Χτυπάει το τηλέφωνο και στην οθόνη γράφει καθαρά το όνομα της τράπεζάς σου. Απαντάς χωρίς δεύτερη σκέψη - γιατί να μην το κάνεις; Ακριβώς πάνω σε αυτό το αντανακλαστικό στήνεται όλη η απάτη.
Ο αριθμός που βλέπεις στην οθόνη δεν είναι απόδειξη ποιος σε καλεί. Είναι μια ετικέτα που ο καλών διάλεξε μόνος του. Σκέψου τον σαν τη διεύθυνση αποστολέα πάνω σε έναν φάκελο: ο καθένας γράφει ό,τι θέλει εκεί, και το ταχυδρομείο δεν το ελέγχει. Αυτή η μία διαπίστωση αλλάζει τα πάντα - και μας φέρνει στη θέση αυτού του άρθρου: μην προσπαθείς να «αναγνωρίσεις» το spoofing, γιατί δεν γίνεται αξιόπιστα. Άλλαξε αντ' αυτού τη συνήθεια που το κάνει να δουλεύει.
Τι είναι το spoofing αριθμού τηλεφώνου
Το caller ID spoofing είναι η τεχνική με την οποία ο καλών αλλάζει τεχνητά τον αριθμό που εμφανίζεται στη συσκευή σου. Αντί για τον πραγματικό του αριθμό, εμφανίζεται όποιος τον συμφέρει - ο αριθμός εξυπηρέτησης μιας τράπεζας, ένας αριθμός δημόσιας υπηρεσίας, ακόμη και της αστυνομίας.
Η τεχνολογία δεν είναι καινούρια. Ξεκίνησε νόμιμα, ώστε μια εταιρεία να εμφανίζει έναν κεντρικό αριθμό αντί των εσωτερικών της. Το ίδιο εργαλείο πέρασε στα χέρια εγκληματικών οργανώσεων, που το χρησιμοποιούν βιομηχανικά.
Πώς λειτουργεί στην πράξη
Η κλήση φεύγει μέσω VoIP - φωνή πάνω από το διαδίκτυο, όχι από το κλασικό τηλεφωνικό δίκτυο. Οι υπηρεσίες VoIP αφήνουν τον καλούντα να ορίσει χειροκίνητα ποιος αριθμός θα εμφανιστεί ως Caller ID. Το κόστος για τον απατεώνα είναι μηδαμινό, το αποτέλεσμα εντυπωσιακό: ο αριθμός μιας μεγάλης τράπεζας ανάβει στην οθόνη σου.
Γιατί περνάει; Γιατί το διεθνές σύστημα σηματοδοσίας SS7 δεν επαληθεύει αν ο αριθμός που αναγγέλλεται ταιριάζει με αυτόν που όντως κάνει την κλήση. Είναι δομική αδυναμία, όχι μεμονωμένο κενό - και γι' αυτό δεν διορθώνεται με μια ρύθμιση στο κινητό σου.
| Χαρακτηριστικό | Πραγματική κλήση από τράπεζα | Spoofed κλήση απατεώνα |
|---|---|---|
| Αριθμός στην οθόνη | Επίσημος αριθμός τράπεζας | Επίσημος αριθμός τράπεζας (ψεύτικο) |
| Τι σου ζητούν | Επιβεβαίωση ταυτότητας, ενημέρωση | PIN, OTP, αριθμό κάρτας, μεταφορά |
| Τόνος συνομιλίας | Ψύχραιμος, δίνει χρόνο | Επείγων, πιέζει για άμεση ενέργεια |
| Αν κλείσεις | Μπορείς να ξανακαλέσεις εσύ | Πιέζουν να μην κλείσεις ή ξανακαλούν αμέσως |
| Επαλήθευση | Δεν σου ζητά ποτέ κωδικό OTP | Δεν μπορεί να επαληθεύσει την ταυτότητά του |
Ο μόνος έλεγχος που δουλεύει πάντα
Θα βρεις παντού λίστες με «σημάδια spoofing». Είναι χρήσιμες, αλλά κρύβουν μια παγίδα: σε κάνουν να νομίζεις ότι, αν προσέξεις αρκετά, θα ξεχωρίσεις την ψεύτικη κλήση. Η αλήθεια είναι ότι μια καλοστημένη spoofed κλήση δεν ξεχωρίζει από τη γνήσια - γι' αυτό λειτουργεί.
