Phishing και language barrier

[Jack Shephard]

Όπως φαίνεται ξεκάθαρα από τον ελληνικότατο τίτλο, θα μιλήσουμε για ψάρεμα. Όπου όμως τα ψάρια δεν είναι οι μαρίδες και οι τσιπούρες αλλά εσύ.

Ο μέσος χρήστης λίγα αντιλαμβάνεται γύρω από την ασφάλεια πληροφοριακών συστημάτων, βασικά το εξής ένα: να έχω antivirus. Που πλέον τα windows έχουν ενσωματωμένο, οπότε ούτε αυτό το σκέφτονται.

Μέχρι σήμερα οι χρήστες στην Ελλάδα ήταν προσταυτευμένοι από επιθέσεις phishing λόγω της γλώσσας και του γεγονότος ότι η μηχανική μετάφραση από ελληνικά στα αγγλικά ήταν μη ακριβής. Έτσι ο καθένας καταλάβαινε ότι το e-mail που ερχόταν από την Εθνική αποκλείεται να ήταν πραγματικά από την Εθνική.

"Δυστυχώς" όμως, τον τελευταίο χρόνο το Google translate έχει βελτιωθεί πολύ. Το παρακάτω εστάλη σήμερα σε πολλές επιχειρήσεις. Δεν υπήρξε κάποια παραβίαση ασφαλείας στην πραγματικότητα, είναι το γνωστό sextortion scam. Το in.gr το έχει σε αυτό το άρθρο: https://www.in.gr/2019/06/18/greece/sex ... prosexete/

Ίσως έβαλα κι εγώ το λιθαράκι μου στην ασφάλεια της ελ κοινωνίας γιατί εγώ το έστειλα το πρωί στη ΔΗΕ όπου τους έλεγα να αξιολογήσουν αν πρέπει να εκδώσουν κάποια ανακοίνωση. Μου απάντησαν με ένα copy paste μήνυμα ότι αν θέλω να διερευνηθεί περαιτέρω να κάνω μήνυση.

Αυτό που έχει σημασία είναι το ελληνικό κείμενο. Έχει λάθη, όπως π.χ. η εναλλαγή πρώτου ενικού και πληθυντικού (και πιο κάτω αλλά πιο εμφανή) αλλά είναι πολύ πιο στρωτό.Κάποιος μη εξοικειωμένος μπορεί να το πιστέψει άνετα. Συν του ότι δε προέρχεται π.χ. από τράπεζα, οπότε δεν έχει ο παραλήπτης τις ίδιες απαιτήσεις ενός επαγγελματικού μηνύματος.

Πολύ φοβάμαι ότι σύντομα διεθνείς εγκληματίες θα στέλνουν και στην Ελλάδα άρτια μηνύματα από πλευράς γλώσσας και εμφάνισης και θα επαφίεται στο χρήστη να εντοπίσει από άλλα σημάδια ότι πρόκειται για απάτη.

Και εδώ η γλώσσα είναι εχθρός μας. Το μήνυμα αυτό πέρασε κάθε antispam/ antiphishing μηχανισμό. Επίσης είναι μαζική επίθεση, ρώτησα και έχει σταλεί σε πολλές εταιρείες.

[wooded glade]

Όπως φαίνεται ξεκάθαρα από τον ελληνικότατο τίτλο, θα μιλήσουμε για ψάρεμα. Όπου όμως τα ψάρια δεν είναι οι μαρίδες και οι τσιπούρες αλλά εσύ.

Ο μέσος χρήστης λίγα αντιλαμβάνεται γύρω από την ασφάλεια πληροφοριακών συστημάτων, βασικά το εξής ένα: να έχω antivirus. Που πλέον τα windows έχουν ενσωματωμένο, οπότε ούτε αυτό το σκέφτονται.

Μέχρι σήμερα οι χρήστες στην Ελλάδα ήταν προσταυτευμένοι από επιθέσεις phishing λόγω της γλώσσας και του γεγονότος ότι η μηχανική μετάφραση από ελληνικά στα αγγλικά ήταν μη ακριβής. Έτσι ο καθένας καταλάβαινε ότι το e-mail που ερχόταν από την Εθνική αποκλείεται να ήταν πραγματικά από την Εθνική.

