Λήψη μέτρων και συστάσεις στους καταναλωτές για τηλεφωνικές κλήσεις απάτης με μέθοδο «Caller ID Spoofing»

[nnn]

Δελτίο Τύπου:
Η ΕΕΤΤ έχει γίνει, το τελευταίο χρονικό διάστημα, αποδέκτης πληθώρας αναφορών από συνδρομητές και παρόχους για κακόβουλες τηλεφωνικές κλήσεις, που στοχεύουν στην εξαπάτηση των καλούμενων με τη μέθοδο «Caller ID Spoofing». Για τον λόγο αυτόν, κατόπιν συνεργασίας με την Ένωση Εταιρειών Κινητής Τηλεφωνίας και την Ελληνική Ένωση Τραπεζών, κάλεσε τους τηλεπικοινωνιακούς παρόχους να προβούν σε άμεση φραγή εισερχομένων κλήσεων από το εξωτερικό, όταν αυτές φέρουν ως αριθμό καλούντα συγκεκριμένους γνωστούς τηλεφωνικούς αριθμούς τραπεζικών οργανισμών. Στη σύσταση της ΕΕΤΤ έχει ήδη ανταποκριθεί η πλειονότητα των παρόχων, εφαρμόζοντας σχετική φραγή.

Επισημαίνεται ότι, με τη μέθοδο «Caller ID Spoofing» και τη χρήση προηγμένων τεχνολογικών μέσων, επιτήδειοι πραγματοποιούν τηλεφωνικές κλήσεις, στις οποίες εμφανίζονται ψευδώς ως αριθμοί του καλούντα, γνωστοί αριθμοί τραπεζικών οργανισμών ή κυβερνητικών φορέων, όπως επίσης και άγνωστοι αλλά αληθοφανείς αριθμοί. Η μέθοδος αυτή έχει ως σκοπό την εξαπάτηση των καταναλωτών, καθώς τρίτα πρόσωπα, χωρίς καμία σχέση με τον αριθμό που εμφανίζεται στην αναγνώριση κλήσης, υποδύονται υπαλλήλους των οργανισμών/εταιριών, προσπαθώντας να αποσπάσουν ευαίσθητα προσωπικά στοιχεία που ενδέχεται να χρησιμοποιηθούν για την εκτέλεση παράνομων συναλλαγών.

Ως εκ τούτου, η ΕΕΤΤ εφιστά την προσοχή των καταναλωτών, ώστε να παραμένουν σε εγρήγορση, όταν λαμβάνουν κλήσεις από αριθμούς που αποδίδονται σε οργανισμούς ή από αριθμούς που δεν αναγνωρίζουν ή τους φαίνονται ύποπτοι. Ειδικότερα, η ΕΕΤΤ συνιστά στους καταναλωτές:

• Να διακόπτουν άμεσα την κλήση και να καλούν τον οργανισμό, από τον οποίο υποτίθεται ότι προέρχεται η κλήση, για να την επιβεβαιώσουν.
• Να μην δίνουν ποτέ και σε κανέναν ευαίσθητα προσωπικά ή τραπεζικά στοιχεία (π.χ username, κωδικούς χρήσης, αριθμούς καρτών, PIN, OTPs, κ.λπ.), γιατί δεν θα τους ζητηθεί για κανέναν λόγο να αποκαλύψουν τέτοια στοιχεία κατά τη διάρκεια μίας γνήσιας επικοινωνίας με έναν οργανισμό ή Τράπεζα.
• Να προβαίνουν άμεσα σε αναφορά/καταγγελία της κλήσης απάτης στην Αστυνομία.
• Να ενημερώνουν το συγγενικό και φιλικό τους περιβάλλον, όταν υποψιάζονται ότι έχουν δεχθεί κλήση απάτης ή ακόμα και να το κοινοποιούν στα μέσα κοινωνικής δικτύωσης, συμβάλλοντας στην πληροφόρηση του ευρέος κοινού και την προστασία του από ανάλογα περιστατικά απάτης.

Στο πλαίσιο των αρμοδιοτήτων της για την προστασία των καταναλωτών, η ΕΕΤΤ θα συνεχίσει να εξετάζει τη λήψη και νέων μέτρων για την αποτελεσματικότερη αντιμετώπιση των κακόβουλων κλήσεων απάτης, λαμβάνοντας υπόψη τη διεθνή εμπειρία, δεδομένου ότι το εν λόγω θέμα εξαπάτησης με τη μέθοδο «Caller ID Spoofing» έχει λάβει παγκόσμιες διαστάσεις.

