Πώς να προστατευτείτε από λογισμικό κατασκοπείας όπως το Pegasus

 

 

Αν και το Pegasus, της ισραηλινής εταιρείας NSO, είναι ένα εξελιγμένο πρόγραμμα κατασκοπείας, υπάρχουν βήματα που μπορείτε να λάβετε ώστε να μειώσετε την πιθανότητα να προσβληθούν οι συσκευές σας. Δεν υπάρχει τρόπος να αποκλείσετε το ρίσκο εντελώς, αλλά υπάρχουν σίγουρα πράγματα που μπορείτε να κάνετε για να το μειώσετε, και τα οποία ισχύουν και για άλλα παρόμοια με το Pegasus προγράμματα, τα λεγόμενα Remote Access Trojan, ή RAT.

 

Αποφύγετε το clickbait

Υπάρχουν πολυάριθμα παραδείγματα στις αναφορές για τις επιθέσεις του Pegasus, όπου δημοσιογράφοι και υπερασπιστές των ανθρωπίνων δικαιωμάτων έλαβαν μηνύματα μέσω SMS ή WhatsApp που τους καλούσαν να κλικάρουν σε κακόβουλους συνδέσμους. Οι σύνδεσμοι αυτοί κατεβάζουν λογισμικό υποκλοπής που εισέρχεται στις συσκευές μέσω κενών ασφαλείας των προγραμμάτων περιήγησης και των λειτουργικών συστημάτων. Αυτή η μέθοδος επίθεσης ονομάζεται Enhanced Social Engineer Message, ή ESEM.

 

Τα μηνύματα-δόλωμα της μεθόδου αυτής μπορεί να ανήκουν σε μία σειρά από κατηγορίες. Κάποια ισχυρίζονται ότι προέρχονται από σοβαρούς οργανισμούς όπως τράπεζες, πρεσβείες, ειδησεογραφικούς οργανισμούς ή υπηρεσίες μεταφοράς δεμάτων. Άλλα σχετίζονται με προσωπικά θέματα, όπως η εργασία, ή υποτιθέμενες αποδείξεις απιστίας, ή ισχυρίζονται ότι το στοχευμένο άτομο αντιμετωπίζει κάποιον άμεσο κίνδυνο ασφάλειας.

 

Τι μπορείτε να κάνετε:

 

Αν λάβετε ένα μήνυμα με σύνδεσμο, ειδικά αν αυτό εμπεριέχει μία αίσθηση επείγοντος (πχ. δηλώνοντας ότι ένα δέμα πρόκειται να παραδοθεί άμεσα ή πως η πιστωτική σας κάρτα πρόκειται να χρεωθεί), αποφύγετε την παρόρμηση να κάνετε αμέσως κλικ.

Αν εμπιστεύεστε τον ιστότοπο όπου πρόκειται να σας μεταφέρει ο σύνδεσμος, πληκτρολογήστε τη διεύθυνση του συνδέσμου με μη αυτόματο τρόπο.

Αν σας μεταφέρει σε έναν ιστότοπο που επισκέπτεστε συχνά, αποθηκεύστε τον ιστότοπο σε έναν φάκελο σελιδοδεικτών και χρησιμοποιήστε μονάχα αυτόν τον αποθηκευμένο σύνδεσμο.

Αν αποφασίσετε ότι θα κλικάρετε στον σύνδεσμο του μηνύματος αντί να τον πληκτρολογήσετε ή να επισκεφτείτε τον ιστότοπο μέσω αποθηκευμένου συνδέσμου, τουλάχιστον ελέγξτε τον σύνδεσμο για να επιβεβαιώσετε ότι σας στέλνει σε ιστότοπο που γνωρίζετε. Να θυμάστε ότι είναι πιθανόν και πάλι να ξεγελαστείτε: Κάποιοι σύνδεσμοι ηλεκτρονικού «ψαρέματος» χρησιμοποιούν παρόμοια γράμματα από ένα σύνολο μη αγγλικών χαρακτήρων, κάτι που ονομάζεται «επίθεση ομογράφου». Για παράδειγμα, ένα «Ο» από το Κυριλλικό αλφάβητο μπορεί να χρησιμοποιηθεί για να μιμηθεί το σύνηθες «Ο» του Λατινικού αλφαβήτου που χρησιμοποιείται στα αγγλικά.

