Ενα μήνυμα εμφανίζεται ξαφνικά στην οθόνη του κινητού. «Το δέμα σας δεν μπόρεσε να παραδοθεί». «Εκκρεμεί η πληρωμή προστίμου». «Ο τραπεζικός λογαριασμός σας έχει προσωρινά δεσμευτεί». Ή ακόμη πιο αθώα: «Γεια σου, είσαι η Μαρία;». Από ένστικτο ή περιέργεια απαντάμε: «Ποιος είναι;». Λίγα δευτερόλεπτα αργότερα αντιλαμβανόμαστε ότι κάτι δεν πάει καλά και γεννιέται η ανησυχία: μπορεί κάποιος να χακάρει το κινητό μας μόνο και μόνο επειδή απαντήσαμε σε ένα SMS;
Στη συντριπτική πλειονότητα των συνηθισμένων απατών μέσω SMS, η απάντηση είναι όχι. Ενα απλό μήνυμα κειμένου που στέλνουμε ως απάντηση δεν δίνει από μόνο του στον απατεώνα πρόσβαση στις φωτογραφίες, στα αρχεία, στους κωδικούς, στις τραπεζικές εφαρμογές ή στο e-banking μας.
Αυτό, όμως, δεν σημαίνει ότι η απάντηση είναι εντελώς αθώα. Γιατί μπορεί να αποτελεί το πρώτο βήμα μιας πολύ πιο οργανωμένης απόπειρας εξαπάτησης.
1. Τι μαθαίνει ο απατεώνας αν απαντήσουμε «ποιος είναι;»
Κάτι απλό αλλά πολύ χρήσιμο: ότι ο αριθμός τηλεφώνου είναι ενεργός και κάποιος διαβάζει και απαντά στα μηνύματα. Η αμερικανική Federal Trade Commission (FTC) προειδοποιεί ειδικά για τα λεγόμενα «wrong number texts», τα μηνύματα δηλαδή που εμφανίζονται σαν να έχουν σταλεί κατά λάθος σε λάθος παραλήπτη. Ακόμη και μια σύντομη απάντηση επιβεβαιώνει ότι πίσω από τον αριθμό υπάρχει πραγματικός χρήστης. Αυτό μπορεί να οδηγήσει σε νέα SMS, τηλεφωνικές κλήσεις ή σε περισσότερο στοχευμένη προσπάθεια εξαπάτησης. Γι’ αυτό ο ασφαλέστερος κανόνας είναι: δεν απαντάμε σε απρόσμενα μηνύματα από αγνώστους.
2. Πού βρίσκεται ο πραγματικός κίνδυνος;
Συνήθως όχι στο πρώτο SMS, αλλά σε αυτό που ο απατεώνας προσπαθεί να μας πείσει να κάνουμε κάτι μετά. Το μήνυμα μπορεί να μας καλεί:
- να πατήσουμε έναν σύνδεσμο,
- να συνδεθούμε σε μια πλαστή σελίδα τράπεζας ή δημόσιας υπηρεσίας,
- να πληκτρολογήσουμε username και password,
- να δώσουμε στοιχεία πιστωτικής ή χρεωστικής κάρτας,
- να αποκαλύψουμε PIN ή κωδικό μιας χρήσης (OTP),
- να καλέσουμε έναν αριθμό τηλεφώνου,
- να εγκαταστήσουμε μια εφαρμογή ή αρχείο.
Αυτή είναι η απάτη που την ξέρουμε ως smishing, από τις λέξεις SMS και phishing. Η Europol περιγράφει το smishing ως προσπάθεια των απατεώνων να αποκτήσουν προσωπικές, οικονομικές ή πληροφορίες ασφαλείας μέσω γραπτών μηνυμάτων. Συνήθως υποδύονται τράπεζες, εταιρείες καρτών, courier, δημόσιες υπηρεσίες ή άλλους οργανισμούς και δημιουργούν αίσθημα επείγοντος, ώστε το θύμα να ενεργήσει χωρίς δεύτερη σκέψη.
3. Απάντησα, αλλά δεν πάτησα τίποτα. Τι κάνω;
Εάν στείλαμε μόνο ένα «ναι», «όχι», «ποιος είναι;» ή άλλο απλό κείμενο, αλλά δεν πατήσαμε σύνδεσμο, δεν κατεβάσαμε αρχείο ή εφαρμογή και δεν δώσαμε προσωπικά ή τραπεζικά στοιχεία, συνήθως δεν υπάρχει λόγος πανικού. Δεν χρειάζεται μόνο και μόνο γι’ αυτό να ακυρώσουμε την κάρτα μας ή να αλλάξουμε όλους τους κωδικούς μας.
