Ένας 26χρονος άνδρας από το Ιλινόις παραδέχθηκε την ενοχή του σε ομοσπονδιακό δικαστήριο των ΗΠΑ για σειρά επιθέσεων hacking σε λογαριασμούς Snapchat, μέσω των οποίων απέκτησε πρόσβαση σε προσωπικές φωτογραφίες χρηστών. Η υπόθεση αποκαλύπτει για ακόμη μία φορά πόσο επικίνδυνες μπορούν να γίνουν οι επιθέσεις social engineering όταν οι χρήστες δίνουν οι ίδιοι, χωρίς να το γνωρίζουν, τους κωδικούς ασφαλείας τους.
Σύμφωνα με τους εισαγγελείς, ο δράστης χρησιμοποίησε phishing μηνύματα που εμφανίζονταν ως υποστήριξη Snapchat, ζητώντας από τα θύματα να στείλουν τους κωδικούς επαλήθευσης πρόσβασης. Με αυτόν τον τρόπο κατάφερε να συγκεντρώσει στοιχεία σύνδεσης από εκατοντάδες γυναίκες και να αποκτήσει πρόσβαση σε αρκετούς λογαριασμούς.
Οι αρχές αναφέρουν ότι σχεδόν 600 γυναίκες έστειλαν τους κωδικούς ασφαλείας τους, επιτρέποντας στον δράστη να αποκτήσει πρόσβαση σε δεκάδες λογαριασμούς και να κατεβάσει προσωπικές φωτογραφίες, πολλές από τις οποίες ήταν γυμνές ή ημίγυμνες.
Πώς λειτουργούσε ο δράστης και πώς εκμεταλλεύτηκε τα θύματα
Η επίθεση δεν βασίστηκε σε τεχνική παραβίαση των servers της πλατφόρμας, αλλά σε καθαρή εξαπάτηση των χρηστών μέσω social engineering. Ο δράστης έστελνε μηνύματα που έμοιαζαν επίσημα, ζητώντας «επιβεβαίωση λογαριασμού» και ζητώντας τον κωδικό που λάμβαναν οι χρήστες μέσω SMS. Μόλις λάμβανε τον κωδικό, μπορούσε να συνδεθεί κανονικά στον λογαριασμό τους.
Σύμφωνα με τα δικαστικά έγγραφα, ο ίδιος διατηρούσε, πουλούσε ή αντάλλασσε τις φωτογραφίες στο διαδίκτυο, ενώ σε ορισμένες περιπτώσεις διαφήμιζε ακόμη και τις υπηρεσίες hacking σε online forums.
Οι εισαγγελείς αποκάλυψαν επίσης ότι ο hacker είχε προσληφθεί το 2020 από πρώην προπονητή πανεπιστημίου, ο οποίος πλήρωνε μικρά ποσά για να παραβιάζονται λογαριασμοί γυναικών που γνώριζε προσωπικά.
Η υπόθεση δείχνει πόσο εύκολα μπορεί να γίνει μια παραβίαση χωρίς «τεχνικό hack»
Το περιστατικό αποτελεί χαρακτηριστικό παράδειγμα του πόσο επικίνδυνες είναι οι επιθέσεις phishing. Οι περισσότερες σύγχρονες παραβιάσεις δεν ξεκινούν με σπάσιμο συστημάτων ασφαλείας, αλλά με εξαπάτηση των ίδιων των χρηστών ώστε να δώσουν μόνοι τους τα στοιχεία πρόσβασης.
Οι ειδικοί τονίζουν ότι καμία πλατφόρμα — ούτε το Snapchat, ούτε οποιαδήποτε άλλη υπηρεσία — δεν ζητά ποτέ τον κωδικό επαλήθευσης μέσω μηνύματος ή email, και κάθε τέτοιο αίτημα πρέπει να θεωρείται ύποπτο. Η ενεργοποίηση ισχυρών ρυθμίσεων ασφαλείας, η προσοχή σε μηνύματα που φαίνονται «επίσημα» και η αποφυγή κοινοποίησης κωδικών αποτελούν βασικά μέτρα προστασίας.
Ο δράστης δήλωσε ένοχος για τις κατηγορίες που περιλαμβάνουν απάτη μέσω υπολογιστή και κλοπή ταυτότητας, ενώ οι εισαγγελείς αναμένεται να προτείνουν ποινή φυλάκισης περίπου τριών ετών κατά την ανακοίνωση της ποινής του.
Η υπόθεση λειτουργεί ως ακόμη μία υπενθύμιση ότι η μεγαλύτερη αδυναμία στην ψηφιακή ασφάλεια συχνά δεν είναι τα συστήματα, αλλά η ανθρώπινη εμπιστοσύνη σε μηνύματα που φαίνονται αυθεντικά.
Γιατί τέτοιες επιθέσεις αυξάνονται συνεχώς
Οι επιθέσεις social engineering αυξάνονται ραγδαία τα τελευταία χρόνια επειδή είναι φθηνές, εύκολες και συχνά πιο αποτελεσματικές από ένα τεχνικό hack. Οι εγκληματίες δεν χρειάζεται να παραβιάσουν servers ή να εκμεταλλευτούν πολύπλοκα κενά ασφαλείας — αρκεί να πείσουν το θύμα να αποκαλύψει τον κωδικό του.
Καθώς όλο και περισσότερες υπηρεσίες βασίζονται σε SMS verification και προσωρινούς κωδικούς, οι χρήστες πρέπει να είναι ιδιαίτερα προσεκτικοί σε κάθε μήνυμα που ζητά στοιχεία πρόσβασης, ακόμη και αν φαίνεται να προέρχεται από επίσημη υπηρεσία.
