Αν χρησιμοποιείς Gmail, Google account ή Microsoft 365, το πιο ανησυχητικό κομμάτι αυτών των επιθέσεων δεν είναι ότι κλέβουν έναν κωδικό. Είναι ότι μπορούν να κλέψουν το «κλειδί» της ήδη ανοιχτής συνεδρίας σου και να μπουν στον λογαριασμό χωρίς να ξαναπεράσουν από το MFA. Εκεί ακριβώς πατάει το JSCeal, αλλά και τα πιο πρόσφατα phishing kits που στοχεύουν εταιρείες και μικρές ομάδες.
Με απλά λόγια: αν ένας χρήστης πέσει σε ένα κακόβουλο αρχείο, μια ψεύτικη σελίδα σύνδεσης ή ένα payload που στήνει τον έλεγχο πίσω από τα παρασκήνια, ο επιτιθέμενος δεν κυνηγά μόνο username και password. Θέλει το session cookie, το token ή ένα ήδη ενεργό browser session. Κι αυτό αλλάζει όλο το παιχνίδι για όσους πιστεύουν ότι «έχω 2FA, άρα είμαι καλυμμένος».
Πώς δουλεύει η νέα παγίδα πίσω από το login
Το JSCeal ξεχωρίζει γιατί δεν μοιάζει με το κλασικό, πρόχειρο malware που «φωνάζει» από μακριά. Χτίζεται σε compiled V8 JavaScript, κρύβει τα payloads του με obfuscation και αξιοποιεί τεχνικές που δυσκολεύουν την ανάλυση. Για τον χρήστη, όμως, το πρακτικό αποτέλεσμα είναι πιο απλό και πιο επικίνδυνο: μπορεί να καταγράψει διαπιστευτήρια, να παρακολουθεί τη δραστηριότητα και να πειράζει την κίνηση του browser ώστε να αρπάξει ό,τι χρειάζεται για πρόσβαση στον λογαριασμό.
Το κρίσιμο σημείο είναι ότι τα session cookies δεν είναι «απλός κωδικός». Είναι το αποδεικτικό ότι έχεις ήδη συνδεθεί. Αν ένας εισβολέας το αποκτήσει, μπορεί να παρουσιαστεί στο σύστημα σαν έγκυρος χρήστης, ακόμα κι αν εσύ έχεις ενεργοποιήσει έλεγχο δύο παραγόντων. Γι’ αυτό βλέπουμε επιθέσεις που δεν σπάνε το MFA με brute force, αλλά το παρακάμπτουν στην πράξη, κλέβοντας τη συνεδρία μετά τη σύνδεση.
Ποιοι κινδυνεύουν περισσότερο σε Ελλάδα και μικρές επιχειρήσεις
Ο μεγαλύτερος κίνδυνος δεν αφορά μόνο μεγάλες εταιρείες. Στην πράξη, στο στόχαστρο μπαίνουν μικρά λογιστικά γραφεία, τεχνικά γραφεία, e-shops, συνεργεία, ελεύθεροι επαγγελματίες και ομάδες που δουλεύουν καθημερινά σε Gmail, Google Drive, Microsoft 365 και remote support εργαλεία όπως το ScreenConnect ή το Quick Assist. Εκεί ακριβώς βλέπουμε και το δεύτερο μοτίβο: ψεύτικα installers, τεχνική υποστήριξη-απάτη και VBScript chains που ανοίγουν την πόρτα σε επόμενα στάδια.
Για μια μικρή επιχείρηση, μια τέτοια παραβίαση δεν σημαίνει μόνο χαμένο email. Μπορεί να σημαίνει αλλαγή στοιχείων τιμολόγησης, κλοπή επαφών, πρόσβαση σε οικονομικά έγγραφα, πλαστά μηνύματα προς πελάτες ή εσωτερική διάδοση του ίδιου payload σε άλλους σταθμούς εργασίας. Αν κάποιος μπει σε εταιρικό mailbox, πολλές φορές έχει ήδη μπει και στο workflow της επιχείρησης.
Οι ρυθμίσεις που αξίζει να ελέγξεις σήμερα
Αν χρησιμοποιείς Google account, άνοιξε τον έλεγχο ασφάλειας του λογαριασμού και δες από ποιες συσκευές είσαι συνδεδεμένος. Βγάλε ό,τι δεν αναγνωρίζεις, άλλαξε κωδικό αν έχεις υποψία παραβίασης και κάνε sign out από όλες τις συνεδρίες. Το ίδιο ισχύει για Microsoft 365, ειδικά αν το mailbox σου συνδέεται με πελάτες, τιμολόγια ή shared folders.
