Από τις πρώτες μέρες του hacking, υπάρχει μια μορφή επιθέσεων που ονομάζεται social engineering (κοινωνική μηχανική). Σε αυτές τις επιθέσεις, ο hacker συλλέγει φαινομενικά ασήμαντες πληροφορίες για εσένα και στη συνέχεια βρίσκει τρόπους να σε ξεγελάσει, ώστε να του δώσεις ο ίδιος πρόσβαση στα συστήματα και τους λογαριασμούς σου. Κατά τις δεκαετίες του 1980 και του 1990, διάσημοι hackers όπως ο Kevin Mitnick αναζητούσαν τέτοια δεδομένα ακόμα και στα σκουπίδια των εταιρειών (dumpster diving), προκειμένου να βρουν ονόματα συνεργατών, τηλέφωνα, αποδείξεις και εσωτερικές επιστολές.
Αυτού του είδους οι επιθέσεις είναι ακόμα εδώ και, εν αγνοία μας, συνεχίζουμε να παρέχουμε δεδομένα σε όποιον αποφασίσει να μας στοχοποιήσει. Κάποια από αυτά τα δεδομένα βρίσκονται στην απόδειξη του ATM, την οποία οι περισσότεροι πετάμε μόλις ολοκληρωθεί η συναλλαγή μας, τις περισσότερες φορές στο ειδικό καλαθάκι δίπλα στο μηχάνημα, το οποίο ξεχειλίζει από χαρτιά.
Στις αποδείξεις αυτές δεν αναγράφεται προφανώς το PIN μας, ούτε τα πλήρη προσωπικά μας στοιχεία, όμως υπάρχουν πληροφορίες που μπορούν να χρησιμοποιηθούν ως «όπλο» σε μια καλοστημένη απάτη.
Τι αναγράφεται στην απόδειξη του ATM;
Αρχικά, στην απόδειξη αναγράφεται η ακριβής ημερομηνία και ώρα της συναλλαγής. Αν έχουμε κάνει ανάληψη, φαίνεται το ποσό, ενώ αν το ATM ανήκει στην τράπεζά μας, εμφανίζεται και το διαθέσιμο υπόλοιπο του λογαριασμού. Το ίδιο ισχύει και στην περίπτωση που κάνουμε απλή ερώτηση υπολοίπου.
Επιπλέον, μπορεί να μη φαίνεται ολόκληρος ο αριθμός του λογαριασμού ή της κάρτας, αλλά εμφανίζονται τα τελευταία ψηφία, ώστε ο χρήστης να αναγνωρίζει τη συσκευή ή τον λογαριασμό που χρησιμοποίησε. Πρόκειται για δεδομένα που, θεωρητικά, δεν αποκαλύπτουν την ταυτότητά μας ούτε δίνουν απευθείας πρόσβαση στον λογαριασμό μας.
Κάποιος που θα μαζέψει μια απόδειξη από το καλάθι δεν αποκτά αυτόματα πρόσβαση στα χρήματά μας. Όμως…
Μικρά κομμάτια μιας μεγαλύτερης εικόνας
Ένας κακόβουλος που θέλει να μας στοχοποιήσει, παίρνοντας την απόδειξη έχει στα χέρια του τα τελευταία ψηφία του λογαριασμού, την ακριβή ώρα της συναλλαγής και το υπόλοιπο.
Αν μας παρακολουθεί ή αν έχει βρει ήδη ορισμένα βασικά στοιχεία για εμάς (όπως το ονοματεπώνυμό μας ή το κινητό μας τηλέφωνο, κάτι καθόλου δύσκολο στην εποχή των social media και του doxxing), τότε η απόδειξη γίνεται το τελευταίο κομμάτι του puzzle.
