Έλεγξε τις συνδέσεις σου, όχι μόνο τον κωδικό

Οι περισσότεροι από εμάς αντιλαμβανόμαστε την κατάληψη ενός λογαριασμού ως κάτι που συμβαίνει όταν κάποιος μαντεύει ή κλέβει έναν κωδικό πρόσβασης. Όμως ένα μοτίβο που εμφανίζεται σε αρκετά πρόσφατα περιστατικά λειτουργεί διαφορετικά: ο επιτιθέμενος δεν αγγίζει ποτέ τον κωδικό πρόσβασής σας. Αντί γι’ αυτό, σας κάνει να του παραδώσετε κάτι που λειτουργεί σαν εφεδρικό κλειδί για έναν λογαριασμό στον οποίο έχετε ήδη συνδεθεί — μια συνδεδεμένη συσκευή, ένα διακριτικό εξουσιοδότησης, μια περίοδο σύνδεσης — και περνάει κατευθείαν δίπλα από τις δικλίδες ασφαλείας στις οποίες κανονικά θα βασιζόσασταν.

Δύο παραδείγματα κάνουν τον μηχανισμό πιο σαφή. Ερευνητές ασφαλείας περιέγραψαν πρόσφατα μια απάτη στο WhatsApp που εξαπλώνεται από ήδη παραβιασμένους λογαριασμούς, όπου ένα μήνυμα σας ζητά να «ψηφίσετε» έναν φίλο σε έναν διαγωνισμό. Σας οδηγεί σε μια σελίδα που μιμείται τη διαδικασία «συνδεδεμένης συσκευής» του WhatsApp ή σας λέει να πληκτρολογήσετε έναν κωδικό στο μενού συνδεδεμένων συσκευών σας. Η ολοκλήρωση αυτής της διαδικασίας προσθέτει το τηλέφωνο του επιτιθέμενου ως δεύτερη, πλήρως εξουσιοδοτημένη συσκευή στον λογαριασμό σας — με πλήρη πρόσβαση ανάγνωσης και αποστολής — χωρίς να χρειαστεί ποτέ να εισαγάγει κωδικό πρόσβασης. Επειδή δεν χρησιμοποιήθηκε κανένας κωδικός πρόσβασης, δεν λαμβάνετε email επαναφοράς κωδικού ούτε ειδοποίηση αποτυχημένης σύνδεσης. Η κακόβουλη περίοδος σύνδεσης παραμένει απλώς αθόρυβα στη λίστα συσκευών σας ως μία ακόμη καταχώριση.

Ξεχωριστά, η Microsoft έχει προειδοποιήσει για μια εκστρατεία που καταχράται τις πύλες υποδοχής Wi‑Fi ξενοδοχείων και συνεδρίων — τη σελίδα «συμφωνώ με τους όρους» που βλέπετε όταν συνδέεστε. Οι επιτιθέμενοι, παρεμβαλλόμενοι στη διαδρομή του δικτύου, ανακατευθύνουν τα θύματα σε πλαστές σελίδες σύνδεσης ή πλαστικά μηνύματα «κωδικού συσκευής» τα οποία, μόλις ολοκληρωθούν, παραδίδουν διακριτικά εξουσιοδότησης αντί για κωδικούς πρόσβασης. Το αποτέλεσμα είναι το ίδιο: μια περίοδος σύνδεσης που φαίνεται νόμιμη στην υπηρεσία, επειδή τεχνικά είναι — απλώς πλέον ανήκει σε κάποιον άλλον.

Γιατί οι συνήθεις άμυνές σας δεν το εντοπίζουν

Ένας διαχειριστής κωδικών προστατεύει τον κωδικό πρόσβασης. Ο έλεγχος ταυτότητας δύο παραγόντων προστατεύει τη στιγμή που συνδέεστε. Κανένα από τα δύο δεν παρακολουθεί τι συμβαίνει μετά την εξουσιοδότηση μιας περιόδου σύνδεσης ή συσκευής, που είναι ακριβώς το κενό για το οποίο έχουν σχεδιαστεί αυτές οι επιθέσεις. Ο μόνος αξιόπιστος τρόπος να εντοπίσετε αυτή την κατηγορία παραβίασης είναι να ελέγχετε περιοδικά, χειροκίνητα, ποιες συσκευές και εφαρμογές έχουν επί του παρόντος μόνιμη πρόσβαση στους λογαριασμούς σας — όχι να περιμένετε μια ειδοποίηση που αυτές οι επιθέσεις έχουν σχεδιαστεί ειδικά να μην ενεργοποιούν.