Κάνουμε όμως τέσσερα πράγματα: Σταματάμε αμέσως τη συνομιλία, μπλοκάρουμε τον αριθμό, χαρακτηρίζουμε το μήνυμα ως spam/ανεπιθύμητο και είμαστε ιδιαίτερα επιφυλακτικοί απέναντι σε επόμενα μηνύματα ή κλήσεις.
Και κυρίως δεν συνεχίζουμε τη συζήτηση, για να «δοκιμάσουμε» ή να «ξεσκεπάσουμε» τον απατεώνα.
4. Πάτησα το link, αλλά δεν έδωσα στοιχεία. Κινδυνεύω;
Εδώ απαιτείται μεγαλύτερη προσοχή. Ενας κακόβουλος σύνδεσμος μπορεί απλώς να οδηγεί σε πλαστή ιστοσελίδα που περιμένει να πληκτρολογήσουμε τα στοιχεία μας. Μπορεί όμως και να επιχειρεί να προκαλέσει λήψη κακόβουλου αρχείου ή να εκμεταλλευτεί αδυναμίες της συσκευής. Κλείνουμε τη σελίδα, δεν κατεβάζουμε τίποτα, ελέγχουμε εάν εγκαταστάθηκε κάποια άγνωστη εφαρμογή και βεβαιωνόμαστε ότι το λειτουργικό σύστημα και οι εφαρμογές ασφαλείας της συσκευής είναι ενημερωμένα. Αν κατεβάσαμε ή εγκαταστήσαμε άγνωστη εφαρμογή, ο κίνδυνος ανεβαίνει επίπεδο και χρειάζεται άμεσος έλεγχος της συσκευής.
5. Εδωσα κωδικό e-banking, στοιχεία κάρτας ή OTP. Τι κάνω;
Τότε δεν περιμένουμε να δούμε εάν «θα συμβεί κάτι». Επικοινωνούμε αμέσως με την τράπεζά μας, χρησιμοποιώντας αποκλειστικά το επίσημο τηλέφωνο ή την εφαρμογή της και όχι στοιχεία επικοινωνίας που περιέχονται στο ύποπτο μήνυμα. Ζητάμε, ανάλογα με τα στοιχεία που έχουν αποκαλυφθεί, μπλοκάρισμα κάρτας ή λογαριασμού και αλλάζουμε άμεσα τους κωδικούς που ενδέχεται να έχουν υποκλαπεί. Εάν τον ίδιο κωδικό τον χρησιμοποιούμε και σε άλλες υπηρεσίες, πρέπει να αλλαχθεί και εκεί.
Ιδιαίτερη προσοχή απαιτείται στους κωδικούς μιας χρήσης (OTP). Δεν τους γνωστοποιούμε σε κανέναν, ακόμη κι αν ο συνομιλητής εμφανίζεται ως υπάλληλος τράπεζας.
6. Πώς καταλαβαίνουμε ότι ένα SMS είναι ύποπτο;
Οι ιστορίες αλλάζουν, η «συνταγή» όμως παραμένει σχεδόν ίδια. Ο απατεώνας προσπαθεί συνήθως να προκαλέσει φόβο, αίσθημα επείγοντος, προσδοκία κέρδους ή περιέργεια. «Ο λογαριασμός σας θα κλείσει». «Εχετε απλήρωτο πρόστιμο». «Το δέμα σας επιστρέφεται σήμερα». «Δικαιούστε επίδομα». «Εντοπίσαμε ύποπτη συναλλαγή». «Πατήστε εδώ άμεσα».
Η Εθνική Αρχή Κυβερνοασφάλειας έχει προειδοποιήσει και μέσα στο 2026 για SMS που εμφανίζονταν ως ειδοποιήσεις για δήθεν τροχαίες παραβάσεις, καθώς και για μηνύματα που εκμεταλλεύονταν κρατικές ενισχύσεις, επιχειρώντας να υποκλέψουν προσωπικά και τραπεζικά δεδομένα. Το «επείγον» είναι συχνά το ισχυρότερο όπλο του απατεώνα.
