Ενότητα 1 · 1.2
Phishing, απάτη τύπου CEO και απάτη τιμολογίων
Ενότητα 1: Γιατί είστε στόχος · Χρόνος ανάγνωσης: 10 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να αναγνωρίζετε τον τρόπο λειτουργίας του phishing, της απάτης τύπου CEO και της απάτης τιμολογίων (BEC), και να θεσπίσετε μια διαδικασία πληρωμών με τηλεφωνική επιβεβαίωση.
Βασικές έννοιες: phishing, spear phishing, απάτη τύπου CEO, απάτη τιμολογίων, Business Email Compromise, αρχή των τεσσάρων ματιών, τηλεφωνική επιβεβαίωση σε γνωστό αριθμό
Τρεις μορφές του ίδιου κόλπου
Και οι τρεις επιθέσεις σε αυτό το μάθημα βασίζονται στην παραπλάνηση. Δεν γίνεται εισβολή σε έναν υπολογιστή: κάποιος πείθεται να κάνει ο ίδιος κάτι: να κάνει κλικ σε έναν σύνδεσμο, να συμπληρώσει έναν κωδικό πρόσβασης, να μεταφέρει χρήματα. Αυτό ονομάζεται social engineering. Λειτουργεί επειδή εκμεταλλεύεται συνηθισμένες ανθρώπινες αντιδράσεις: θέλετε να βοηθήσετε το αφεντικό σας, να πληρώσετε εγκαίρως έναν προμηθευτή, να λύσετε γρήγορα ένα πρόβλημα.
| Μορφή | Τι θέλει ο επιτιθέμενος | Τυπικό μήνυμα |
|---|---|---|
| Phishing | Στοιχεία σύνδεσης, στοιχεία πληρωμής ή κλικ σε κακόβουλο λογισμικό | "Το γραμματοκιβώτιό σας είναι γεμάτο, συνδεθείτε για να διατηρήσετε τα μηνύματά σας" |
| Απάτη τύπου CEO | Μια επείγουσα πληρωμή | "Βρίσκομαι σε συνάντηση, μπορείτε να κάνετε αυτή τη μεταφορά σήμερα; Μην το συζητήσετε με άλλους" |
| Απάτη τιμολογίων | Πληρωμή ενός πραγματικού τιμολογίου σε λάθος λογαριασμό | "Προσοχή: ο αριθμός λογαριασμού μας έχει αλλάξει" |
Η απάτη τύπου CEO και η απάτη τιμολογίων εντάσσονται στην αγγλική συλλογική ονομασία Business Email Compromise (BEC): απάτη όπου γίνεται κατάχρηση επαγγελματικού email και ένας απατεώνας εμφανίζεται ως κάποιος άλλος.
Phishing και spear phishing
Το phishing είναι ένα μήνυμα που εμφανίζεται ως αξιόπιστος αποστολέας, ώστε να κάνετε κάτι που διαφορετικά δεν θα κάνατε. Συνήθως πρόκειται για έναν σύνδεσμο προς μια πλαστή σελίδα σύνδεσης, για παράδειγμα του rnijnbank.example (με "rn" αντί για "m"), ή ένα συνημμένο με κακόβουλο λογισμικό. Το απλό phishing στέλνεται ταυτόχρονα σε μεγάλο αριθμό ανθρώπων, με μια γενική ιστορία.
Στο spear phishing το μήνυμα είναι προσαρμοσμένο σε εσάς. Ο επιτιθέμενος χρησιμοποιεί το όνομά σας, τη θέση σας, το όνομα ενός πραγματικού συναδέλφου ή προμηθευτή, ένα έργο στο οποίο εργάζεστε. Αυτές τις πληροφορίες τις βρίσκει στον ιστότοπό σας, στο LinkedIn, στο μητρώο ΓΕΜΗ ή σε ένα γραμματοκιβώτιο που διέρρευσε νωρίτερα. Επειδή το μήνυμα ταιριάζει με αυτό που περιμένετε, γίνεται πολύ λιγότερο αντιληπτό.
Τα ορθογραφικά λάθη δεν αποτελούν πλέον αξιόπιστο χαρακτηριστικό. Με προγράμματα μετάφρασης και γεννήτριες κειμένου AI, ένας απατεώνας γράφει άψογα ελληνικά. Στην ενότητα 3 θα μάθετε να αναγνωρίζετε το phishing από στοιχεία που ένας απατεώνας δεν μπορεί να μιμηθεί: το πραγματικό domain ενός συνδέσμου και τον τεχνικό αποστολέα ενός email.
Απάτη τύπου CEO
Στην απάτη τύπου CEO, κάποιος που πραγματοποιεί πληρωμές λαμβάνει ένα μήνυμα που φαίνεται να προέρχεται από τον διευθυντή ή τον ιδιοκτήτη. Η Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος περιγράφει τα σταθερά χαρακτηριστικά:
- Εξουσία: είναι εντολή, όχι ερώτημα.
