Πώς οι κυβερνοεγκληματίες κλέβουν στοιχεία πιστωτικών καρτών

Το κυβερνοέγκλημα είναι μια καλοκουρδισμένη μηχανή που κοστίζει τρισεκατομμύρια δολάρια ετησίως. Σε ιστοσελίδες στο σκοτεινό διαδίκτυο (dark web), κρυμμένοι από τις αρχές επιβολής του νόμου αλλά και από την πλειοψηφία των καταναλωτών, οι κυβερνοεγκληματίες αγοράζουν και πουλάνε τεράστιες ποσότητες κλεμμένων δεδομένων αλλά και ό,τι εργαλεία απαιτούνται για να τα αποκτήσουν.

«Εκτιμάται ότι σε τέτοιες ιστοσελίδες κυκλοφορούν σήμερα 24 δισεκατομμύρια ονόματα χρηστών και κωδικοί πρόσβασης που έχουν αποκτηθεί παράνομα» λέει ο Phil Muncaster από την ομάδα της παγκόσμιας εταιρείας ψηφιακής προστασίας ESET.

Μεταξύ των πιο περιζήτητων είναι τα δεδομένα τραπεζικών καρτών, τα οποία στη συνέχεια αγοράζονται μαζικά από απατεώνες για να πραγματοποιήσουν απάτες ταυτότητας.

Στις χώρες που έχουν εφαρμόσει συστήματα chip και PIN (γνωστά και ως EMV), είναι δύσκολο να μετατραπούν αυτά τα δεδομένα σε κλωνοποιημένες κάρτες. Έτσι, συνήθως χρησιμοποιούνται online σε επιθέσεις τύπου card-not-present (CNP). Οι απατεώνες τις χρησιμοποιούν για να αγοράσουν είδη πολυτελείας και για να τα πουλήσουν, ή ενδεχομένως για να αγοράσουν μαζικά κάρτες δώρων – που είναι ένας άλλος δημοφιλής τρόπος για το ξέπλυμα παράνομων κεφαλαίων. Είναι δύσκολο να εκτιμηθεί το μέγεθος της αγοράς αυτών των καρτών. Ωστόσο, οι διαχειριστές της μεγαλύτερης παράνομης αγοράς στον κόσμο «βγήκαν στη σύνταξη» πρόσφατα, αφού πρώτα μάζεψαν περίπου 358 εκατ. δολάρια ΗΠΑ.

Έχοντας αυτό κατά νου, ο Muncaster από την ESET συνοψίζει τους πέντε πιο συνηθισμένους τρόπους με τους οποίους οι χάκερ μπορούν να αποκτήσουν τα δεδομένα της πιστωτικής σας κάρτας - και πώς να τους σταματήσετε:

1. Phishing

Το "ηλεκτρονικό ψάρεμα" (Phishing) είναι μια από τις πιο δημοφιλείς τεχνικές που χρησιμοποιούν οι  κυβερνοεγκληματίες για να κλέψουν προσωπικά στοιχεία καταναλωτών. Στην απλούστερη εκδοχή του, πρόκειται για ένα τέχνασμα απάτης κατά το οποίο ο χάκερ μεταμφιέζεται σε κάποια οντότητα κύρους (π.χ. τράπεζα, πάροχο ηλεκτρονικού εμπορίου, ή εταιρεία τεχνολογίας) για να σας εξαπατήσει ώστε να αποκαλύψετε τα προσωπικά σας στοιχεία ή να κατεβάσετε εν αγνοία σας κάποιο κακόβουλο λογισμικό.

Συχνά ενθαρρύνουν τους χρήστες να κάνουν κλικ σε έναν σύνδεσμο ή να ανοίξουν ένα συνημμένο αρχείο. Ορισμένες φορές αυτό οδηγεί το χρήστη σε κάποια σελίδα phishing - όπου θα σας ενθαρρύνουν να εισάγετε προσωπικές και τραπεζικές πληροφορίες. Το phishing λέγεται ότι έφτασε στο υψηλότερο επίπεδο όλων των εποχών το πρώτο τρίμηνο του 2022.

