησεις σε καποιον που γνωριζει τα βασικα, την διαφορα του

 

Pireusbank.gr

 

Με το pireus-bank.gr ή το pireus.ebanking.gr

 

[BihlX]

Το πρόβλημα είναι ότι ούτε ο "κακός hacker" σου ζητάει τον κωδικό άμεσα ή με αφελώς εύκολο τρόπο! Το θύμα δεν δίνει άμεσα τον κωδικό σε κανέναν πχ επειδή σου το ζήτησε στο email.

 

Το "κόλπο" είναι ότι σε προτρέπει  να συνδεθείς στην "τράπεζα" να δεις τι γίνεται για κάτι που νομίζεις ότι έγινε (δημιουργόντας σου πανικό πχ τάχα με κάποια μεγάλη συναλλαγή που έκανες ταχα)). Το link όμως που έχουν στο email οδηγεί σε ψεύτικο site όμοιο με της τράπεζας εμφανισιακά όπου οι κωδικοί σου δίνονται σε αυτούς. 

 

Και καλά οι τράπεζες έχουν 2 factor authentication που πρέπει για συναλλαγή να δώσεις extra κωδικό. Αν και για αυτό υπάρχουν επιθέσεις πχ σου ζητάει το δεύτερο κωδικό από το κλειδάκι το οποίο αν κάποιος είναι online έχει κάποιο χρόνο να το χρησιμοποιήσει. Αν είναι κωδικός στο τηλέφωνο είναι λίγο πιο δύσκολο και θέλει να κάνει μαζί σου ενέργειες παράλληλα. Το πρόβλημα όμως είναι ότι σου ζητάνε κωδικούς πχ από paypal που δεν έχει 2 factor authentication.

 

Τις προάλλες μου ήρθε ένα ότι τάχα υπήρχαν απόπειρες από κάποιον με iphone από uk που το (τάχα) paypal "σταμάτησε" και κάποιο Link χαμηλά να συνδεθώ να δω λεπτομέρειες. Το site που συνδεόσουν ΔΕΝ ήταν το paypal αλλά "πλαστό" και μάζευε κωδικούς.

 

Ο μέσος χρήστης μπορεί να την πατήσει. Δεν καταλαβαίνει τον τρόπο που "δίνει" τον κωδικό του στον "κακό hacker". 

 

Παλιά κάποιες τράπεζες έλεγαν ότι ποτέ δεν θα έχουν σύνδεσμο μέσα στα email τους αλλά θα πρέπει εσύ να πληκτρολογήσεις κάτι να συνδεθείς. Οι περισσότερες το τηρούν αλλά με την μορφή ότι δεν σε παραπέμπουν στην σελίδα σύνδεσης (login screen). Δυστυχώς όμως μπορεί να έχουν άλλους "συνδέσμους" μέσα (πχ τα καταστήματα τους) και έτσι ο κόσμος είναι εξοικειωμένος στην ιδέα ότι τα mail (τα κανονικά) των τραπεζών έχουν links και έτσι να πιστέψει και το Phishing.

Paypal 2 step verification = Paypal Security key (με sms)

[Χάρης Μυλωνίδης]

παιδιά μεγάλη προσοχή αυτή η τακτική είναι συνηθισμένη στο εξωτερικό και λέγεται social engineering 

[georgebou21]

Παιδια στοιχεια καρτων και κωδικους δεν προκειται να σου ζητησει ποτε η τραπεζα σε e-mail.
Το λέει η καθε τράπεζα.

Επίσης τα Link που συνοδευουν αυτα τα e-mail εάν περάσετε το κερσορα απο πάνω εμφανιζουν την πραγματικη διευθυνση που θα ανοιξει ο browser.

Να εχετε το νου σας ή ρωτηστε κάποιον που ξερει έαν εχετε υποψια.

[keysmith]

Paypal 2 step verification = Paypal Security key (με sms)

δεν το γνώριζα (!) όπως και πολλοί δεν το γνωρίζουν και δεν το χρησιμοποιούν. Για αυτό και οι επιθέσεις στο paypal. θα το δώ..

Επίσης λέει

How much does it cost?

It’s free to use your mobile phone as your PayPal Security Key. Standard text messaging rates apply when you receive a security code by SMS. Check with your mobile provider for details.