- Μυστικότητα: "μην το συζητήσετε ακόμη με άλλους, πρόκειται για εξαγορά."
- Χρονική πίεση: πρέπει να γίνει σήμερα, πριν κλείσει η τράπεζα.
- Έναν αποστολέα που σχεδόν ταιριάζει: για παράδειγμα
directie@example-com.example, που με την πρώτη ματιά μοιάζει με το δικό σας domain, ή μια προσωπική διεύθυνση "επειδή βρίσκομαι εν κινήσει".
Μερικές φορές εμπλέκεται ένας "δικηγόρος" ή "λογιστής" που επιβεβαιώνει την εντολή: ανήκει στους απατεώνες. Και σύλλογοι και μικρές επιχειρήσεις προσεγγίζονται με αυτόν τον τρόπο: ο ταμίας λαμβάνει ένα email από "τον πρόεδρο".
Γιατί λειτουργεί; Επειδή σε μια μικρή επιχείρηση όλοι γνωρίζονται και εμπιστεύονται ο ένας τον άλλον. Ο εργαζόμενος θέλει να βοηθήσει, και η μυστικότητα φροντίζει ώστε να μην το ελέγξει γρήγορα με έναν συνάδελφο. Το μυστικό είναι ακριβώς ο στόχος του απατεώνα.
Απάτη τιμολογίων: μόνο το IBAN είναι διαφορετικό
Η απάτη τιμολογίων είναι πιο δύσκολο να αναγνωριστεί, επειδή το τιμολόγιο είναι συχνά γνήσιο. Ποσό, αριθμός παραγγελίας, λογότυπο, μορφοποίηση: όλα ταιριάζουν. Μόνο ο αριθμός λογαριασμού έχει αλλάξει. Σύμφωνα με τη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, αυτό συμβαίνει με διάφορους τρόπους: το τιμολόγιο υποκλέπτεται και τροποποιείται, στέλνεται μια ξεχωριστή επιστολή "ο αριθμός λογαριασμού μας άλλαξε", ή η ίδια η επιχείρηση έχει παραβιαστεί και ο απατεώνας στέλνει το email από το πραγματικό γραμματοκιβώτιο.
Αυτό το τελευταίο είναι σημαντικό να το κατανοήσετε. Αν το γραμματοκιβώτιο του προμηθευτή σας leverancier.example έχει καταληφθεί, το email προέρχεται πραγματικά από τη σωστή διεύθυνση. Όλοι οι τεχνικοί έλεγχοι (SPF, DKIM, DMARC από την ενότητα 4) περνούν επιτυχώς. Ο απατεώνας μπορεί να διάβαζε το γραμματοκιβώτιο για εβδομάδες, γνωρίζει ποια τιμολόγια εκκρεμούν και στέλνει το μήνυμά του ακριβώς τη σωστή στιγμή, στην ίδια αλληλογραφία. Ο έλεγχος της διεύθυνσης αποστολέα δεν βοηθάει εδώ.
Μια επώδυνη λεπτομέρεια: αν έχετε πληρώσει τον απατεώνα, κατά κανόνα εξακολουθείτε να οφείλετε το ποσό στον πραγματικό προμηθευτή.
Ένα παράδειγμα
Ο Φούρνος Παραδείγματος παραγγέλνει έναν νέο φούρνο από τον leverancier.example. Η προσφορά, η επιβεβαίωση παραγγελίας και το τιμολόγιο φτάνουν όλα κανονικά. Δύο ημέρες αργότερα ακολουθεί στην ίδια αλληλογραφία:
Αγαπητή Πέτρα, λόγω αλλαγής τράπεζας ο αριθμός λογαριασμού μας άλλαξε άμεσα. Μπορείτε να μεταφέρετε το ποσό του τιμολογίου του φούρνου στον νέο αριθμό; Ο παλιός αριθμός θα καταργηθεί την επόμενη εβδομάδα. Με εκτίμηση, Γιώργος
Η διεύθυνση είναι σωστή, το όνομα του Γιώργου είναι σωστό, ο αριθμός παραγγελίας ταιριάζει. Το μόνο που προδίδει την απάτη είναι το ίδιο το αίτημα: μια αλλαγή αριθμού λογαριασμού. Αυτή είναι πάντα μια στιγμή για έλεγχο, ποτέ μια στιγμή για να εμπιστευτείτε μόνο το email.
Η διαδικασία πληρωμών που το αποτρέπει
Δεν μπορείτε να αναγνωρίσετε κάθε πλαστό email. Μπορείτε όμως να φροντίσετε ώστε ένα πλαστό email να μην είναι αρκετό για να γίνει μια μεταφορά χρημάτων. Αυτό το πετυχαίνετε με μερικές σταθερές συμφωνίες.
