Οι απατεώνες δεν χρειάζονται πια πάντα ψεύτικο e-mail που «φωνάζει» απάτη. Τώρα στήνουν πειστικές προσκλήσεις για events με ονόματα όπως OpenAI, SpaceX και Anthropic, και τις χρησιμοποιούν για να οδηγήσουν εργαζόμενους σε σελίδες phishing που κλέβουν κωδικούς και ενεργές συνεδρίες σε Microsoft και Google λογαριασμούς.
Το κόλπο είναι αποτελεσματικό γιατί πατάει σε κάτι πολύ ανθρώπινο: τη βιασύνη να δεις ένα «κλειστό» event, ένα demo ή μια πρόσκληση που φαίνεται επαγγελματική. Για μικρές επιχειρήσεις, αυτό είναι από τα πιο επικίνδυνα σενάρια, επειδή ένα παραβιασμένο εταιρικό Gmail ή Microsoft 365 account δεν σημαίνει μόνο χαμένο inbox. Μπορεί να σημαίνει πρόσβαση σε Drive, αρχεία πελατών, τιμολόγια, συνομιλίες και εσωτερικές ροές εργασίας.
Πώς στήνεται η παγίδα μέσα από μια απλή πρόσκληση
Η βασική ιδέα είναι απλή: ο χρήστης λαμβάνει μια πρόσκληση για τεχνολογικό event ή demo που δείχνει απολύτως νόμιμη. Το θέμα, τα λογότυπα, η γλώσσα και το ύφος δίνουν αέρα αξιοπιστίας. Το link οδηγεί σε σελίδα που μιμείται login portal ή σε flow που ζητά επανεπιβεβαίωση λογαριασμού, CAPTCHA, άδεια πρόσβασης ή «σύνδεση για εγγραφή».
Από εκεί και πέρα, οι επιτιθέμενοι δεν κυνηγούν μόνο τον κωδικό. Κυνηγούν και το session token, δηλαδή το ψηφιακό «κλειδί» που κρατά έναν χρήστη συνδεδεμένο. Αυτό τους επιτρέπει να παρακάμψουν ακόμη και τον κωδικό, αν ο λογαριασμός δεν έχει σωστά στημένα μέτρα προστασίας.
Τι πρέπει να προσέξεις σε Gmail, Microsoft 365 και εταιρικά inbox
Αν δουλεύεις σε Gmail ή Microsoft 365, υπάρχουν μερικά σημάδια που αξίζουν προσοχή πριν πατήσεις οτιδήποτε:
- Πρόσκληση με γενικόλογο αποστολέα ή domain που μοιάζει «σωστό» αλλά δεν είναι.
- Link που σε βγάζει σε σελίδα login με παράξενη διεύθυνση, ακόμα κι αν το design φαίνεται γνώριμο.
- Αίτημα για γρήγορη επιβεβαίωση συμμετοχής, εγγραφή ή πρόσβαση σε υλικό.
- Σελίδα που ζητά ξανά σύνδεση ενώ ήδη βλέπεις τον οργανισμό που υποτίθεται ότι σε κάλεσε.
- Μήνυμα που πιέζει για άμεση ενέργεια, λες και θα χάσεις κάτι αν αργήσεις.
Σε Ελλάδα και Κύπρο, αυτό το μοτίβο είναι ιδιαίτερα επικίνδυνο σε λογιστικά γραφεία, μικρές ομάδες πωλήσεων, ξενοδοχεία, e-shops και εταιρείες που δουλεύουν έντονα με Microsoft 365 ή Google Workspace. Εκεί ένα compromise σε έναν λογαριασμό μπορεί να ανοίξει δρόμο και σε άλλα συστήματα, ειδικά αν ο ίδιος κωδικός επαναχρησιμοποιείται παντού.
Οι ρυθμίσεις που αξίζει να αλλάξεις σήμερα
Αν θέλεις πραγματικό κέρδος από την ασφάλεια, μην μείνεις στο «να είμαι προσεκτικός». Δες τις ρυθμίσεις που έχουν άμεσο αποτέλεσμα:
- Ενεργοποίησε passkeys όπου υποστηρίζονται σε Google και Microsoft. Μειώνουν πολύ την εξάρτηση από κωδικούς.