[Kostinos]

Θα πρέπει να υπάρχουν επίσημα νούμερα κάτι σαν πχ ΟΣΕ ή ΟΤΕ αλλά για αριθμούς πχ 210******* η 13*** κι αυτό να εμφανίζεται με το αντίστοιχο όνομα της εταιρείας.
Πλέον με χρήση AI είναι ακόμα πιο εύκολο να υπάρξουν απάτες.

[Chingachgook]

Αν για παράδειγμα, έχω μια επαφή Χ, με αριθμό 6912345690 (προφανώς τυχαίος), αν με καλέσει κάποιος που χρησιμοποιεί spoofing, και τύχει ο αριθμός spoofing να είναι ο ίδιος με την επαφή μου Χ, το κινητό θα δείξει ότι με καλεί ο Χ, ή ο αριθμός 6912345690;

Γιατί αν ισχύει το 1ο σενάριο, είναι αδύνατο να μην απαντήσεις την κλήση.

[ChriZ]

To να απαντήσεις είναι το ένα κομμάτι.
Το να εξαπατηθείς και να κανεις αυτό που σου λένε είναι κάτι άλλο.

[Chingachgook]

To να απαντήσεις είναι το ένα κομμάτι.
Το να εξαπατηθείς και να κανεις αυτό που σου λένε είναι κάτι άλλο.

Σαφώς - αυξάνονται δυστυχώς οι πιθανότητες να την πατήσεις αν ο αριθμός φαίνεται legit

[tiatrou]

Αν για παράδειγμα, έχω μια επαφή Χ, με αριθμό 6912345690 (προφανώς τυχαίος), αν με καλέσει κάποιος που χρησιμοποιεί spoofing, και τύχει ο αριθμός spoofing να είναι ο ίδιος με την επαφή μου Χ, το κινητό θα δείξει ότι με καλεί ο Χ, ή ο αριθμός 6912345690;

Γιατί αν ισχύει το 1ο σενάριο, είναι αδύνατο να μην απαντήσεις την κλήση.

Προφανώς το 1ο σενάριο, καθώς το κινητό δε θα μπορέσει να καταλάβει ότι δεν είναι ο χρήστης που έχεις στις επαφές, αφού το νούμερο θα συμπίπτει.

- - - Updated - - -

To να απαντήσεις είναι το ένα κομμάτι.
Το να εξαπατηθείς και να κανεις αυτό που σου λένε είναι κάτι άλλο.

Ακριβώς. Ακόμα και 100% σίγουρος να είσαι ότι σε καλεί η τράπεζα, γιατί να σου ζητάει το pin της κάρτας σου, όταν ακόμα και για την έκδοσή της, δε στο λέει υπάλληλος, αλλά δίνεται ή έρχεται ταχυδρομικώς σε σένα, σε κλειστό φάκελο. Για το OTP, τι να πω;

[tsigarid]

Για μένα είναι πολύ απλό. Πρακτικά κανείς δε με παίρνει τηλέφωνο, οπότε κάθε κλήση είναι εκ προοιμίου ανεπιθύμητη

[BlueChris]

Με τις βλακείες που κάνουν θα μου κόψουν την CallingCredit όπως το πάνε και θα τους πάρει ο διάολος.....

[Verde]

Προφανώς το 1ο σενάριο, καθώς το κινητό δε θα μπορέσει να καταλάβει ότι δεν είναι ο χρήστης που έχεις στις επαφές, αφού το νούμερο θα συμπίπτει.

- - - Updated - - -



Ακριβώς. Ακόμα και 100% σίγουρος να είσαι ότι σε καλεί η τράπεζα, γιατί να σου ζητάει το pin της κάρτας σου, όταν ακόμα και για την έκδοσή της, δε στο λέει υπάλληλος, αλλά δίνεται ή έρχεται ταχυδρομικώς σε σένα, σε κλειστό φάκελο. Για το OTP, τι να πω;

Η απαραδεκτη ALPHA bank στο Phone banking για ταυτοποιηση πελάτη σου ζητάει να πεις στον κάθε άσχετο πιτσιρικα του call center κάποια ψηφία από το password του web banking.
Φυσικά δεν τους τα έδωσα ποτε πήρα κι έκανα παράπονα στον personal banker και αναγκάστηκε να με εξυπηρετήσει.