Αν ο σύνδεσμος είναι συντομευμένος, χρησιμοποιήστε μία υπηρεσία διεύρυνσης URL, όπως το URL Expander ή το ExpandURL για να αποκαλύψετε τον πραγματικό σύνδεσμο πριν κλικάρετε.

Πριν κάνετε κλικ σε έναν σύνδεσμο που φαίνεται να σας έστειλε κάποιος γνωστός σας, επιβεβαιώστε ότι όντως σας τον έχει στείλει. Ο λογαριασμός του/της μπορεί να έχει παραβιαστεί ή ο αριθμός τηλεφώνου τους να έχει πλαστογραφηθεί. Επιβεβαιώστε το επικοινωνώντας μαζί τους μέσω κάποιου διαφορετικού διαύλου από αυτόν στον οποίο λάβατε το μήνυμα. Αν ο σύνδεσμος ήρθε μέσω μηνύματος κειμένου ή e-mail, τηλεφωνήστε στον αποστολέα. Αυτό είναι γνωστό ως επαλήθευση ή έλεγχος ταυτότητας εκτός ζώνης.

Εξασκηθείτε στη διαίρεση συσκευών, χρησιμοποιώντας μια δευτερεύουσα συσκευή χωρίς ευαίσθητες πληροφορίες για να ανοίξετε μη αξιόπιστους συνδέσμους. Λάβετε υπόψη ότι εάν η δευτερεύουσα συσκευή έχει μολυνθεί, μπορεί να εξακολουθεί να χρησιμοποιείται για την παρακολούθηση μέσω μικροφώνου ή κάμερας, οπότε φυλάξτε τη σε μια τσάντα Faraday όταν δεν χρησιμοποιείται – ή τουλάχιστον μακριά από τις ευαίσθητες συνομιλίες σας (καλή ιδέα ακόμη και αν είναι σε μια τσάντα Faraday).

Χρησιμοποιήστε εναλλακτικά προγράμματα περιήγησης. Σύμφωνα με μια ενότητα με τίτλο «Αποτυχία εγκατάστασης» στο φυλλάδιο του Pegasus που διέρρευσε το Wikileaks (του οποίου όμως η αυθεντικότητα δεν είναι επιβεβαιωμένη), η εγκατάσταση μπορεί να αποτύχει εάν ο στόχος εκτελεί μη υποστηριζόμενο πρόγραμμα περιήγησης και συγκεκριμένα ένα πρόγραμμα περιήγησης διαφορετικό από το «προεπιλεγμένο πρόγραμμα περιήγησης της συσκευής». Όμως το έγγραφο αυτό είναι τώρα αρκετών ετών παλιό, και είναι πιθανό ότι το Pegasus σήμερα υποστηρίζει όλα τα είδη περιηγητών.

Εάν υπάρχει οποιαδήποτε αμφιβολία για έναν σύνδεσμο, το ασφαλέστερο μέτρο είναι να αποφύγετε το άνοιγμα του συνδέσμου.

Να επισκέπτεστε πάντα σελίδες https://

Ένας άλλος τρόπος με τον οποίο το Pegasus προσέβαλε συσκευές ήταν μέσω επιθέσεων man-in-the-middle, ή MITM. Σε αυτές τις επιθέσεις, το Pegasus υποκλέπτει τις μη κρυπτογραφημένες κινήσεις δικτύου, όπως αιτήματα HTTP, και τις ανακατευθύνει προς κάποιον κακόβουλο στόχο.

 

Η πληκτρολόγηση μόνο του τομέα ιστοτόπου (όπως πχ. το «yahoo.fr») στη γραμμή διευθύνσεων του περιηγητή σας, χωρίς να καθορίζεται το πρωτόκολλο (όπως το «https://»), κάνει τη συσκευή σας ευάλωτη σε επιθέσεις MITM, διότι ο περιηγητής από προεπιλογή θα επιχειρήσει μία μη κρυπτογραφημένη σύνδεση HTTP σε αυτόν τον ιστότοπο. Συνήθως φτάνετε στον αυθεντικό ιστότοπο, ο οποίος αμέσως σας ανακατευθύνει σε μία ασφαλή σύνδεση HTTPS. Αν όμως κάποιος προσπαθεί να σας χακάρει, αυτή η πρώτη σύνδεση HTTP είναι ένα ικανό άνοιγμα για να υφαρπάξει τη σύνδεσή σας.