Και βεβαίως, αυτές οι απάτες έχουν εξελιχθεί τα τελευταία χρόνια. Αντί για ένα μήνυμα ηλεκτρονικού ταχυδρομείου, σήμερα μπορεί να λάβετε ένα κακόβουλο μήνυμα (SMS) από έναν χάκερ που προσποιείται ότι είναι από κάποια εταιρεία, μια κυβερνητική υπηρεσία, ή άλλον αξιόπιστο οργανισμό. Οι απατεώνες μπορεί ακόμη και να σας τηλεφωνήσουν, προσποιούμενοι και πάλι ότι δουλεύουν για μια αξιόπιστη πηγή, με σκοπό να αποκτήσουν τα στοιχεία της κάρτας σας. Το phishing μέσω SMS (smishing) υπερδιπλασιάστηκε σε ετήσια βάση το 2021, ενώ το φωνητικό phishing (vishing) αυξήθηκε επίσης κατακόρυφα, σύμφωνα με εκτιμήσεις.

2. Κακόβουλο λογισμικό

Το κυβερνοέγκλημα είναι μια τεράστια αγορά, όχι μόνο για τα προσωπικά δεδομένα αλλά και για κακόβουλο λογισμικό. Με την πάροδο των ετών, έχουν σχεδιαστεί διάφοροι τύποι κακόβουλου κώδικα για την κλοπή πληροφοριών. Ορισμένα καταγράφουν τις πληκτρολογήσεις σας - για παράδειγμα, καθώς πληκτρολογείτε τα στοιχεία της κάρτας σας σε μια ιστοσελίδα ηλεκτρονικού εμπορίου ή τραπεζικών συναλλαγών.

Πώς καταφέρνουν οι κυβερνοεγκληματίες να βάλουν αυτά τα εργαλεία στο μηχάνημά σας; Τα μηνύματα ηλεκτρονικού ταχυδρομείου ή τα μηνύματα ηλεκτρονικού "ψαρέματος" είναι μια δημοφιλής μέθοδος. Οι κακόβουλες διαδικτυακές διαφημίσεις είναι μια άλλη μέθοδος. Σε άλλες περιπτώσεις, μπορεί να παραβιάζουν δημοφιλείς ιστοσελίδες και να περιμένουν τους χρήστες να τις επισκεφθούν. Το κακόβουλο λογισμικό Drive-by-download εγκαθίσταται αμέσως μόλις επισκεφθείτε την παραβιασμένη ιστοσελίδα. Το κακόβουλο λογισμικό κλοπής πληροφοριών είναι επίσης συχνά κρυμμένο μέσα σε κακόβουλες εφαρμογές (apps) για κινητά που μοιάζουν νόμιμες.

3. Ηλεκτρονικό «ξάφρισμα» (Digital skimming)

Μερικές φορές οι χάκερ εγκαθιστούν κακόβουλο λογισμικό στις σελίδες πληρωμών σε ιστοσελίδες ηλεκτρονικού εμπορίου. Αυτό είναι αόρατο για το χρήστη, αλλά υποκλέπτει τα στοιχεία της κάρτας σας καθώς τα πληκτρολογείτε. Δεν υπάρχουν πολλά που μπορούν να κάνουν οι χρήστες για να παραμείνουν ασφαλείς, εκτός από το να ψωνίζουν μόνο από γνωστές εταιρείες και ιστοσελίδες, οι οποίες είναι πιθανό να είναι πιο ασφαλείς. Οι ανιχνεύσεις ηλεκτρονικού ξαφρίσματος (ή αλλιώς online card skimming) αυξήθηκαν κατά 150% από τον Μάιο έως και το Νοέμβριο του 2021.

4. Παραβιάσεις δεδομένων

Μερικές φορές οι χάκερ κλέβουν τα στοιχεία των καρτών απευθείας από τις εταιρείες με τις οποίες συνεργάζεστε. Θα μπορούσε να είναι ένας πάροχος υγειονομικής περίθαλψης, ένα κατάστημα ηλεκτρονικού εμπορίου, ή ένα ταξιδιωτικό γραφείο. Αυτός είναι ένας πιο αποδοτικός τρόπος δράσης από την πλευρά των χάκερ, επειδή με μία επίθεση αποκτούν μεμιάς πρόσβαση σε έναν τεράστιο όγκο δεδομένων, ενώ με τις εκστρατείες phishing πρέπει να κλέψουν από τα άτομα ένα προς ένα - αν και αυτές οι επιθέσεις είναι συνήθως αυτοματοποιημένες. Τα κακά νέα είναι ότι το 2021 ήταν έτος ρεκόρ παραβίασης δεδομένων στις ΗΠΑ.

5. Δημόσιο Wi-Fi

Όταν βρίσκεστε έξω, μπορεί να είναι δελεαστικό να σερφάρετε δωρεάν στο διαδίκτυο χρησιμοποιώντας δημόσια Wi-Fi hotspots - σε αεροδρόμια, ξενοδοχεία, καφετέριες και άλλους κοινόχρηστους χώρους. Ακόμη και αν πρέπει να πληρώσετε για να αποκτήσετε πρόσβαση στο δίκτυο, μπορεί να μην είναι ασφαλές αν οι χάκερ έχουν κάνει το ίδιο. Μπορούν να χρησιμοποιήσουν αυτή την πρόσβαση για να κλέψουν τα στοιχεία σας την ώρα που τα πληκτρολογείτε.