[netblues]

Ναι, αλλα δεν σε καλει το phone banking. Και γενικότερα, αν εισαι τοσο paranoid, αλλαξε password μετά. Εξαλλου το web banking ειναι πισω απο mfa, τι θα τα κανει τα ψηφια αυτός που σηκώνει το τηλεφωνο?

[Chingachgook]

Έχω καλέσει την τηλεφωνική εξυπηρέτηση της Άλφα πρόσφατα, 1-2 φορές, για πιο συγκεκριμένα ζητήματα από μια απλή ενημέρωση, και δεν μου ζήτησαν κάτι από το password (το οποίο αφενός δε θα έδινα, αφετέρου θα τους το έκανα θέμα, αν μου το ζητούσαν...)

[acct]

Η απαραδεκτη ALPHA bank στο Phone banking για ταυτοποιηση πελάτη σου ζητάει να πεις στον κάθε άσχετο πιτσιρικα του call center κάποια ψηφία από το password του web banking.
Φυσικά δεν τους τα έδωσα ποτε πήρα κι έκανα παράπονα στον personal banker και αναγκάστηκε να με εξυπηρετήσει.

Κάποια ψηφία από το password;

Και πώς τα διασταυρώνουν; Hashed δεν το έχουν αποθηκευμένο; Να ζητήσουν ψηφία από μία πιστωτική ή χρεωστική κάρτα που έχεις στην κατοχή σου, να το καταλάβω. Αλλά από τον κρυπτογραφημένο κωδικό;

[BlueChris]

Κάποια ψηφία από το password;

Και πώς τα διασταυρώνουν; Hashed δεν το έχουν αποθηκευμένο; Να ζητήσουν ψηφία από μία πιστωτική ή χρεωστική κάρτα που έχεις στην κατοχή σου, να το καταλάβω. Αλλά από τον κρυπτογραφημένο κωδικό;

Τους το βγάζει το σύστημα χωρίς να βλέπουν όλο το password, ζητούν από τον πελάτη τα 2-3 ψηφία, τα περνάνε εκεί και εφόσον τους πει ΟΚ προχωράνε. Δεν κατάλαβα τι πρόβλημα υπάρχει. Πως αλλιώς θα υπήρχε δλδ κάποιου τύπου ισχυρή ασφάλεια?
Επίσης αυτό είναι μόνο για το PhoneBanking... να πάρεις τηλέφωνο δηλαδή και να σου κάνουν κίνηση αυτοί Online... σε απλές πληροφορίες που παίρνουμε όλοι ή προβλήματα με κάρτες κλπ, σου ζητάνε το PIn του webbanking.
Αυτά θυμάμαι εγώ... αν θυμάμαι λάθος διορθώστε με.

[Chingachgook]

Άλλο το pin του εκάστοτε phone banking. Ακομη και σε περίπτωση που υπάλληλος το μάθει όλο, ο μόνος τρόπος να κάνει συναλλαγή είναι μέσω του συστήματος (που θα φανεί ότι την συναλλαγή την έκανε υπάλληλος, χωρίς να υπάρχει κλήση, ή αν πάρει απο έξω ο υπάλληλος και ισχυριστεί ότι είναι ο πελάτης).
Με το web pass όμως, αν μανιπιουλάρεις το σύστημα και μάθεις όλο το password (το ανοίγεις μια, σου ζητάει 1ο και 5ο, ξανα-ανοίγεις, σου ζητάει 2ο και 6ο κτλ), μπαίνεις από όπου θέλεις, και αντε να αποδείξεις ότι δεν έκανες εσύ την συναλλαγή.

[acct]

Τους το βγάζει το σύστημα χωρίς να βλέπουν όλο το password, ζητούν από τον πελάτη τα 2-3 ψηφία, τα περνάνε εκεί και εφόσον τους πει ΟΚ προχωράνε. Δεν κατάλαβα τι πρόβλημα υπάρχει. Πως αλλιώς θα υπήρχε δλδ κάποιου τύπου ισχυρή ασφάλεια?

Επιμένω ότι είναι πρόβλημα το "σύστημα" να έχει αποθηκευμένα ψηφία του κωδικού χωρίς κρυπτογράφηση. Αυτό σημαίνει ότι κάπου υπάρχει τουλάχιστον μέρος του κωδικού unhashed, που είναι κακή πρακτική, γιατί μειώνει το δυνητικό bit length που πρέπει να παραβιαστεί από έναν επιτιθέμενο.

Τα τυχαία ψηφία μιας κάρτας (άλλης από εκείνη για την οποία ενδεχομένως ζητείται κάποια συναλλαγή) είναι καλύτερη λύση.