 

Τι μπορείτε να κάνετε:

 

Πληκτρολογήστε πάντοτε το «https://» όταν επισκέπτεστε ιστοσελίδες.

Αποθηκεύστε στους σελιδοδείκτες σας ασφαλείς (HTTPS) συνδέσμους για τους αγαπημένους σας ιστότοπους, και χρησιμοποιήστε αυτούς αντί να πληκτρολογείτε μονάχα το όνομα τομέα.

Εναλλακτικά, χρησιμοποιήστε ένα VPN στις σταθερές σας συσκευές όπως και στις κινητές. Η υπηρεσία VPN διοχετεύει όλες σας τις συνδέσεις με ασφάλεια στον διακομιστή VPN, ο οποίος στη συνέχεια αποκτά πρόσβαση σε ιστότοπους για λογαριασμό σας και τις μεταφέρει ξανά σε εσάς. Αυτό σημαίνει ότι ένας εισβολέας που παρακολουθεί το δίκτυό σας πιθανότατα δεν θα είναι σε θέση να εκτελέσει μια επιτυχή επίθεση MITM, καθώς η σύνδεσή σας είναι κρυπτογραφημένη στο VPN – ακόμη και αν πληκτρολογείτε έναν τομέα απευθείας στο πρόγραμμα περιήγησής σας, χωρίς το «https://».

Αν χρησιμοποιείτε VPN, έχετε υπόψη ότι ο πάροχος VPN έχει τη δυνατότητα να κατασκοπεύσει τις κινήσεις σας στο διαδίκτυο, οπότε φροντίστε να επιλέξετε έναν αξιόπιστο πάροχο. Μια καλή, διαρκώς επικαιροποιούμενη λίστα σύγκρισης παρόχων VPN, είναι αυτή που προσφέρει το Wirecutter.

Επιθέσεις χωρίς κλικ

Πέρα από τις επιθέσεις που απαιτούν ο στόχος να κάνει κάποια δράση, όπως το κλικ σε έναν σύνδεσμο ή το άνοιγμα μιας επισύναψης, υπάρχουν και οι επιθέσεις zero-click, οι οποίες ονομάζονται έτσι διότι δεν απαιτούν καμία αλληλεπίδραση από τον στόχο. Το μόνο που χρειάζεται είναι να έχετε κάποια συγκεκριμένη ευάλωτη εφαρμογή ή λειτουργικό σύστημα στη συσκευή σας.

 

Αυτές οι επιθέσεις είναι και οι πιο δύσκολες να αποφευχθούν, ακριβώς διότι δεν απαιτούν κάτι από εσάς. Όμως μπορείτε να μειώσετε τις πιθανότητες να επιτύχουν, μειώνοντας τη λεγόμενη «επιφάνεια επίθεσης» και εφαρμόζοντας «διαμερισματοποίηση» των συσκευών σας, δηλαδή να μοιράζετε δεδομένα και εφαρμογές σε περισσότερες από μία συσκευές.

 

Πιο συγκεκριμένα:

 

Μειώστε τον αριθμό των εφαρμογών στο τηλέφωνό σας. Όσο λιγότερες «ξεκλείδωτες πόρτες» υπάρχουν στο σπίτι σας, τόσο λιγότερες ευκαιρίες έχει ένας διαρρήκτης να μπει. Παρομοίως και στο κινητό, λιγότερες εφαρμογές σημαίνουν λιγότερες εικονικές πόρτες για να εκμεταλλευθεί ένας αντίπαλος. Η συσκευή σας θα πρέπει να διαθέτει τις ελάχιστες απαραίτητες εφαρμογές για την εκτέλεση των καθημερινών λειτουργιών. Κάποιες εφαρμογές δεν μπορείτε να τις αφαιρέσετε, όπως το iMessage στα iPhone (εφαρμογή την οποία μπορεί να εκμεταλλευθεί το Pegasus). Σε αυτές τις περιπτώσεις έχετε συχνά τη δυνατότητα να τις απενεργοποιήσετε, αν και στην περίπτωση του iMessage δεν θα μπορείτε πλέον να λαμβάνετε γραπτά μηνύματα στο iPhone σας.

Ελέγχετε τακτικά τις εγκατεστημένες εφαρμογές σας (και τα δικαιώματά τους) και αφαιρέστε όσες δεν χρειάζεστε πλέον. Είναι ασφαλέστερο να αφαιρέσετε μια εφαρμογή που χρησιμοποιείται σπάνια και να την κατεβάσετε ξανά όταν τη χρειάζεστε πραγματικά, παρά να την αφήσετε να παραμείνει στο τηλέφωνό σας.