Μην μείνεις στο SMS 2FA αν μπορείς να το αποφύγεις. Προτίμησε passkeys ή, έστω, authenticator app με ισχυρή συσκευή. Τα push prompts θέλουν προσοχή, γιατί αρκετές επιθέσεις βασίζονται σε fatigue και σε χρήστες που πατάνε «Approve» μηχανικά. Στο Gmail και στο Google account έλεγξε επίσης τα recovery email και recovery phone, γιατί αν έχουν αλλαχτεί, ο εισβολέας μπορεί να κρατήσει πρόσβαση ακόμα κι αν αλλάξεις password.
Για χρήστες Windows 11, έχει νόημα να κοιτάξεις αν το σύστημα έχει πολιτικές απομακρυσμένης υποστήριξης που δεν χρειάζεσαι, αν τρέχουν άγνωστα scripts και αν ο browser επιτρέπει εγκατάσταση επεκτάσεων από πηγές που δεν εμπιστεύεσαι. Πολύ συχνά η αρχική είσοδος δεν γίνεται από «χακάρισμα» με την κλασική έννοια, αλλά από ένα αρχείο που ο χρήστης άνοιξε μόνος του επειδή έμοιαζε με τιμολόγιο, ενημέρωση courier ή αίτημα υποστήριξης.
Τι να προσέξεις σε mail, αρχεία και remote support
Το πιο αποτελεσματικό φίλτρο παραμένει η καχυποψία στα επείγοντα μηνύματα. Αν ένα email σπρώχνει να ανοίξεις συνημμένο MSI, ZIP, Office αρχείο με macro ή να καλέσεις σε «τεχνική υποστήριξη», σταμάτα πριν κάνεις κλικ. Οι επιθέσεις αυτές βασίζονται στη βιασύνη. Θέλουν να σε βγάλουν από τη ρουτίνα.
Στα εταιρικά περιβάλλοντα, το remote support πρέπει να είναι εργαλείο με κανόνες, όχι πρόχειρη λύση επειδή «βόλευε». Βάλε whitelist για τα εργαλεία που επιτρέπεις, έλεγξε ποιος μπορεί να ξεκινήσει απομακρυσμένη σύνδεση και κλείσε ό,τι δεν χρησιμοποιείς συστηματικά. Το ίδιο ισχύει και για browser-based sign-ins: αν μια σελίδα σύνδεσης σε σπρώχνει να κάνεις verify με τρόπο που δεν έχεις ξαναδεί, καλύτερα να μπεις από τα αποθηκευμένα bookmarks ή απευθείας από την εφαρμογή, όχι από link που ήρθε στο mail ή στο chat.
Αν υποψιάζεσαι ότι έχει γίνει παραβίαση
Κάνε αμέσως sign out από όλες τις συσκευές στον Google ή Microsoft λογαριασμό σου. Άλλαξε κωδικό από καθαρή συσκευή, όχι από το ίδιο laptop που ίσως έχει μολυνθεί. Έλεγξε αν δημιουργήθηκαν κανόνες προώθησης email, αν άλλαξαν recovery στοιχεία και αν υπάρχουν άγνωστες συνδέσεις σε εφαρμογές τρίτων με πρόσβαση στο mailbox ή στο Drive.
Για επιχείρηση, απομόνωσε τον σταθμό εργασίας, έλεγξε logs για ασυνήθιστες συνδέσεις και ενημέρωσε άμεσα όσους μπορεί να έλαβαν mail από τον παραβιασμένο λογαριασμό. Αν υπάρχουν κοινόχρηστα OneDrive, SharePoint ή Google Drive links, έλεγξε τι έχει κοινοποιηθεί και σε ποιους. Σε τέτοιες επιθέσεις, το πρόβλημα δεν είναι μόνο η είσοδος. Είναι και το τι προλαβαίνει να κάνει ο εισβολέας όσο μένει μέσα.
Το πρακτικό συμπέρασμα είναι απλό: το password μόνο του δεν αρκεί, και το MFA δεν είναι μαγική ασπίδα αν η συσκευή ή η συνεδρία σου έχει ήδη παραβιαστεί. Οι πιο χρήσιμες κινήσεις σήμερα είναι καθαρές συνήθειες, έλεγχος συνεδριών, passkeys όπου γίνεται, σωστό remote support και λιγότερη εμπιστοσύνη σε links, installers και «επείγοντα» μηνύματα. Όποιος τα κάνει αυτά, μειώνει πολύ το ρίσκο να χάσει Gmail, Microsoft 365 ή ολόκληρο το εταιρικό του email.
