Αν λάβεις πρόσκληση για εκδήλωση, συνέδριο ή online meeting και σε σπρώχνει να συνδεθείς ξανά στο Google account σου, σταμάτα πριν πατήσεις οτιδήποτε. Η νέα εκστρατεία phishing που στοχεύει ερευνητικούς κύκλους στην Ταϊβάν δείχνει πόσο πειστικά δουλεύουν πλέον οι επιθέσεις τύπου adversary-in-the-middle: δεν ψάχνουν απλώς τον κωδικό σου, αλλά παρεμβάλλονται ανάμεσα σε σένα και τη σελίδα σύνδεσης για να αρπάξουν και το MFA code.
Το πρακτικό μάθημα δεν αφορά μόνο όσους δουλεύουν σε ερευνητικό περιβάλλον. Η ίδια λογική χτυπά Gmail, Google Workspace, Android συσκευές και μικρές επιχειρήσεις που χρησιμοποιούν κοινά inbox, ημερολόγια, cloud αρχεία και λογαριασμούς με μία μόνο συσκευή επιβεβαίωσης. Αν ένας λογαριασμός πέσει, συχνά ακολουθούν mail, Drive, επαφές, συζητήσεις και εσωτερικά έγγραφα.
TL;DR: Μην εμπιστεύεσαι προσκλήσεις που σε οδηγούν σε νέα σελίδα login. Έλεγξε το domain, ενεργοποίησε passkeys όπου γίνεται, προτίμησε authenticator app ή hardware key αντί για SMS, και βάλε ξεχωριστούς κανόνες ασφαλείας στα εταιρικά Google accounts.
Πώς σε παγιδεύει μια «αθώα» πρόσκληση
Η παγίδα συνήθως ξεκινά με κάτι που μοιάζει καθημερινό: μια πρόσκληση για ημερομηνία meeting, event ή webinar. Το μήνυμα έχει σωστή γλώσσα, γνωστό ύφος και συχνά φαίνεται να σχετίζεται με πραγματικό επαγγελματικό κύκλο. Το κλικ δεν σε πηγαίνει πάντα σε κλασική ψεύτικη φόρμα. Μπορεί να σε οδηγήσει σε σελίδα που μιμείται πολύ καλά το Google login ή το SSO της εταιρείας σου και να «περνά» ζωντανά τα διαπιστευτήρια σε επιτιθέμενο που παρακολουθεί τη διαδικασία σε πραγματικό χρόνο.
Αυτό είναι το πρόβλημα με τα AitM σενάρια: ακόμα κι αν βάλεις σωστό κωδικό και λάβεις MFA prompt, ο εισβολέας μπορεί να χρησιμοποιήσει το session ή τον κωδικό μιας χρήσης πριν λήξει. Άρα δεν αρκεί πια το «έχω 2FA, είμαι ΟΚ». Χρειάζεται τρόπος ελέγχου που να δένει τον λογαριασμό με την πραγματική συσκευή ή με κλειδί ασφαλείας, όχι απλώς με έναν κωδικό που μπορεί να αναπαραχθεί.
Τι να ελέγξεις στο Gmail και στο Google account σου σήμερα
Ξεκίνα από τα βασικά. Άνοιξε το Google account σου και δες αν έχεις συνδεθεί με passkey ή security key. Αν βασίζεσαι ακόμη σε SMS ή σε push επιβεβαιώσεις που πατιούνται βιαστικά, ανεβάζεις το ρίσκο. Για προσωπικούς λογαριασμούς, η καλύτερη αλλαγή είναι να περάσεις σε passkeys όπου υποστηρίζονται. Για πιο ευαίσθητους λογαριασμούς, βάλε hardware security key. Είναι πιο άβολο στην αρχή, αλλά κόβει μεγάλο κομμάτι του phishing.
Στο Gmail, άνοιξε το Security Checkup και έλεγξε τρία σημεία: πρόσφατες συσκευές, τρίτες εφαρμογές με πρόσβαση στον λογαριασμό και δραστηριότητα σύνδεσης από άγνωστες χώρες ή πόλεις. Αν δεις οτιδήποτε που δεν αναγνωρίζεις, αποσύνδεσε τις ύποπτες συνεδρίες, άλλαξε κωδικό και κάνε άμεσα έλεγχο στα recovery methods. Πολλές επιθέσεις δεν σταματούν στο πρώτο login· ψάχνουν και εφεδρικά email ή τηλέφωνα ανάκτησης.
