Ελέγξτε την ενέργεια που εξουσιοδοτείτε, όχι μόνο την εμφάνιση του κωδικού.
Ένα μήνυμα λέει ότι πρέπει να σαρώσετε έναν κωδικό QR για να μπείτε σε μια ιδιωτική ομάδα ή να διατηρήσετε ενεργό τον λογαριασμό σας. Η επόμενη οθόνη ζητά να συνδέσετε μια συσκευή. Πρόκειται για διαφορετικές ενέργειες. Σταματήστε πριν εγκρίνετε: ένας γνήσιος μηχανισμός σύνδεσης με τον λογαριασμό μπορεί να χρησιμοποιηθεί για ανέντιμο σκοπό.
Η διατερματική κρυπτογράφηση προστατεύει τα μηνύματα μεταξύ των συμμετεχουσών τελικών συσκευών. Δεν μπορεί να αποφασίσει αν πράγματι θέλατε να προσθέσετε τη συσκευή που τώρα τα λαμβάνει. Αυτός ο οδηγός εξηγεί πώς να ξεχωρίζετε έναν διαδικτυακό σύνδεσμο, ένα αίτημα σύνδεσης συσκευής και έναν κωδικό επαλήθευσης επαφής — και τι να ελέγξετε αν έχετε ήδη ενεργήσει.
Δύο διαφορετικές παγίδες με κωδικούς QR
Ένας ψεύτικος ιστότοπος: ο κωδικός ανοίγει μια σελίδα που μιμείται γνωστή υπηρεσία και ζητά κωδικό πρόσβασης ή άλλες ευαίσθητες πληροφορίες. Η Ομοσπονδιακή Επιτροπή Εμπορίου των ΗΠΑ (FTC) προειδοποιεί για κωδικούς QR σε απρόσμενα μηνύματα. Συνιστά να ελέγχετε τον προορισμό και να επικοινωνείτε με τον υποτιθέμενο αποστολέα μέσω γνωστού καναλιού, αντί να ακολουθείτε το μήνυμα. Ένα γνώριμο λογότυπο δεν αποδεικνύει ποιος διαχειρίζεται τη σελίδα. Οδηγίες της FTC για απάτες με QR.
Μια ανεπιθύμητη συνδεδεμένη συσκευή: ο επιτιθέμενος σας πείθει να συνδέσετε τον υπολογιστή του ή άλλη συσκευή στον λογαριασμό μηνυμάτων σας. Μπορεί να καταχραστεί μια νόμιμη λειτουργία αντί να παραβιάσει την κρυπτογράφηση. Η Google Threat Intelligence κατέγραψε επιθέσεις σύνδεσης συσκευών στο Signal που εμφανίζονταν ως προσκλήσεις ομάδων και ειδοποιήσεις ασφαλείας. Στις επιθέσεις που παρατηρήθηκαν, η επιτυχής σύνδεση επέτρεπε την παράδοση μελλοντικών μηνυμάτων σε συσκευή υπό τον έλεγχο του επιτιθέμενου. Έρευνα της Google για phishing μέσω σύνδεσης συσκευών.
Η διάκριση έχει σημασία. Η αλλαγή κωδικού πρόσβασης δεν αντικαθιστά τον έλεγχο συνδεδεμένων συσκευών. Ούτε όμως η απλή στόχευση ενός κωδικού με την κάμερα αποδεικνύει κατάληψη του λογαριασμού. Εξακριβώστε ποια σελίδα άνοιξε, ποιες πληροφορίες δώσατε και ποια ενέργεια εγκρίνατε.
Τρεις παρόμοιοι κωδικοί, τρεις διαφορετικοί σκοποί
| Κωδικός ή οθόνη | Προβλεπόμενος σκοπός | Ερώτηση πριν συνεχίσετε |
|---|---|---|
| QR ιστοτόπου | Άνοιγμα διεύθυνσης | Είναι ο προορισμός που περίμενα ανεξάρτητα από το μήνυμα; |
| QR σύνδεσης συσκευής | Εξουσιοδότηση άλλης συσκευής | Είναι δική μου συσκευή και ξεκίνησα εγώ τη σύνδεσή της; |
| QR επαλήθευσης επαφής | Σύγκριση στοιχείων κρυπτογραφικής ταυτότητας | Βρίσκομαι στην οθόνη επαλήθευσης επαφής και συγκρίνω με το σωστό άτομο; |
Για παράδειγμα, το Signal περιγράφει ειδική διαδικασία σύνδεσης μέσω των ρυθμίσεων συνδεδεμένων συσκευών και της κάμερας εντός εφαρμογής. Οι τρέχουσες οδηγίες του περιλαμβάνουν επίσης επιλογή μεταφοράς ιστορικού μηνυμάτων. Αυτό δεν είναι το ίδιο με τον έλεγχο του αριθμού ασφαλείας μιας επαφής. Οδηγίες του Signal για συνδεδεμένες συσκευές.