Ο έλεγχος περιόδων σύνδεσης των 15 λεπτών

Κάντε το για τους λογαριασμούς που έχουν τη μεγαλύτερη σημασία (email, WhatsApp/Telegram, τραπεζικές υπηρεσίες και οτιδήποτε συνδέεται με την ταυτότητα ή τα χρήματά σας) και ορίστε μια επαναλαμβανόμενη υπενθύμιση για να το επαναλάβετε. Καθώς οι ονομασίες των μενού αλλάζουν με τον καιρό, αναζητήστε διατυπώσεις όπως «συσκευές», «περίοδοι σύνδεσης» ή «συνδεδεμένες εφαρμογές»:

• WhatsApp: Ρυθμίσεις → Συνδεδεμένες συσκευές. Πατήστε οποιαδήποτε συσκευή δεν αναγνωρίζετε και αποσυνδέστε την αμέσως.
• Google: myaccount.google.com/security → «Οι συσκευές σας» και, ξεχωριστά, «Εφαρμογές και υπηρεσίες τρίτων» (μερικές φορές αναγράφεται ως «Σύνδεση με Google»). Ανακαλέστε την πρόσβαση για οτιδήποτε δεν χρησιμοποιείτε ενεργά.
• Λογαριασμός Microsoft: account.microsoft.com/devices για τη λίστα συσκευών· account.microsoft.com/activity για το ιστορικό συνδέσεων.
• Apple ID: Οι Ρυθμίσεις → [το όνομά σας] σε iPhone/iPad ή οι Ρυθμίσεις συστήματος σε Mac εμφανίζουν κάθε συσκευή που είναι συνδεδεμένη στο Apple ID σας.
• Facebook/Instagram (Meta): Ρυθμίσεις → Κέντρο λογαριασμών → Κωδικός πρόσβασης και ασφάλεια → Πού είστε συνδεδεμένοι.
• Τραπεζικές και χρηματοοικονομικές εφαρμογές: οι περισσότερες διαθέτουν οθόνη «διαχείριση συσκευών» ή «ενεργές περίοδοι σύνδεσης» στις ρυθμίσεις ασφαλείας, αν και η διατύπωση διαφέρει ανά ίδρυμα — ελέγξτε τη δική σας τώρα, ώστε να γνωρίζετε πού βρίσκεται προτού τη χρειαστείτε.

Ενώ βρίσκεστε σε αυτά τα μενού, ρίξτε επίσης μια ματιά σε οποιαδήποτε λίστα «συνδεδεμένων εφαρμογών» ή παραχωρήσεων OAuth — παλιές εφαρμογές και επεκτάσεις προγράμματος περιήγησης που εξουσιοδοτήσατε πριν από χρόνια και ξεχάσατε είναι ακριβώς το είδος μόνιμης πρόσβασης που αυτή η κατηγορία επιθέσεων προσπαθεί να δημιουργήσει από την αρχή.

