Του Δημήτρη – Αινεία Σπηλιώτη
Οκτώβριος 2022
Την Πέμπτη 13 Οκτωβρίου συνδιοργανώθηκε από την European Union Agency for Cybersecurity (ENISA) και την Anti-Phishing Working Group European Foundation (APWG) webinar σχετικό με τις τελευταίες τάσεις, τις τακτικές και τη δουλειά που έχει γίνει για την καταπολέμηση του εγκλήματος στον κυβερνοχώρο.
Σε ένα πρώτο στάδιο οι παρουσιάσεις ξεκίνησαν με γνώμονα τη γνωριμία του κοινού με τους δύο αυτούς οργανισμούς και το έργο το οποίο καθημερινά αντιμετωπίζουν, καθώς και με τον τρόπο που ανταποκρίνονται σε ενδεχόμενες απειλές από απειλές του κυβερνοχώρου. Τέτοιες απειλές μπορεί να αφορούν απειλές συνδεδεμένες με δεδομένα (data leakage, data breach), απειλές σχετικές με τη διαθεσιμότητα και την δυνατότητα των servers και του Internet (DoS, DDoS, Botnets, DNS attacks, etc.), απειλές σχετικές με κακόβουλο λογισμικό (RAT, Trojan, Spyware) αλλά και απειλές σχετικές με την κοινωνική μηχανική (social engineering) όπως το Phishing, το Smishing/Vishing.
Mάλιστα τα πρόσφατα παγκόσμια γεγονότα, όπως η πανδημία Covid-19 και ο πόλεμος στην Ουκρανία επέτειναν τις κυβερνοαπειλές και την ηλεκτρονική κατασκοπία ενώ παρουσιάστηκε σημαντική άνοδος σε απειλές σχετικές με την τροφοδοσία αγαθών (πόλεμος στην Ουκρανία) καθώς και εγκλήματα μέσω του υπολογιστή, μέσω τεχνολογιών work from home (πανδημία).
Μέσα στο 2021 ο Covid-19 και οι καμπάνιες εναντίον του, χρησιμοποιήθηκαν ως ένας από τους κεντρικούς τρόπους για κυβερνοεπιθέσεις μέσω e-mail (omicron phishing), οι οποίες παρότρυναν τον χρήστη να συμμετέχει σε κάποια καμπάνια μέσω συνδέσμου, ο οποίος τελικώς έδινε την δυνατότητα στον κακόβουλο χρήστη να έχει πρόσβαση στα δεδομένα του υπολογιστή. Σήμερα ο πόλεμος στην Ουκρανία έχει πάρει τη θέση αυτή και καμπάνιες εναντίον του χρησιμοποιούνται για τον ίδιο σκοπό.
Κοινή είναι πλέον και η πρακτική να αποστέλλεται από τον χρήστη ένα email που δεν περιέχει κακόβουλο λογισμικό, και όταν απαντήσει ο χρήστης-στόχος να αποστέλλεται το τελικό email που περιέχει το κακόβουλο λογισμικό και ο κακόβουλος χρήστης να έχει τελικώς πρόσβαση στα στοιχεία και δεδομένα που στόχευε.
Εξίσου κοινή είναι και η πρακτική εξαπάτησης μέσω QR-code για την ανακατεύθυνση των χρηστών σε σελίδες με κακόβουλο περιεχόμενο, οι οποίες να έχουν μορφή γνώριμη στο χρήστη, να του ζητάνε να κάνει σύνδεση με τους προσωπικούς του κωδικούς και τελικώς ο κακόβουλος χρήστης να αποκτά πρόσβαση στους οικονομικούς λογαριασμούς του ανυποψίαστου χρήστη-στόχου.
Το Smishing και το Vishing είναι μορφές εξαπάτησης που γίνονται με το κινητό.
Το Smishing αφορά την εξαπάτηση του χρήστη μέσω μηνύματος στο προσωπικό κινητό του χρήστη στόχου, το οποίο περιέχει κακόβουλο λογισμικό.
Το Vishing γίνεται με τηλεφωνική κλήση στο κινητό του χρήστη-στόχου με την οποία ενημερώνουν τον χρήστη ότι υποτιθέμενα ο τραπεζικός τους λογαριασμός έχει πέσει θύμα hacking και τον πείθουν να μεταφέρει τα χρήματά του σε ασφαλή λογαριασμό.
Λύση στα παραπάνω αποτελεί η λεγόμενη multi-factor authentication, η οποία έχει μειώσει αισθητά την δυνατότητα των κακόβουλων χρηστών να έχουν πρόσβαση στα δεδομένα και στοιχεία του ανυποψίαστου χρήστη, καθώς και η εμπιστοσύνη ότι το πρόσωπο το οποίο στέλνει το μήνυμα είναι γνωστό και όχι κάποιος κακόβουλος χρήστης.
Η APWG σημειώνει ότι το δεύτερο τετράμηνο του 2022 παρατηρήθηκαν 1.097.811 phishing-επιθέσεις, που αποτελεί το χειρότερο ρεκόρ που έχει παρατηρήσει ο οργανισμός. Μάλιστα το μέσο ποσό που ζητήθηκε για απάτες σχετικές με τραπεζικούς λογαριασμούς από ανυποψίαστους χρήστες στο ίδιο τετράμηνο ήταν 109.467 δολάρια αυξημένο από τα 91.436 δολάρια που ήταν το πρώτο τετράμηνο του 2022.
Ο Οργανισμός σημείωσε μάλιστα ότι το δεύτερο τετράμηνο του 2022 υπήρξε 47% αύξηση στις απειλές μέσω των social media σε σχέση με το πρώτο τετράμηνο του 2022, ενώ οι τομείς της Υγείας και των επιχειρήσεων μεταφορών υπέφεραν από μεγάλη αύξηση από επιθέσεις ransomware.
Το webinar έκλεισε με δύο φράσεις-motto που πρέπει να αποτελούν οδηγό για τη χρήση του διαδικτύου και των υπηρεσιών του:
- «Think before you Click» και
- «Τhe more urgent the need, the longer you should take to think about it»
