Οι περισσότερες ψηφιακές απάτες έχουν εκπαιδεύσει τους χρήστες να αναζητούν «κόκκινες σημαίες»: αιτήματα για κωδικούς, ύποπτα links, απειλές για κλείδωμα λογαριασμών. Ωστόσο, οι πιο αποτελεσματικές επιθέσεις σήμερα κινούνται στην ακριβώς αντίθετη κατεύθυνση.
Δεν κραυγάζουν. Δεν πιέζουν. Δεν ζητούν τίποτα. Και γι’ αυτό περνούν απαρατήρητες.
Όταν το email μοιάζει απολύτως φυσιολογικό
Το νέο μοντέλο ηλεκτρονικής απάτης βασίζεται σε μηνύματα που δεν διαφέρουν σε τίποτα από την καθημερινή επαγγελματική αλληλογραφία. Πρόκειται για emails με ουδέτερο ύφος, χωρίς ορθογραφικά λάθη, χωρίς υποσχέσεις ή απειλές και χωρίς αιτήματα για προσωπικά δεδομένα.
Συχνά εμφανίζονται ως ειδοποιήσεις, έγγραφα προς έλεγχο, ενημερώσεις ή προτάσεις συνεργασίας. Ακριβώς επειδή δεν προκαλούν ανησυχία, ανοίγονται μηχανικά – και εκεί ξεκινά το πρόβλημα.
Ένα απλό θέμα όπως «Έγγραφο προς έλεγχο» ή «Συνημμένο αρχείο» δεν εγείρει υποψίες. Το μήνυμα είναι σύντομο, ευγενικό και θυμίζει δεκάδες άλλα που λαμβάνονται καθημερινά. Τίποτα δεν προϊδεάζει για απάτη.
Το πραγματικό ρίσκο δεν είναι το μήνυμα
Η απειλή δεν βρίσκεται στο κείμενο του email, αλλά στο συνημμένο ή στην ενέργεια που ζητείται από τον χρήστη. Ένα αρχείο PDF, ένα έγγραφο Word ή ένα κουμπί «προβολής» μπορεί να ενεργοποιήσει διαδικασίες στο παρασκήνιο της συσκευής.
Σε πολλές περιπτώσεις, με το άνοιγμα του αρχείου:
- ενεργοποιούνται κακόβουλες λειτουργίες,
- ζητούνται άδειες που εγκρίνονται αυτόματα,
- αποκτάται πρόσβαση σε δεδομένα χωρίς εμφανή ένδειξη.
Ο χρήστης δεν βλέπει προειδοποιήσεις, δεν εμφανίζεται κάποιο «σφάλμα» και η συσκευή συνεχίζει να λειτουργεί κανονικά.
Γιατί το κινητό τηλέφωνο είναι πιο ευάλωτο
Οι επιθέσεις αυτές αποδίδουν περισσότερο στα smartphones παρά στους υπολογιστές. Η μικρή οθόνη, η περιορισμένη πληροφόρηση και η συνήθεια της γρήγορης αποδοχής όρων καθιστούν το κινητό πιο εύκολο στόχο.
Ενέργειες που στον υπολογιστή θα προκαλούσαν δεύτερη σκέψη, στο κινητό περνούν σχεδόν ασυνείδητα. Το αποτέλεσμα μπορεί να είναι πρόσβαση σε emails, επαφές, αρχεία, φωτογραφίες ή ακόμη και ειδοποιήσεις – χωρίς να έχει προηγηθεί «χακάρισμα» με τη συμβατική έννοια.