Η γνώμη μας, λοιπόν, είναι να μην ποντάρεις στην αναγνώριση. Ποντάρεις σε έναν κανόνα που δεν χρειάζεται καμία κρίση: κλείνεις και καλείς εσύ. Όποιος κι αν λέει ότι είναι, όποιος αριθμός κι αν φαίνεται, κλείνεις την κλήση και παίρνεις τον επίσημο αριθμό από την πίσω όψη της κάρτας σου ή από το site που πληκτρολογείς μόνος σου. Ο γνήσιος υπάλληλος δεν θα θιχτεί· ο απατεώνας δεν μπορεί να σε ακολουθήσει σε αυτόν τον αριθμό.
Τα υπόλοιπα - φίλτρα παρόχου, STIR/SHAKEN, εφαρμογές - βοηθούν, αλλά έρχονται δεύτερα. Κανένα δεν σου δίνει την εγγύηση που δίνει η επανάκληση που ξεκινάς εσύ.
Κλασικά σενάρια spoofing στην Ελλάδα
Οι απατεώνες δεν αυτοσχεδιάζουν. Δουλεύουν με τυποποιημένα σενάρια:
- «Ύποπτη συναλλαγή στον λογαριασμό σου». Ζητούν κωδικό ή OTP για να την «ακυρώσουν». Καμία τράπεζα δεν ζητά ποτέ τέτοιον κωδικό τηλεφωνικά - ο κωδικός εγκρίνει, δεν ακυρώνει.
- «Είμαι από δημόσια υπηρεσία». Ανακοινώνουν οφειλή ή πρόβλημα με παροχές και ζητούν στοιχεία ή πληρωμή. Οι υπηρεσίες επικοινωνούν γραπτά για ευαίσθητα θέματα.
- «Είμαι αστυνομικός, ο δικός σου εμπλέκεται σε ατύχημα». Spoofing με αριθμό αστυνομίας, στοχεύει κυρίως ηλικιωμένους. Ποτέ δεν ζητούνται χρήματα τηλεφωνικά.
- «Τεχνική υποστήριξη, ο υπολογιστής σας κινδυνεύει». Στόχος να εγκαταστήσεις εφαρμογή που τους δίνει έλεγχο.
Το πιο επικίνδυνο απ' όλα είναι το σενάριο του ψεύτικου υπαλλήλου τράπεζας, γιατί χτίζει πανικό γύρω από τα χρήματά σου. Και σχεδόν πάντα ο τελικός στόχος είναι ένας: ο κωδικός OTP μιας χρήσης.
Γιατί το μπλοκάρισμα δεν λύνει το πρόβλημα
Η πρώτη αντίδραση όλων είναι να μπλοκάρουν τον αριθμό. Λογικό, αλλά εδώ το spoofing σε κοροϊδεύει διπλά. Ο αριθμός που εμφανίστηκε δεν ανήκει καν στον απατεώνα - τον δανείστηκε για μία κλήση. Μπλοκάροντάς τον, μπορεί στην πραγματικότητα να μπλοκάρεις τον γνήσιο αριθμό της τράπεζας ή μιας υπηρεσίας, ενώ ο απατεώνας θα ξαναχτυπήσει αύριο με άλλον, εξίσου πλαστό.
Αυτό που δεν σου λένε είναι ότι το μπλοκάρισμα λειτουργεί καλά για το κοινό spam, όπου ο ίδιος αριθμός επιμένει, αλλά είναι σχεδόν άχρηστο απέναντι στο spoofing, όπου ο αριθμός αλλάζει σε κάθε κλήση. Γι' αυτό δίνουμε βάρος στη συμπεριφορά και όχι στη μαύρη λίστα.
Και μια παρανόηση που κοστίζει: πολλοί νομίζουν ότι το σύμβολο «+» ή ένας ελληνικός κωδικός εγγυάται γνήσια κλήση. Δεν εγγυάται τίποτα. Το πεδίο του αριθμού είναι ακριβώς αυτό που πλαστογραφείται - ένα «+30 210...» στήνεται εξίσου εύκολα με οποιονδήποτε άλλον. Η μορφή του αριθμού δεν είναι πιστοποιητικό.