7. Αν το μήνυμα γράφει το όνομα της τράπεζας ή της εταιρείας μου;
Δεν αποτελεί απόδειξη γνησιότητας. Οι επιτήδειοι μπορούν να αντιγράψουν λογότυπους, ονομασίες και τη γλώσσα που χρησιμοποιούν πραγματικές επιχειρήσεις, ενώ ακόμη και τα στοιχεία που εμφανίζονται ως αποστολέας δεν πρέπει να θεωρούνται από μόνα τους εγγύηση ασφάλειας.
Εάν ένα SMS μάς ενημερώνει για πρόβλημα στην τράπεζα, στο courier ή σε δημόσια υπηρεσία, δεν χρησιμοποιούμε το link και δεν καλούμε τον αριθμό που μας δίνει το μήνυμα. Ανοίγουμε μόνοι μας την επίσημη εφαρμογή, πληκτρολογούμε εμείς τη γνωστή διαδικτυακή διεύθυνση ή βρίσκουμε το επίσημο τηλέφωνο της υπηρεσίας.
8. Μπορούν να μας χακάρουν χωρίς να πατήσουμε τίποτα;
Τεχνικά, ναι. Υπάρχουν οι λεγόμενες zero-click επιθέσεις, στις οποίες ειδικά κατασκευασμένο περιεχόμενο μπορεί να εκμεταλλευτεί ευπάθεια λογισμικού, χωρίς ο χρήστης να ανοίξει κάποιο link. Δεν πρόκειται όμως για τον συνήθη μηχανισμό πίσω από τα μαζικά μηνύματα «το δέμα σας δεν παραδόθηκε» ή «χρωστάτε πρόστιμο». Οι zero-click επιθέσεις είναι κατά κανόνα πολύ πιο σύνθετες και στοχευμένες. Αυτός είναι ένας επιπλέον λόγος να εγκαθιστούμε τις ενημερώσεις ασφαλείας του κινητού και των εφαρμογών μας μόλις γίνονται διαθέσιμες.
9. Ποιος είναι ο ασφαλέστερος κανόνας;
Να θεωρούμε κάθε απρόσμενο μήνυμα που μας ζητά χρήματα, κωδικούς, προσωπικά στοιχεία ή άμεση ενέργεια ως ύποπτο μέχρι να αποδειχθεί το αντίθετο. Δεν χρειάζεται να αποδείξουμε εάν το SMS είναι πλαστό. Χρειάζεται απλώς να ελέγξουμε την πληροφορία από διαφορετικό και ανεξάρτητο κανάλι.
Αν γράφει «πρόβλημα με την κάρτα σας», ανοίγουμε την εφαρμογή της τράπεζας. Αν γράφει «πρόβλημα με το δέμα», μπαίνουμε μόνοι μας στην επίσημη ιστοσελίδα της courier. Αν αφορά δημόσια υπηρεσία, ξεκινάμε από το gov.gr ή την επίσημη ιστοσελίδα του αρμόδιου φορέα.
10. Τελικά, πρέπει να φοβηθώ επειδή απάντησα;
Οχι, εφόσον απλώς απαντήσατε και σταματήσατε εκεί. Ενα «Ποιος είναι;» δεν αποτελεί συνήθως το σημείο στο οποίο ο απατεώνας αποκτά πρόσβαση στο κινητό ή στον τραπεζικό λογαριασμό. Μπορεί όμως να είναι το σημείο στο οποίο αντιλαμβάνεται ότι βρήκε έναν ενεργό αριθμό και έναν άνθρωπο που ανταποκρίνεται. Και αυτή ακριβώς είναι η βασική λογική των περισσότερων ψηφιακών απατών: δεν χρειάζεται να «σπάσουν» τεχνικά το κινητό μας εάν μπορούν να μας πείσουν να τους ανοίξουμε εμείς την πόρτα.
Ο κανόνας των 10 δευτερολέπτων
Πριν απαντήσουμε, πατήσουμε ή πληρώσουμε, σταματάμε για λίγα δευτερόλεπτα και κάνουμε τρεις ερωτήσεις:
– Περίμενα αυτό το μήνυμα;
– Γιατί με πιέζει να ενεργήσω αμέσως;
– Μπορώ να επιβεβαιώσω όσα λέει χωρίς να χρησιμοποιήσω κανένα link ή τηλέφωνο που μου δίνει;
Αυτά τα λίγα δευτερόλεπτα μπορεί να είναι η αποτελεσματικότερη «αντιιική προστασία» απέναντι σε μια απάτη που δεν στοχεύει τόσο το λογισμικό του κινητού όσο τον ίδιο τον άνθρωπο που το κρατά στα χέρια του.