Η τεκμηρίωση του Signal για τους αριθμούς ασφαλείας περιγράφει τη σύγκριση αριθμών ή τη σάρωση του QR επαλήθευσης της επαφής, ιδανικά από κοντά. Η σύγκριση βοηθά στην επαλήθευση της κρυπτογραφικής ταυτότητας της συνομιλίας· δεν αποτελεί οδηγία να δώσετε σε νέο υπολογιστή πρόσβαση στον λογαριασμό σας. Δεν αποδεικνύει από μόνη της την πραγματική ταυτότητα ενός ανθρώπου. Ακολουθήστε τον σκοπό της ίδιας της οθόνης, όχι την περιγραφή του αποστολέα. Εξήγηση των αριθμών ασφαλείας του Signal.
Πρακτικό παράδειγμα: η πρόσκληση αλλάζει νόημα
Φανταστείτε το εξής υποθετικό περιστατικό. Η Μίνα λαμβάνει μήνυμα φαινομενικά από συνάδελφο: «Η ομάδα του έργου μεταφέρθηκε. Σάρωσε αυτό για να ξαναμπείς». Η σελίδα δείχνει προσεγμένη. Της ζητά να ανοίξει τον σαρωτή σύνδεσης συσκευών της εφαρμογής μηνυμάτων.
Η Μίνα εντοπίζει την ασυμφωνία: ήθελε να συμμετάσχει σε συνομιλία, όχι να συνδέσει άλλον υπολογιστή. Ακυρώνει, ανοίγει ανεξάρτητα τη συνηθισμένη καταχώριση της επαφής και ελέγχει το αίτημα με τον συνάδελφο μέσω ξεχωριστού έμπιστου καναλιού. Δεν χρησιμοποιεί τον αριθμό τηλεφώνου της ύποπτης σελίδας.
Το παράδειγμα δείχνει έναν χρήσιμο κανόνα: αν η άδεια που ζητά η εφαρμογή είναι ευρύτερη ή διαφορετική από αυτό που σκοπεύετε να κάνετε, σταματήστε. Ένας γνώριμος λογαριασμός αποστολέα δεν αρκεί, γιατί οι λογαριασμοί μπορούν να πλαστοπροσωπηθούν ή να παραβιαστούν. Ούτε μια καθησυχαστική διεύθυνση ιστοτόπου εξηγεί από μόνη της γιατί χρειάζεται πρόσβαση μια απρόσμενη συσκευή.
Σύντομη λίστα ελέγχου πριν από την έγκριση
- Ορίστε την ενέργειά σας. Ανοίγετε σελίδα, μπαίνετε σε ομάδα, επαληθεύετε επαφή ή συνδέετε τον δικό σας υπολογιστή;
- Ξεκινήστε ανεξάρτητα. Για διαχείριση λογαριασμού, ανοίξτε την εγκατεστημένη εφαρμογή ή έναν ήδη γνωστό προορισμό αντί να ακολουθείτε οδηγίες από ανεπιθύμητο μήνυμα.
- Διαβάστε το αίτημα της εφαρμογής. Η σύνδεση συσκευής, η ανάκτηση λογαριασμού και η εισαγωγή στοιχείων σύνδεσης είναι ξεχωριστές αποφάσεις. Ακυρώστε αίτημα που δεν αντιστοιχεί στον σκοπό σας.
- Ταυτοποιήστε την άλλη συσκευή. Συνδέστε μόνο εξοπλισμό που σκοπεύατε να χρησιμοποιήσετε και ελέγχετε. Ένα φιλικό όνομα συσκευής δεν αποδεικνύει σε ποιον ανήκει.
- Κρατήστε τα μυστικά έξω από τις συνομιλίες. Μη στέλνετε κωδικούς πρόσβασης, κωδικούς εγγραφής ή κλειδιά ανάκτησης σε κάποιον που ισχυρίζεται ότι βοηθά.
- Χρησιμοποιείτε ενημερωμένο λογισμικό. Οι ενημερώσεις και οι ενσωματωμένες προειδοποιήσεις είναι σημαντικές, αλλά δεν καθιστούν αξιόπιστο ένα απρόσμενο αίτημα έγκρισης.