Εδώ ξεκινά η απάτη (vishing). Ο απατεώνας σε καλεί στο κινητό και προσποιείται ότι είναι εκπρόσωπος της τράπεζάς σου (το όνομα της οποίας αναγράφεται καθαρά στην απόδειξη). Για να κερδίσει την εμπιστοσύνη σου, σου αναφέρει τα τελευταία ψηφία του λογαριασμού σου και την ακριβή ώρα που έκανες ανάληψη στο ATM, ακριβώς όπως θα έκανε ένας πραγματικός υπάλληλος!
Από εκεί και μετά, μπορεί να επικαλεστεί οτιδήποτε: ότι εντοπίστηκε «ύποπτη συναλλαγή», ότι ο λογαριασμός σου παραβιάστηκε ή ότι πρέπει να κάνεις άμεσα επιβεβαίωση στοιχείων για να μη μπλοκαριστεί η κάρτα σου. Η τεχνική αυτή είναι εξαιρετικά αποτελεσματική, ειδικά σε ηλικιωμένους ή σε ανθρώπους που δεν είναι εξοικειωμένοι με την τεχνολογία.
Έχω πετάξει αποδείξεις στο παρελθόν, πρέπει να φοβάμαι;
Μια απόδειξη από μόνη της δεν μπορεί να σε βάλει σε κίνδυνο αν δεν έχεις στοχοποιηθεί ήδη προσωπικά, καθώς δεν γράφει το όνομά σου. Το πρόβλημα δημιουργείται αν κάποιος σε παρακολουθούσε την ώρα που χρησιμοποιούσες το ATM και στη συνέχεια πήρε τη δική σου συγκεκριμένη απόδειξη.
Δεν χρειάζεται λοιπόν να ακυρώσεις την κάρτα σου αν άφησες μια απόδειξη στο ATM πριν από μέρες. Θα πρέπει όμως να θυμάσαι ορισμένους χρυσούς κανόνες ασφαλείας:
- Κανένας υπάλληλος τράπεζας δε θα σου ζητήσει ποτέ τον πλήρη αριθμό της κάρτας, το PIN ή τον τριψήφιο κωδικό CVV στο πίσω μέρος.
- Ποτέ και κανείς δε θα σου ζητήσει τους κωδικούς πρόσβασης στο e-banking ή τους κωδικούς επιβεβαίωσης μιας χρήσης (OTP) που έρχονται με SMS/Viber.
- Καμία τράπεζα δε στέλνει συνδέσμους (links) μέσω SMS ή email ζητώντας σου να συνδεθείς για να «ξεκλειδώσεις» τον λογαριασμό σου.
Επίσης, η τράπεζα δε θα σε καλέσει στο τηλέφωνο για να σου ζητήσει μεταφορά χρημάτων ή πληρωμή προστίμου. Αν εντοπιστεί πραγματικά ύποπτη δραστηριότητα, η τράπεζα μπλοκάρει προληπτικά την κάρτα ή τις συναλλαγές και ο χρήστης είναι αυτός που πρέπει να καλέσει στο επίσημο τηλεφωνικό κέντρο.
Τι πρέπει να κάνεις με τις αποδείξεις του ATM
Ο μόνος λόγος για να τυπώσεις απόδειξη από το ATM είναι αν τη χρειάζεσαι για το φυσικό σου αρχείο ή ως αποδεικτικό πληρωμής προς τρίτους. Σε κάθε άλλη περίπτωση, μπορείς απλά να βλέπεις το υπόλοιπο στην οθόνη του μηχανήματος και να επιλέγεις «Χωρίς εκτύπωση απόδειξης».
Αν χρειαστεί να τυπώσεις απόδειξη, μην την πετάς στον κάδο δίπλα στο ATM. Πάρτην μαζί σου, σκίσε την ή κατάστρεψέ την όταν δεν τη χρειάζεσαι πια και πέταξε τα κομμάτια σε διαφορετικό κάδο.
Στην εποχή του social engineering και του phishing, όσο περισσότερο προστατεύουμε τα προσωπικά και τραπεζικά μας δεδομένα, τόσο μειώνουμε τις πιθανότητες να πέσουμε θύματα απάτης.
