Η Λερναία Ύδρα των τραπεζικών απατών: Έκοψαν τις κλήσεις, ήρθαν τα deepfakes
Την περασμένη εβδομάδα, η Ελληνική Ενωση Τραπεζών (ΕΕΤ) ανακοίνωσε με ανακούφιση πως η απάτη με τη μέθοδο Caller ID Spoofing μηδενίστηκε χάρη σε μέτρα που πήραν από κοινού τράπεζες και εταιρείες τηλεπικοινωνιών, μέσω φραγής εισερχόμενων κλήσεων από το εξωτερικό για τηλεφωνικούς αριθμούς τραπεζών – μελών της ΕΕΤ. Στα τέλη του 2024, υπολογιζόταν ότι στην Ελλάδα γίνονταν κάθε μήνα τέσσερις παραπλανητικές κλήσεις ανά άτομο. Σε άλλες χώρες, όπως η Γαλλία και η Ισπανία, ο αριθμός φτάνει τις 15 κλήσεις.
Ωστόσο, όπως αναφέρουν στα «ΝΕΑ» ειδικοί, οι ηλεκτρονικές απάτες με στόχο τα χρήματα που βρίσκονται στους τραπεζικούς λογαριασμούς μοιάζουν με τη Λερναία Υδρα: μπορεί να κόπηκε ένα κεφάλι, όμως στη θέση του φυτρώνουν νέα. «Οι επιτιθέμενοι είναι πάντα ένα βήμα πιο μπροστά από τους αμυνόμενους», λέει ο Χρήστος Ξενάκης, καθηγητής Κυβερνοασφάλειας στο Τμήμα Ψηφιακών Συστημάτων, Πανεπιστήμιο Πειραιώς (ΠΑΠΕΙ).
Το Caller ID Spoofing είναι μια πολύ συνηθισμένη μορφή απάτης, με την οποία οι επιτήδειοι καλούν στο τηλέφωνο του υποψήφιου θύματος «μασκαρεμένοι» ως άτομα της εμπιστοσύνης του: συγγενικά του πρόσωπα, υπάλληλοι της τράπεζας με την οποία συνεργάζεται ή ακόμα και ο εργοδότης του. Στην οθόνη του υποψήφιου θύματος εμφανίζεται να καλεί κάποιος ασφαλής αριθμός, ενώ στην πραγματικότητα πρόκειται για κλήσεις από ξένη χώρα.
Η Αλεξία Κωνσταντινίδη, αντιπρόεδρος του Τμήματος Κυβερνοασφάλειας και Προστασίας Δεδομένων στην εταιρεία Kroll στο Λονδίνο, εξηγεί: «Πρόκειται για κλασικές επιθέσεις, τις οποίες γνωρίζουμε από παλιά. Ο αριθμός μπορεί να μοιάζει έγκυρος μέσω της μεθόδου SIM swapping: ο εγκληματίας μπορεί να υποκλέψει προσωρινά έναν αριθμό και η κλήση να φαίνεται ότι έρχεται από άλλο τηλέφωνο. Αν πάρεις πίσω τον αριθμό που σε κάλεσε, θα σε συνδέσει με το άτομο που έχει κανονικά αυτόν τον αριθμό, όχι με τον επίδοξο απατεώνα».
Εξέλιξη της απάτης
Η τελευταία διαδεδομένη «πατέντα» στον χώρο των απατών είναι η τεχνολογία κλωνοποίησης φωνής (voice cloning). Η Αλεξία Κωνσταντινίδη λέει: «Συγκεντρώνεις υλικό φωνής από online – και όχι μόνο – πηγές. Με περίπου πέντε λεπτά ηχητικών αρχείων έχεις ένα καλό δείγμα. Στη συνέχεια, το ηχητικό υλικό ανεβαίνει σε πλατφόρμες voice cloning, που δημιουργούν με κώδικα μια φωνή όμοια με αυτή του δείγματος».
«Επειτα, εισάγεις κείμενο (γραπτά ή προφορικά) και ζητείς να αποδοθεί με την κλωνοποιημένη φωνή. Ειδικά η μέθοδος αναπαραγωγής γραπτού κειμένου με την κλωνοποιημένη φωνή εξελίσσεται διαρκώς», συνεχίζει το στέλεχος της Kroll. Επισημαίνει, δε, ότι τα μέτρα προστασίας των πλατφορμών που κάνουν κλωνοποίηση φωνής είναι ελλιπή – αρκεί μονάχα να δηλώσει κανείς ότι έχει τη συγκατάθεση του ατόμου στο οποίο ανήκει το αρχικό δείγμα.
Οπως αναφέρει η Αλεξία Κωνσταντινίδη, τα μοντέλα κλωνοποίησης φωνής δεν λειτουργούν – ακόμη τουλάχιστον – σε ζωντανό χρόνο. Παρατηρούνται δύο συνήθη σενάρια:
- Αποστολή ηχητικού μηνύματος. Ο αποστολέας λέει πως πρόκειται για νέο τηλεφωνικό αριθμό του κοντινού προσώπου και ζητάει χρήματα με την πρόφαση ότι πρέπει να κάνει μια πληρωμή, αφού οι κάρτες ήταν αποθηκευμένες στο προηγούμενο κινητό. Στην Ελλάδα δεν έχει παρατηρηθεί έντονα αυτό ακόμα, αλλά είναι πολύ διαδεδομένο σε άλλες χώρες, π.χ. Ινδία.