Αν βρείτε κάτι που δεν αναγνωρίζετε

Αφαιρέστε ή αποσυνδέστε πρώτα την άγνωστη συσκευή ή εφαρμογή — μην περιμένετε. Στη συνέχεια, παρότι ο επιτιθέμενος μπορεί να μην χρειάστηκε τον κωδικό πρόσβασής σας, αλλάξτε τον ούτως ή άλλως ως πρόσθετο μέτρο ασφαλείας και ενεργοποιήστε ξανά τον έλεγχο ταυτότητας δύο παραγόντων, αν είχε απενεργοποιηθεί (ορισμένες καταλήψεις λογαριασμών τον απενεργοποιούν για να διευκολύνουν την επανείσοδο). Ελέγξτε για οτιδήποτε μπορεί να ρύθμισε ο επιτιθέμενος ώστε να διατηρήσει την πρόσβαση, όπως νέους κανόνες προώθησης στο email, νέους αριθμούς τηλεφώνου ή διευθύνσεις email ανάκτησης ή νέες συσκευές που προστέθηκαν αλλού — μια παραβιασμένη περίοδος σύνδεσης χρησιμοποιείται συχνά για να εγκατασταθεί ένα δεύτερο σημείο πρόσβασης προτού ανακαλυφθεί το πρώτο. Τέλος, αν ο παραβιασμένος λογαριασμός είναι ένας λογαριασμός τον οποίο εμπιστεύονται οι επαφές σας (όπως το WhatsApp), ενημερώστε τους ότι μηνύματα που στάλθηκαν πρόσφατα από εσάς — ιδίως όσα ζητούν χρήματα, ψήφους ή κωδικούς — μπορεί να μην προέρχονταν από εσάς.

Μια παγίδα ειδικά για ταξίδια που αξίζει να επισημανθεί

Αν συνδέεστε σε Wi‑Fi ξενοδοχείου, αεροδρομίου ή συνεδρίου και η σελίδα της πύλης υποδοχής σάς ζητά να «συνδεθείτε» σε Microsoft, Google ή παρόμοιο λογαριασμό ή σας εμφανίζει έναν κωδικό συσκευής για εισαγωγή, θεωρήστε το ύποπτο εξαρχής — το νόμιμο Wi‑Fi ξενοδοχείων σχεδόν ποτέ δεν χρειάζεται να πιστοποιήσετε έναν προσωπικό λογαριασμό cloud για να συνδεθείτε στο διαδίκτυο. Κλείστε το πρόγραμμα περιήγησης, συνδεθείτε μέσω του hotspot κινητής τηλεφωνίας του τηλεφώνου σας ή μέσω VPN και, αν πρέπει να χρησιμοποιήσετε το Wi‑Fi του ξενοδοχείου, αποφύγετε εντελώς να συνδεθείτε σε οτιδήποτε ευαίσθητο μέσω αυτού.

Ένα ακόμη μικρό αλλά σημαντικό σημείο, αν γράφετε ή δημοσιεύετε κώδικα

Η ίδια λογική «δεν είναι ο κωδικός πρόσβασής σου, είναι η περίοδος σύνδεσης/το διακριτικό σου» ισχύει και για τα διαπιστευτήρια προγραμματιστών. Ένα πρόσφατο περιστατικό στην αλυσίδα εφοδιασμού, που αφορούσε ένα μολυσμένο πακέτο npm, παρακολουθούσε ειδικά την αλλαγή διαπιστευτηρίων και μπορούσε να ενεργοποιηθεί από αυτήν — πράγμα που σημαίνει ότι η ενστικτώδης πρώτη κίνηση (η αλλαγή των διακριτικών σας) ήταν, σε εκείνη την περίπτωση, η λάθος πρώτη κίνηση. Αν υποψιαστείτε ποτέ ότι ένα διαπιστευτήριο build ή CI έχει εκτεθεί, ελέγξτε πρώτα τι έκανε στην πράξη το παραβιασμένο πακέτο προτού αλλάξετε οτιδήποτε, αντί να υποθέσετε ότι η αλλαγή από μόνη της κλείνει την πόρτα.

Βάλτε το στο ημερολόγιο

Τίποτα από όλα αυτά δεν είναι λύση που γίνεται μία φορά — είναι συνήθεια, όπως συνήθεια είναι να ελέγχετε την τραπεζική σας κατάσταση. Επιλέξτε μια επαναλαμβανόμενη ημερομηνία (η πρώτη του μήνα λειτουργεί καλά) και ελέγξτε τις παραπάνω λίστες συσκευών/περιόδων σύνδεσης. Είναι ένας έλεγχος δεκαπέντε λεπτών που εντοπίζει ακριβώς το είδος αθόρυβης κατάληψης χωρίς κωδικό πρόσβασης που όλα τα υπόλοιπα μέτρα ασφαλείας σας είναι σχεδιασμένα να μην εντοπίζουν.