Τι κάνεις αν πέσεις θύμα spoofing
Κατάλαβες ότι μόλις μίλησες με απατεώνα; Η σειρά μετράει - κάνε τα πρώτα δύο μέσα σε λεπτά:
- Πάγωσε κάρτα και e-banking. Κάλεσε τράπεζα ή πάροχο από τον επίσημο αριθμό και ζήτα άμεσο μπλοκάρισμα αν έδωσες στοιχεία.
- Άλλαξε κωδικούς. Ξεκίνα από το email και τη δικτυακή τραπεζική.
- Κατάγγειλε στη Δίωξη Ηλεκτρονικού Εγκλήματος. Στο 11188 ή στο cybercrimeunit.gov.gr, με ώρα, αριθμό που εμφανίστηκε και τι ειπώθηκε.
- Ενημέρωσε τον φορέα του πραγματικού αριθμού. Αν ο αριθμός ανήκε σε τράπεζα, πες τους ότι χρησιμοποιείται για spoofing.
Αν ανησυχείς για το τι ακολουθεί, δες πρώτα πώς να ελέγξεις έναν άγνωστο αριθμό πριν σηκώσεις την επόμενη ύποπτη κλήση.
Συχνές ερωτήσεις
Είναι παράνομο το spoofing στην Ελλάδα;
Ναι. Όταν γίνεται για εξαπάτηση, τιμωρείται ως απάτη κατά το άρθρο 386 του Ποινικού Κώδικα, ενώ ανάλογα με τον τρόπο μπορεί να στοιχειοθετεί και άλλα αδικήματα. Η Δίωξη Ηλεκτρονικού Εγκλήματος ερευνά τέτοιες υποθέσεις.
Μπορεί η τράπεζά μου να με καλέσει από τον γνωστό της αριθμό;
Ναι, αλλά μη βασίζεσαι σε αυτό ως απόδειξη. Ο εμφανιζόμενος αριθμός δεν επαληθεύεται. Κλείσε και κάλεσε εσύ τη γραμμή εξυπηρέτησης από την κάρτα ή το επίσημο site.
Μπορώ να αποτρέψω το spoofing τεχνικά;
Όχι από την πλευρά σου - δεν μπορείς να εμποδίσεις κάποιον να δηλώσει ψεύτικο αριθμό. Αυτό που ελέγχεις είναι η αντίδρασή σου: ποτέ βιαστική ενέργεια σε κλήση που ζητά κωδικούς ή χρήματα, ανεξάρτητα από τον αριθμό.
Ο πάροχός μου μπορεί να με προστατέψει;
Ορισμένοι πάροχοι εφαρμόζουν σταδιακά μηχανισμούς επαλήθευσης caller ID (STIR/SHAKEN) και φίλτρα spam, αλλά η κάλυψη δεν είναι ακόμη καθολική. Ρώτα τον πάροχό σου τι υπηρεσία ανίχνευσης προσφέρει - βοηθάει, αλλά μη στηρίζεσαι μόνο σε αυτήν.
Αν καλέσω πίσω τον αριθμό που εμφανίστηκε, θα βρω τον απατεώνα;
Όχι - και αυτό είναι διαφωτιστικό. Επειδή ο αριθμός ήταν δανεικός, η επανάκλησή σου πάει στον πραγματικό κάτοχό του: συχνά μια ανυποψίαστη τράπεζα, εταιρεία ή πολίτης που δεν σε κάλεσε ποτέ. Γι' αυτό η επανάκληση στον εμφανιζόμενο αριθμό δεν επιβεβαιώνει τίποτα και δεν εντοπίζει κανέναν. Ο μόνος αριθμός που αξίζει να καλέσεις είναι ο επίσημος που βρίσκεις μόνος σου - όχι αυτός που σου έδειξε η κλήση.
Συνοπτικά
Το spoofing δεν σπάει την τεχνολογία σου, σπάει την εμπιστοσύνη σου στην οθόνη. Ο αριθμός που βλέπεις είναι ισχυρισμός, όχι ταυτότητα. Επειδή μια καλή spoofed κλήση δεν ξεχωρίζει από τη γνήσια, μην προσπαθείς να τη μαντέψεις - κράτα έναν κανόνα: κλείσε και κάλεσε εσύ τον επίσημο αριθμό. Είναι ο μόνος έλεγχος που δεν μπορεί να πλαστογραφηθεί.