- Κλήση σε ζωντανό χρόνο. Σε αυτή την περίπτωση, το πιο σύνηθες είναι να έχει ηχογραφήσει ο επιτήδειος ένα μήνυμα με τη βασική πληροφορία (π.χ. στείλε μου χρήματα) και διάφορες απαντήσεις του καθημερινού λόγου: «ναι», «όχι», «δεν έχω χρόνο να σ’ τα πω πιο αναλυτικά». Αυτά τα ηχητικά παίζουν την ώρα της κλήσης, την οποία ο επιτήδειος προσπαθεί να την κάνει όσο πιο σύντομη γίνεται. Ο Χρήστος Ξενάκης αναφέρει αντίστοιχες περιπτώσεις στην Ελλάδα. «Σε μια συζήτηση, μεγαλομέτοχος πολυεθνικής εταιρείας είχε παραδεχθεί ότι έχει πέσει θύμα τέτοιας απάτης. Του είχε αποσταλεί βίντεο όπου φαινόταν ο γιος του να βρίσκεται σε εκδρομή και του ζητούσε χρήματα για έκτακτη ανάγκη. Ηταν ένα βίντεο deepfake, το οποίο χρησιμοποιούσε την εικόνα και τη φωνή τού γιου τού μεγαλομετόχου», λέει.
Ο Χρήστος Ξενάκης υπογραμμίζει ότι το μοτίβο που χρησιμοποιούν οι επιτήδειοι σε τέτοιου τύπου απάτες είναι συνήθως κοινό: ο επιτήδειος παρουσιάζει ένα πρόβλημα που προκαλεί έντονο άγχος και στρες, τονίζοντας τη σημασία της άμεσης δράσης. Αμέσως μετά, καθησυχάζει το υποψήφιο θύμα λέγοντας πως υπάρχει μια απλή λύση.
Τονίζει, δε, ότι στις περιπτώσεις των απατών που αποσπούν χρήματα από τραπεζικούς λογαριασμούς το θύμα αδυνατεί να ανακτήσει τα χρήματά του. «Ακόμα κι αν καταγγείλεις τέτοια περιστατικά στην τράπεζα, δεν δίνονται οι πληροφορίες που θα μπορούσαν να οδηγήσουν στον δράστη. Επικρατεί ατιμωρησία στην ηλεκτρονική απάτη», λέει.
Απώλειες εκατομμυρίων
Πριν από περίπου ένα έτος, μεγάλη εταιρεία στην Ελλάδα είχε πέσει θύμα απάτης, με αποτέλεσμα την απώλεια αρκετών εκατομμυρίων ευρώ. «Τότε, η παραβίαση της κυβερνοασφάλειας είχε γίνει μέσω κακόβουλου υλικού, που είχε μπει πιθανότατα από e-mail που άνοιξε κάποιος εργαζόμενος, ανοίγοντας την πόρτα για ολόκληρο το ηλεκτρονικό σύστημα της εταιρείας. Οσες εκπαιδεύσεις και να γίνουν στους εργαζόμενους, οι επιτιθέμενοι κάποια στιγμή τα καταφέρνουν. Το κλειδί είναι, όταν πετύχουν, να έχουν ληφθεί μέτρα ασφαλείας έτσι ώστε η επίπτωση να είναι όσο το δυνατόν μικρότερη». Στην περίπτωση της εν λόγω εταιρείας, όμως, κατέρρευσε όλο το σύστημα προμηθειών, υπήρξαν μεγάλες καθυστερήσεις σε παραγγελίες και χάθηκαν πωλήσεις.
Ο καθηγητής του ΠΑΠΕΙ αναφέρει και την περίπτωση μικρομεσαίας επιχείρησης, όπου επιτήδειοι είχαν εισβάλει στις επικοινωνίες του επιχειρηματία με έναν προμηθευτή και στη συνέχεια, προσποιούμενοι τον προμηθευτή, είχαν ζητήσει να γίνουν πληρωμές σε λογαριασμό σε ευρωπαϊκή τράπεζα εκτός Ελλάδας. «Μέσα σε λίγες εβδομάδες, ο επιχειρηματίας είχε χάσει περισσότερα από 300.000 ευρώ, με αποτέλεσμα η εταιρεία να οδηγηθεί σε λουκέτο».
Ευάλωτοι λόγω ΑΙ
«Οι ηλεκτρονικές απάτες εξελίσσονται με καταιγιστικούς ρυθμούς λόγω της ΤΝ», επισημαίνει ο Χρήστος Ξενάκης. «Από τη μια αναπτύσσονται καλύτερα εργαλεία προστασίας με τη χρήση ΤΝ. Από την άλλη όμως τα ίδια εργαλεία έχουν και οι επιτιθέμενοι. Επιπλέον, όλες οι επιχειρήσεις χρησιμοποιούν πλέον την ΤΝ, με αποτέλεσμα να εκτίθενται σε κινδύνους. Τα δεδομένα που δίνει κανείς σε δημόσια προσβάσιμες εφαρμογές ΤΝ μπορούν αρκετά εύκολα να υποκλαπούν. Ακόμα και όταν μια επιχείρηση έχει το δικό της εσωτερικό σύστημα ΤΝ, είναι ευάλωτη», αναφέρει.
«Οι νέου τύπου επιθέσεις στοχεύουν είτε στην άντληση δεδομένων από πλατφόρμες ΤΝ είτε στη χειραγώγηση μιας εφαρμογής ΤΝ ώστε να δίνει συγκεκριμένα αποτελέσματα, διαφορετικά από αυτά που θα έπρεπε να δώσει βάσει του αρχικού της σχεδιασμού. Για παράδειγμα, αν μια τράπεζα έχει μια εφαρμογή ΤΝ που καθορίζει τη χορήγηση χρηματοδοτήσεων σε επιχειρήσεις και ιδιώτες, επιτήδειοι θα μπορούσαν να τη χειραγωγήσουν ώστε να δίνει θετικές ή αρνητικές εισηγήσεις, εκθέτοντας την τράπεζα σε κινδύνους».