Για Android, κράτα ενημερωμένο το σύστημα και την έκδοση του Google Play Services. Οι νέες AI άμυνες που αρχίζουν να εμφανίζονται σε επιλέξιμες συσκευές βοηθούν κυρίως σε scam messages και ύποπτες κλήσεις, αλλά δεν αντικαθιστούν το δικό σου filtering. Ένα κινητό που αναγνωρίζει καλύτερα spam παραμένει ευάλωτο αν εσύ ανοίξεις χειροκίνητα έναν ψεύτικο σύνδεσμο μέσα από email ή chat.
Πρακτικά μέτρα για μικρές επιχειρήσεις και ομάδες
Αν διαχειρίζεσαι μικρή επιχείρηση, το θέμα δεν είναι μόνο η ατομική πειθαρχία. Θέλει πολιτική. Δώσε προτεραιότητα σε Google Workspace λογαριασμούς με passkeys ή hardware keys για όσους έχουν πρόσβαση σε οικονομικά στοιχεία, CRM, admin κονσόλες και shared drives. Μη στηρίζεσαι μόνο σε SMS 2FA για κρίσιμους ρόλους. Αν κάποιος πέσει θύμα phishing, ο εισβολέας μπορεί να κινηθεί γρήγορα μέσα από Gmail, Drive και Calendar για να βρει τιμολόγια, στοιχεία πελατών ή εσωτερικές επικοινωνίες.
Κλείδωσε και τα recovery paths. Συχνό λάθος στις μικρές ομάδες είναι ότι ένας λογαριασμός ανάκτησης μένει σε προσωπικό τηλέφωνο ή σε παλιό email που δεν ελέγχεται συχνά. Επίσης, μην αφήνεις όλους τους εργαζόμενους να εγκρίνουν νέες εφαρμογές τρίτων χωρίς έλεγχο. Τα permission prompts είναι συχνή πίσω πόρτα: μια εφαρμογή ημερολογίου ή συνεργασίας που ζητά υπερβολική πρόσβαση μπορεί να αποδυναμώσει όλη την άμυνα.
Και κάτι ακόμα χρήσιμο για ελληνικά γραφεία: αν χρησιμοποιείτε κοινά Gmail, ημερολόγια ή Google Drive για πελάτες και συνεργάτες, βάλτε ένα απλό playbook. Ποιος ειδοποιείται πρώτος, ποιος αλλάζει κωδικούς, ποιος ανακαλεί sessions και ποιος ελέγχει αν έχουν σταλεί ύποπτα μηνύματα από τον λογαριασμό. Στην πράξη, τα πρώτα 15 λεπτά μετρούν περισσότερο από την «τέλεια» έρευνα μετά.
Το φίλτρο που χρειάζεσαι πριν πατήσεις link
Πριν ανοίξεις πρόσκληση ή login page, κάνε τέσσερις γρήγορους ελέγχους: ποιος έστειλε το μήνυμα, αν το domain ταιριάζει ακριβώς με την υπηρεσία, αν το link οδηγεί σε αναμενόμενο address και αν η σελίδα σε πιέζει να δράσεις τώρα. Οι επιθέσεις τύπου event invite βασίζονται στη βιασύνη και στη συνήθεια. Όσο πιο επαγγελματικό φαίνεται το μήνυμα, τόσο πιο πιθανό είναι να το περάσεις χωρίς δεύτερη σκέψη.
Αν κάτι σου φαίνεται περίεργο, μην πας από το link. Άνοιξε εσύ χειροκίνητα το Gmail, το Calendar ή το εταιρικό portal και ψάξε εκεί την πρόσκληση. Το ίδιο ισχύει και για κινητό: μην συνδέεσαι σε λογαριασμό από link που έρχεται στο inbox ή σε chat, ειδικά αν εμφανίζεται μέσα από browser view που δεν ξέρεις καλά. Η διαφορά ανάμεσα σε μια ασφαλή ρουτίνα και σε ένα compromise συχνά είναι ένα επιπλέον κλικ.
Για όσους δουλεύουν σε research, media, νομικές ή οικονομικές ομάδες, το ρίσκο ανεβαίνει ακόμα περισσότερο, γιατί ένας λογαριασμός δίνει πρόσβαση όχι μόνο σε επικοινωνία αλλά και σε δίκτυο συνεργατών. Εκεί, η προστασία δεν είναι «καλό να υπάρχει». Είναι βασική επιχειρησιακή άμυνα.
Τεκμηρίωση
- The Hacker News – UAT-11985 Uses Fake Event Invites to Target Taiwan Research Affiliates With Google AitM Phishing
- BleepingComputer – Android gets AI defenses against messaging scams, fake calls
- The Hacker News – OpenAI Research Model Spent 3rd-Party Test ETH Without Permission to Deploy Smart Contract