Ενημερώνετε τακτικά τόσο το λειτουργικό σύστημα του τηλεφώνου σας όσο και μεμονωμένες εφαρμογές, καθώς οι ενημερώσεις κλείνουν ευπάθειες, μερικές φορές ακόμη και ακούσια.

Διαμερισματοποιήστε τις εφαρμογές σας. Αν ένα τηλέφωνο έχει εγκατεστημένο μόνο το WhatsApp και παραβιαστεί, ο εισβολέας θα λάβει μόνο τα δεδομένα του WhatsApp, όμως όχι άλλα ευαίσθητα δεδομένα όπως e-mail, ημερολόγιο, φωτογραφίες ή μηνύματα του Signal.

Ακόμα κι ένα διαμερισματοποιημένο τηλέφωνο μπορεί να χρησιμοποιηθεί ως συσκευή ηχογράφησης και παρακολούθησης, οπότε αφήστε τις συσκευές σας σε ένα άλλο δωμάτιο, ή ιδανικά σε μία τσάντα ασφαλείας.

Φυσική πρόσβαση

Ο τελευταίος τρόπος με τον οποίο μπορεί κάποιος να προσβάλει το τηλέφωνό σας είναι να το πιάσει στα χέρια του. Σύμφωνα με το φυλλάδιο του Pegasus που δημοσίευσε το Wikileaks, το πρόγραμμα «μπορεί να εγχυθεί και να εγκατασταθεί χειροκίνητα σε λιγότερο από πέντε λεπτά». Δεν είναι ξεκάθαρο αν χρειάζεται το κινητό να είναι ξεκλείδωτο ή αν οι επιτιθέμενοι είναι σε θέση να μολύνουν ακόμη και ένα τηλέφωνο με προστασία PIN.

 

Πώς να αποφύγετε μία τέτοια επίθεση:

 

Διατηρείτε πάντα οπτική επαφή με τις συσκευές σας. Κάθε απώλεια οπτικής επαφής με τη συσκευή σας ενέχει την πιθανότητα φυσικής πρόσβασης από κάποιον. Προφανώς, υπάρχει διαφορά μεταξύ του να πάρει το τηλέφωνό σας ένας τελωνειακός υπάλληλος στο αεροδρόμιο και του να αφήσετε τον φορητό σας υπολογιστή σε ένα δωμάτιο της οικίας σας όταν πηγαίνετε στην τουαλέτα. Όμως η κάθε απώλεια επαφής ενέχει ρίσκο και πρέπει να υπολογίσετε το ρίσκο για εσάς.

Τοποθετήστε τη συσκευή σας σε μία τσάντα ασφαλείας όταν πρέπει να παραμείνει χωρίς επίβλεψη, ειδικά σε πιο επικίνδυνες τοποθεσίες όπως ένα δωμάτιο ξενοδοχείου. Κάτι τέτοιο δεν θα αποτρέψει τη χειραγώγηση της συσκευής σας, αλλά τουλάχιστον θα σας παρέχει μια ειδοποίηση ότι η συσκευή αφαιρέθηκε από την τσάντα και πως ίσως να έχει παραβιαστεί, οπότε θα πρέπει να μην χρησιμοποιήσετε πλέον αυτή τη συσκευή.

Χρησιμοποιήστε αδήλωτα καρτοκινητά και άλλες διαμερισματοποιημένες συσκευές όταν εισέρχεστε σε πιθανά εχθρικά περιβάλλοντα, όπως κυβερνητικά κτίρια, πρεσβείες και προξενεία, ή όταν περνάτε σημεία ελέγχου σε σύνορα.

Γενικές συμβουλές

Γενικά:

 

Χρησιμοποιήστε την Εργαλειοθήκη Επαλήθευσης της Διεθνούς Αμνηστίας αν υποπτεύεστε ότι το τηλέφωνό σας έχει προσβληθεί με το Pegasus.

Δημιουργήστε τακτικά αντίγραφα ασφαλείας των σημαντικών σας αρχείων.

Και στην τελική, δεν κάνει κακό να επαναφέρετε τακτικά το τηλέφωνό σας στις εργοστασιακές του ρυθμίσεις.     

Πηγή: the Intercept