"Δυστυχώς" όμως, τον τελευταίο χρόνο το Google translate έχει βελτιωθεί πολύ. Το παρακάτω εστάλη σήμερα σε πολλές επιχειρήσεις. Δεν υπήρξε κάποια παραβίαση ασφαλείας στην πραγματικότητα, είναι το γνωστό sextortion scam. Το in.gr το έχει σε αυτό το άρθρο: https://www.in.gr/2019/06/18/greece/sex ... prosexete/

Ίσως έβαλα κι εγώ το λιθαράκι μου στην ασφάλεια της ελ κοινωνίας γιατί εγώ το έστειλα το πρωί στη ΔΗΕ όπου τους έλεγα να αξιολογήσουν αν πρέπει να εκδώσουν κάποια ανακοίνωση. Μου απάντησαν με ένα copy paste μήνυμα ότι αν θέλω να διερευνηθεί περαιτέρω να κάνω μήνυση.

Αυτό που έχει σημασία είναι το ελληνικό κείμενο. Έχει λάθη, όπως π.χ. η εναλλαγή πρώτου ενικού και πληθυντικού (και πιο κάτω αλλά πιο εμφανή) αλλά είναι πολύ πιο στρωτό.Κάποιος μη εξοικειωμένος μπορεί να το πιστέψει άνετα. Συν του ότι δε προέρχεται π.χ. από τράπεζα, οπότε δεν έχει ο παραλήπτης τις ίδιες απαιτήσεις ενός επαγγελματικού μηνύματος.

Πολύ φοβάμαι ότι σύντομα διεθνείς εγκληματίες θα στέλνουν και στην Ελλάδα άρτια μηνύματα από πλευράς γλώσσας και εμφάνισης και θα επαφίεται στο χρήστη να εντοπίσει από άλλα σημάδια ότι πρόκειται για απάτη.

Και εδώ η γλώσσα είναι εχθρός μας. Το μήνυμα αυτό πέρασε κάθε antispam/ antiphishing μηχανισμό. Επίσης είναι μαζική επίθεση, ρώτησα και έχει σταλεί σε πολλές εταιρείες.

Δηλαδή εσένα όποια σε παίρνει και σου λέει "είμαι η Λίζα που σε είδα που ψώνιζες μπρόκολα στο σουπερμάρκετ" σε άπταιστο Ελληνική, την πιστεύεις αμέσως.

[klg]

Όπως φαίνεται ξεκάθαρα από τον ελληνικότατο τίτλο, θα μιλήσουμε για ψάρεμα. Όπου όμως τα ψάρια δεν είναι οι μαρίδες και οι τσιπούρες αλλά εσύ.

Ο μέσος χρήστης λίγα αντιλαμβάνεται γύρω από την ασφάλεια πληροφοριακών συστημάτων, βασικά το εξής ένα: να έχω antivirus. Που πλέον τα windows έχουν ενσωματωμένο, οπότε ούτε αυτό το σκέφτονται.

Μέχρι σήμερα οι χρήστες στην Ελλάδα ήταν προσταυτευμένοι από επιθέσεις phishing λόγω της γλώσσας και του γεγονότος ότι η μηχανική μετάφραση από ελληνικά στα αγγλικά ήταν μη ακριβής. Έτσι ο καθένας καταλάβαινε ότι το e-mail που ερχόταν από την Εθνική αποκλείεται να ήταν πραγματικά από την Εθνική.

"Δυστυχώς" όμως, τον τελευταίο χρόνο το Google translate έχει βελτιωθεί πολύ. Το παρακάτω εστάλη σήμερα σε πολλές επιχειρήσεις. Δεν υπήρξε κάποια παραβίαση ασφαλείας στην πραγματικότητα, είναι το γνωστό sextortion scam. Το in.gr το έχει σε αυτό το άρθρο: https://www.in.gr/2019/06/18/greece/sex ... prosexete/

Ίσως έβαλα κι εγώ το λιθαράκι μου στην ασφάλεια της ελ κοινωνίας γιατί εγώ το έστειλα το πρωί στη ΔΗΕ όπου τους έλεγα να αξιολογήσουν αν πρέπει να εκδώσουν κάποια ανακοίνωση. Μου απάντησαν με ένα copy paste μήνυμα ότι αν θέλω να διερευνηθεί περαιτέρω να κάνω μήνυση.

Αυτό που έχει σημασία είναι το ελληνικό κείμενο. Έχει λάθη, όπως π.χ. η εναλλαγή πρώτου ενικού και πληθυντικού (και πιο κάτω αλλά πιο εμφανή) αλλά είναι πολύ πιο στρωτό.Κάποιος μη εξοικειωμένος μπορεί να το πιστέψει άνετα. Συν του ότι δε προέρχεται π.χ. από τράπεζα, οπότε δεν έχει ο παραλήπτης τις ίδιες απαιτήσεις ενός επαγγελματικού μηνύματος.