Οι οδηγίες του Signal κατά του phishing συνιστούν ανεξάρτητη επαλήθευση, διατήρηση των κωδικών σε μυστικότητα και προσοχή σε απρόσμενα αιτήματα. Ξεχωρίζουν επίσης τις επίσημες ανακοινώσεις μόνο για προβολή από κάποιον που συνομιλεί παριστάνοντας την υποστήριξη. Αυτές είναι λεπτομέρειες ειδικά για το Signal, όχι ισχυρισμοί για την υποστήριξη κάθε εφαρμογής μηνυμάτων. Οδηγίες του Signal για phishing και πλαστοπροσωπία.
Αν έχετε ήδη σαρώσει ή εγκρίνει
Ξεκινήστε από την ενέργεια που πράγματι έγινε:
- Ανοίξατε μόνο μια σελίδα: κλείστε την και σταματήστε την αλληλεπίδραση. Ελέγξτε αν εισαγάγατε πληροφορίες, κατεβάσατε κάτι ή εγκρίνατε ενέργεια εφαρμογής. Μην υποθέτετε ούτε παραβίαση ούτε ασφάλεια μόνο από τη σάρωση.
- Εισαγάγατε στοιχεία σύνδεσης ή μοιραστήκατε κωδικό: χρησιμοποιήστε τις επίσημες οδηγίες ανάκτησης της υπηρεσίας από έμπιστη συσκευή. Αλλάξτε τους εκτεθειμένους κωδικούς πρόσβασης και ελέγξτε την πρόσβαση στον λογαριασμό· αντιμετωπίστε χωριστά τους κωδικούς που επαναχρησιμοποιήσατε.
- Συνδέσατε άγνωστη συσκευή: ανοίξτε την πραγματική λίστα συσκευών ή συνεδριών της εφαρμογής και αφαιρέστε την ανεπιθύμητη σύνδεση. Μην υποθέτετε ότι η διαγραφή του απατηλού μηνύματος ανακαλεί την πρόσβαση.
- Εγκαταστήσατε λογισμικό ή δώσατε ασυνήθιστες άδειες: διερευνήστε το χωριστά. Η ανάκληση συνεδρίας λογαριασμού δεν αφαιρεί από μόνη της κακόβουλο λογισμικό από το τηλέφωνο.
Ειδικά για το Signal, οι οδηγίες προστασίας συνιστούν έλεγχο των συνδεδεμένων συσκευών, αφαίρεση άγνωστων καταχωρίσεων και αφαίρεση όλων των καταχωρισμένων συσκευών αν υπάρχει αμφιβολία. Οι οδηγίες αποσύνδεσης περιγράφουν πώς ανακαλείται η πρόσβαση μιας συσκευής από το κύριο τηλέφωνο. Άλλες υπηρεσίες ενδέχεται να έχουν διαφορετικά στοιχεία ελέγχου. Οδηγίες προστασίας λογαριασμού του Signal, οδηγίες αποσύνδεσης συσκευών του Signal.
Η ανάκληση δεν ανακτά πληροφορίες που έχουν ήδη αντιγραφεί αλλού. Η έκθεση εξαρτάται από την υπηρεσία, τις άδειες που δόθηκαν, την επιλογή μεταφοράς ιστορικού και τη διάρκεια της πρόσβασης — δεν ισχύει ένας καθολικός κανόνας για «όλες τις συνομιλίες». Αν μπορεί να εκτέθηκαν ευαίσθητες συζητήσεις, ενημερώστε τα επηρεαζόμενα άτομα μέσω έμπιστης οδού και ακολουθήστε τυχόν σχετική διαδικασία αναφοράς περιστατικού.
Τι να ελέγξετε όταν αξιολογείτε το Livara ή άλλη εφαρμογή μηνυμάτων
Ρωτήστε πώς εξουσιοδοτούνται νέες συσκευές, πού εμφανίζονται οι ενεργές συνεδρίες, πώς ανακαλείται η πρόσβαση και αν το ιστορικό μεταφέρεται χωριστά. Διαβάστε την τρέχουσα τεκμηρίωση του προϊόντος αντί να υποθέτετε ότι μια ένδειξη κρυπτογράφησης απαντά σε αυτά τα ερωτήματα. Αυτό το άρθρο δεν τεκμηριώνει ότι το Livara χρησιμοποιεί είσοδο μέσω QR ή συγκεκριμένη διαδικασία σύνδεσης συσκευών.
Το πρακτικό συμπέρασμα είναι απλό: ελέγξτε την ενέργεια που εξουσιοδοτείτε, όχι μόνο την εμφάνιση του κωδικού.