που μάλλον εννοεί δωρεάν εφόσον τα εισερχόμενα στο δίκτυό σου είναι δωρεάν (δεν συμβαίνει σε όλα τα δίκτυα του κόσμου). Σωστά;

 

Το άλλο μέγιστο λάθος που κάνουν πολλά site (και το payplal) είναι να επιμένουν να χρησιμοποιούν ξεκλειδώματα (και άρα τεχνικές για αλλαγή κωδικού) που στηρίζονται σε security questions του στιλ "πως λένε την μητέρα σου" ή "τον πρώτο σου σκύλο". Αυτές οι ερωτήσεις "ασφαλείας" είναι συνήθως/συχνά πληροφορία που κάποιος μπορεί να ξέρει ή να βρει και τις περισσότερες φορές πιο ασθενικά από τους ίδιους τους κωδικούς. Και ως γνωστόν ο hacker θα χτυπήσει τον πιο αδύναμο κρίκο. 

 

Οταν με αναγκάζουν (με το ζόρι) να διαλέξω security question η απάντηση είναι πιο δύσκολη από τον κωδικό (τυχαία γράμματα που ούτε εγώ ξέρω τι γράφω ή ο ίδιος/παρόμοιος ο κωδικός ή κάτι τέτοιο). Έτσι κάποιος με το security question δεν θα μπορέσει να αλλάξει τον κωδικό μου. Προσωπικά ΔΕΝ θέλω να υπάρχει security question που να ξεκλειδώνει το λογαριασμό μου (αλλάζω κωδικό) καθώς τότε τι το θέλω το "καλό" password αν είναι να με ξεκλειδώσει κάποιος με απάντηση σε "απλή ερώτηση". Δυστυχώς το yahoo είναι Ο χειρότερος εκπρόσωπος αυτής της σχολής με άσχετους σε θέματα ασφάλειας. Δεν θα ξεχάσω κάπου το 2013 (?) όταν κλείδωσε συνάδελφό μου επειδή για κάποιο λόγω αυτή εισήλθε από η/υ που δεν "γνώριζε" η yahoo στο email της (χρησιμοποιούσε πολύ σπάνια) και της ζήτησε απάντηση σε ερώτηση ασφαλείας που δε θυμόταν! Δεν σε πίστευε ότι είσαι εσύ επειδή ήξερες τον κωδικό, αλλά ήθελε να βεβαιωθεί ότι ξέρεις την ερώτηση ασφαλείας καθιστώντας την έμμεσα ΑΝΩΤΕΡΗ του κωδικού. Παντελώς άσχετοι οι άνθρωποι! Μετά καθώς η πρόσβαση στον συνήθη υπολογιστή είχε χαθεί (φορμαριστεί) η κοπέλα έχασε το email της. Για να της το δώσουν πίσω έπρεπε να κάνει αίτηση και δεν ξέρω γω τι, που δεν έκανε και έχασε το πρώτο της email. Και έχει κάνει και άλλα κουλά η yahoo εκτός ότι την hackεψαν 100 φορές και από τότε σε όλους λέω μακρυά από αυτήν! Πάντως έχω την εντύπωση ότι η "τεχνική" των security questions σιγά σιγά εγκαταλείπεται ως μέθοδος ξεκλειδώματος λογαριασμού. 

 

Υπάρχουν και άλλες ιστορίες "τρέλας" στο security πολλών εταιριών (και "σοβαρών")

[nan78]

Δυστυχώς το yahoo είναι Ο χειρότερος εκπρόσωπος αυτής της σχολής με άσχετους σε θέματα ασφάλειας. Δεν θα ξεχάσω κάπου το 2013 (?) όταν κλείδωσε συνάδελφό μου επειδή για κάποιο λόγω αυτή εισήλθε από η/υ που δεν "γνώριζε" η yahoo...

 

Ευτυχώς, μετά τα τελευταία hackaρισματα, το κόψανε αυτό. Πλεον έχει διάφορες άλλες μεθόδους με εναλλακτικά emails ή το κινητο για όποιον ενδιαφέρεται να το δώσει (προσωπικά δεν μου αρέσει, αλλά...)

[NikosKallithea]

Αντε πάλι τα ιδια!!!!!