Πώς να διατηρείτε τα στοιχεία της πιστωτικής σας κάρτας ασφαλή

Ευτυχώς, υπάρχουν πολλοί τρόποι για να μειώσετε τον κίνδυνο κλοπής των στοιχείων της κάρτας σας. Ο Phil Muncaster από την ESET συνοψίζει κάποια βασικά για αρχή:

• Να είστε σε εγρήγορση: μην απαντάτε ποτέ σε ανεπιθύμητα μηνύματα ηλεκτρονικού ταχυδρομείου, μην κάνετε κλικ σε συνδέσμους και μην ανοίγετε συνημμένα αρχεία. Μπορεί να είναι παγιδευμένα με κακόβουλο λογισμικό. Ή θα μπορούσαν να σας οδηγήσουν σε σελίδες phishing όπου θα σας ενθαρρύνουν να εισαγάγετε τα στοιχεία σας.
• Μην αποκαλύπτετε λεπτομέρειες από το τηλέφωνο, ακόμη και αν ο συνομιλητής σας ακούγεται πειστικός. Ρωτήστε από πού σας καλούν και, στη συνέχεια, καλέστε ξανά αυτόν τον οργανισμό για να το ελέγξετε - και μην χρησιμοποιείτε τους αριθμούς επικοινωνίας που σας δίνουν.
• Μην χρησιμοποιείτε δημόσια δίκτυα Wi-Fi, ιδίως χωρίς τη χρήση εικονικού ιδιωτικού δίκτυού (VPN). Αν χρειαστεί, να χρησιμοποιήσετε δημόσιο δίκτυο Wi-Fi, μην κάνετε τίποτα που απαιτεί την εισαγωγή στοιχείων της κάρτας σας (π.χ. ηλεκτρονικές αγορές).
• Μην αποθηκεύετε τα στοιχεία της κάρτας σας σε ιστοσελίδες διαδικτυακών αγορών ή άλλες ιστοσελίδες, παρόλο που αυτό βοηθά στην εξοικονόμηση χρόνου σε μελλοντικές επισκέψεις. Με τον τρόπο αυτό θα μειωθούν οι πιθανότητες να ληφθούν τα στοιχεία της κάρτας σας, εάν παραβιαστεί η εν λόγω εταιρεία ή εάν υποκλαπεί ο λογαριασμός σας.
• Εγκαταστήστε σε όλους τους φορητούς υπολογιστές και άλλες συσκευές λογισμικό anti-malware, συμπεριλαμβανομένης της προστασίας κατά του phishing, από έναν αξιόπιστο προμηθευτή.
• Χρησιμοποιήστε έλεγχο ταυτότητας δύο παραγόντων σε όλους τους ευαίσθητους λογαριασμούς. Αυτό μειώνει τις πιθανότητες να τους παραβιάσουν οι χάκερ με κλεμμένους κωδικούς πρόσβασης.
• Κατεβάζετε εφαρμογές μόνο από νόμιμα καταστήματα (Apple App Store, Google Play).
• Αν κάνετε αγορές στο διαδίκτυο, κάντε τις μόνο σε ιστοσελίδες με ασφαλή σύνδεση HTTPS (θα πρέπει να εμφανίζεται ένα λουκέτο στη γραμμή διευθύνσεων του προγράμματος περιήγησης δίπλα στη διεύθυνση URL). Έτσι υπάρχει μικρότερη πιθανότητα υποκλοπής δεδομένων.

Τέλος, είναι καλή πρακτική να παρακολουθείτε όλους τους τραπεζικούς λογαριασμούς και τους λογαριασμούς καρτών σας. Εάν εντοπίσετε ύποπτες συναλλαγές, ενημερώστε αμέσως την τράπεζα. Ορισμένες εφαρμογές σας επιτρέπουν πλέον να "παγώσετε" όλες τις δαπάνες σε συγκεκριμένες κάρτες μέχρι να εξακριβώσετε αν υπήρξε παραβίαση της ασφάλειας.

Υπάρχουν πολλοί τρόποι για να πάρουν οι εγκληματίες τα στοιχεία της κάρτας μας, αλλά και πολλά που μπορούμε να κάνουμε για να τους κρατήσουμε σε απόσταση.