Πολύ φοβάμαι ότι σύντομα διεθνείς εγκληματίες θα στέλνουν και στην Ελλάδα άρτια μηνύματα από πλευράς γλώσσας και εμφάνισης και θα επαφίεται στο χρήστη να εντοπίσει από άλλα σημάδια ότι πρόκειται για απάτη.

Και εδώ η γλώσσα είναι εχθρός μας. Το μήνυμα αυτό πέρασε κάθε antispam/ antiphishing μηχανισμό. Επίσης είναι μαζική επίθεση, ρώτησα και έχει σταλεί σε πολλές εταιρείες.

Δηλαδή εσένα όποια σε παίρνει και σου λέει "είμαι η Λίζα που σε είδα που ψώνιζες μπρόκολα στο σουπερμάρκετ" σε άπταιστο Ελληνική, την πιστεύεις αμέσως.

Το βασικό είναι ότι κάνουν spoof το email address του παραλήπτη, που υποθέτω είναι αρκετό μεγάλο red herring για τον μέσο άνθρωπο.

[Jack Shephard]

Το βασικό είναι ότι κάνουν spoof το email address του παραλήπτη, που υποθέτω είναι αρκετό μεγάλο red herring για τον μέσο άνθρωπο.

Υπάρχει μία ακόμα μια εκφοβιστική εκδοχή αυτών των μηνυμάτων: να περιέχουν κάποιο κωδικό υπηρεσίας που χρησιμοποιούσες παλαιότερα ή ακόμα και σήμερα.

Αυτά τα δεδομένα προέρχονται από εκδηλωμένα περιστατικά ασφαλείας και λίστες με credentials που διέρρευσαν σε διάφορες ιστοσελίδες που φιλοξενούν leaked δεδομένα. Αυτό όμως το ξέρουν ελάχιστοι από όσους θα λάβουν ένα τέτοιο μήνυμα.

[pal]

Άμα κανείς είναι τόσο χαζός που πιστεύει σε τέτοια μέηλ ή τα χάνει όταν τα βλέπει, πραγματικά δεν ξέρω τι να πω. Αν είναι ανήλικο, να πάει να το πει στους γονείς του, αλλιώς πάλι δεν ξέρω τι να πω...

[Jack Shephard]

Αυτό είναι μόνο ένα παράδειγμα phishing e-mail που και χάρη στην ακόμα προβληματική χρήση της ελληνικής γλώσσας είναι σχετικά εύκολο να το καταλάβει κάποιος.

Ακόμα κι έτσι, όταν η χρήση της γλώσσας είναι σωστή πολύς κόσμος την πατάει. Ειδικά άπειροι χρήστες που έβλεπαν πορνό στον φορητό τους είναι εύκολο να το πιστέψουν. Πληρώνουν για να αποφύγουν την πιθανότητα να γίνουν ρεζίλι.

Υπάρχουν όμως μηνύματα τόσο sophisticated μηνύματα που ακόμα και έμπειροι χρήστες δεν είναι εύκολο να ξεχωρίσουν. Υπάρχουν π.χ. πολύ πειστικά e-mails δήθεν από την Paypal που σου λένε ότι ο λογαριασμός σου αποκλείστηκε και σου ζητούν επιβεβαιώση προσωπικών στοιχείων και στοιχείων πρόσβασης. Αν την πατήσεις και κάνεις click, οδηγήσε σε μία σελίδα πανομοιότυπη με της Paypal, δίνεις τα στοιχεία σου, στα υποκλέπτουν και σε κάνουν redirect και login με αυτά τα στοιχεία στο πραγματικό site της Paypal. Λαμβάνεις στο e-mail σου και το τυπικό e-mail της Paypal και όλα καλά. Ή έτσι νομίζεις.

Και ένα quiz από τη Google για να δοκιμάσεις τις γνώσεις σου: https://phishingquiz.withgoogle.com/

[pal]

Το θεωρώ εξωφρενικό να στείλει κανείς στοιχεία paypal ή οποιασδήποτε τράπεζας ή του ο,τιδήποτε. Είναι γνωστό σε όλους ότι γενικά, οι σοβαροί οργανισμοί ΠΟΤΕ δε ζητάνε να τους δώσεις τέτοια στοιχεία. Ακόμα πιο εξωφρενικό θεωρώ να μπει κανείς σε μια ιστοσελίδα από λινκ, να βάλει ωραία και καλά τα στοιχεία του και να μην τσεκάρει ότι πρόκειται για τη σωστή ιστοσελίδα (πχ να δει την ip της). Γενικά είναι πολύ κακό να είναι κανείς τόσο ευάλωτος σε τέτοια κόλπα. Είναι είδος αναπηρίας στην εποχή που ζούμε.