- Χρησιμοποίησε 2FA με authenticator app και όχι μόνο με SMS, ειδικά για εταιρικούς λογαριασμούς.
- Έλεγξε τα active sessions σε Gmail και Microsoft Account και αποσύνδεσε ό,τι δεν αναγνωρίζεις.
- Ανανέωσε τους κωδικούς μόνο αν έχεις ένδειξη έκθεσης ή αν χρησιμοποιείς ίδιο password σε πολλαπλές υπηρεσίες.
- Όρισε MFA για όλους σε μικρή επιχείρηση, όχι μόνο για το αφεντικό ή τον IT υπεύθυνο.
Αν είσαι διαχειριστής, έλεγξε επίσης αν οι χρήστες μπορούν να δίνουν consent σε εφαρμογές τρίτων χωρίς έλεγχο. Πολλά phishing σενάρια δεν μένουν μόνο στο login, αλλά προσπαθούν να πάρουν άδεια πρόσβασης σε mailbox, files ή calendar.
Το έξτρα ρίσκο από τα Chromium bugs σε Chrome και Edge
Μέσα στο ίδιο κλίμα ασφάλειας εμφανίστηκαν και δύο CVE στο Chromium οικοσύστημα, που επηρεάζει τόσο το Google Chrome όσο και το Microsoft Edge. Δεν είναι το ίδιο πράγμα με το phishing, αλλά στην πράξη τα δύο συχνά συναντιούνται: μια κακόβουλη σελίδα μπορεί να εκμεταλλευτεί browser weakness, ενώ ο χρήστης νομίζει ότι απλώς «άνοιξε ένα event link».
Γι’ αυτό ο browser δεν πρέπει να μένει πίσω. Αν έχεις Chrome ή Edge σε Windows, κάνε update άμεσα. Το ίδιο ισχύει και για εταιρικούς υπολογιστές, όπου οι ενημερώσεις καθυστερούν συχνά επειδή κάποιος φοβάται ότι θα «σπάσει» κάτι. Στην πράξη, όμως, ένα παλιό browser είναι συχνά πιο επικίνδυνο από μια προσωρινή ασυμβατότητα.
Πρακτικό πλάνο για χρήστες και μικρές επιχειρήσεις
Αν θες να μειώσεις το ρίσκο χωρίς να γίνεις παρανοϊκός, ακολούθησε αυτό το απλό πλάνο:
- Μην ανοίγεις προσκλήσεις ή attachments από απρόσμενα event invites χωρίς έλεγχο domain.
- Πέρνα το ποντίκι πάνω από τα links ή άνοιξέ τα μόνο από επιβεβαιωμένο site, όχι από το μήνυμα.
- Βάλε password manager για να μη μπερδεύεσαι σε ψεύτικες σελίδες login.
- Κάνε update Chrome, Edge και mobile browser σε όλα τα εταιρικά και προσωπικά devices.
- Κλείδωσε τους βασικούς λογαριασμούς με passkeys ή authenticator-based 2FA.
- Αν κάποιος υπάλληλος πάτησε λάθος link, άλλαξε άμεσα κωδικούς και έλεγξε πρόσφατα sign-ins, mail forwarding και connected apps.
Για πολλές μικρές επιχειρήσεις, το μεγαλύτερο λάθος δεν είναι η επίθεση. Είναι ότι δεν έχουν έτοιμη διαδικασία όταν κάτι πάει στραβά. Ένα απλό playbook 15 λεπτών για «ύποπτο login», «παράξενη πρόσκληση» και «χαμένο session» αξίζει περισσότερο από δέκα αφίσες με γενικά tips.
Η ουσία είναι ξεκάθαρη: οι απατεώνες ποντάρουν σε γνωστά brands, σε ανθρώπους που βιάζονται και σε λογαριασμούς που δεν έχουν σωστά στημένη προστασία. Αν δεις πρόσκληση για OpenAI, SpaceX ή άλλο μεγάλο όνομα, μην τη διαβάσεις σαν event. Διάβασέ τη σαν πιθανό σημείο εισόδου σε ένα λογαριασμό που αν χαθεί, μπορεί να συμπαρασύρει και άλλα.