- Τηλεφωνική επιβεβαίωση σε γνωστό αριθμό. Σε κάθε αλλαγή αριθμού λογαριασμού, και σε κάθε ασυνήθιστο αίτημα πληρωμής, καλέστε τον αποστολέα. Όχι στον αριθμό που αναγράφεται στο email ή στο τιμολόγιο, γιατί κι αυτός μπορεί να είναι πλαστός, αλλά σε έναν αριθμό που ήδη είχατε: από τη δική σας λογιστική, τη σύμβαση ή τον επίσημο ιστότοπο που πληκτρολογείτε εσείς οι ίδιοι.
- Μην απαντάτε στο email. Αν θέλετε να ελέγξετε μέσω email, πληκτρολογήστε εσείς οι ίδιοι τη διεύθυνση. Με το "απάντηση" μπορεί να καταλήξετε στον απατεώνα, για παράδειγμα μέσω ενός πεδίου Reply-To που οδηγεί σε άλλη διεύθυνση (μάθημα 3.3).
- Η αρχή των τεσσάρων ματιών. Πληρωμές πάνω από ένα σταθερό ποσό, νέοι δικαιούχοι και αλλαγμένοι αριθμοί λογαριασμού ελέγχονται από δύο άτομα. Σε μια ατομική επιχείρηση αυτό σημαίνει: ένας σταθερός χρόνος αναμονής και τηλεφωνική επιβεβαίωση πριν πληρώσετε.
- Καμία εξαίρεση μέσω email ή chat. Ο διευθυντής ποτέ δεν ζητά μέσω email ή WhatsApp να παρακαμφθεί η διαδικασία. Συμφωνήστε αυτό, ιδίως και με τον ίδιο τον διευθυντή. Έτσι όλοι γνωρίζουν: ένα μήνυμα με "μια φορά εκτός της κανονικής διαδικασίας" είναι εξ ορισμού ύποπτο.
- Καταγραφή στοιχείων. Ο αριθμός λογαριασμού ενός προμηθευτή βρίσκεται στη λογιστική σας. Συγκρίνετε τον αριθμό σε κάθε τιμολόγιο με αυτόν που ήδη είχατε. Από τον Οκτώβριο του 2025, οι τράπεζες στην ευρωζώνη ελέγχουν σε μια μεταφορά αν το όνομα που καταχωρίζετε ταιριάζει με τον αριθμό λογαριασμού (στα αγγλικά Verification of Payee). Λάβετε σοβαρά υπόψη μια σχετική προειδοποίηση. Όμως ένα θετικό αποτέλεσμα σημαίνει μόνο ότι το όνομα και ο λογαριασμός ταιριάζουν, όχι ότι ο παραλήπτης είναι έντιμος.
| Κατάσταση | Ενέργεια |
|---|---|
| Νέος αριθμός λογαριασμού από υπάρχοντα προμηθευτή | Τηλεφωνική επιβεβαίωση σε γνωστό αριθμό, έγκριση από δεύτερο άτομο |
| Επείγουσα πληρωμή κατόπιν αιτήματος διοίκησης | Τηλεφωνική ή προσωπική επιβεβαίωση, απλή τήρηση της διαδικασίας |
| Νέος προμηθευτής, πρώτο τιμολόγιο | Έλεγχος στοιχείων σε επίσημη πηγή, έγκριση από δεύτερο άτομο |
| Τιμολόγιο που φαίνεται διαφορετικό από το συνηθισμένο | Επιβεβαίωση πριν από την πληρωμή |
Αν κάτι πάει στραβά
Έχετε πληρώσει και δεν το εμπιστεύεστε πλέον; Τότε κάθε ώρα μετράει.
- Καλέστε αμέσως την τράπεζά σας και ρωτήστε αν η πληρωμή μπορεί να ανασταλεί ή να ανακτηθεί.
- Αναφέρετέ το στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/) και υποβάλετε καταγγελία στην Ελληνική Αστυνομία.
- Ειδοποιήστε τον προμηθευτή: αν το γραμματοκιβώτιό του έχει καταληφθεί, περισσότεροι πελάτες θα λάβουν πλαστά μηνύματα.
- Αν το μήνυμα προήλθε από το δικό σας γραμματοκιβώτιο ή αυτό ενός συναδέλφου, ενδέχεται να έχει καταληφθεί. Αλλάξτε τον κωδικό πρόσβασης, ανακαλέστε τις συνεδρίες και ελέγξτε τους κανόνες προώθησης (μαθήματα 2.5 και 3.5).
Σύνοψη
- Το phishing, η απάτη τύπου CEO και η απάτη τιμολογίων είναι social engineering: πείθεστε να κάνετε κάτι οι ίδιοι.
- Το spear phishing είναι προσαρμοσμένο σε εσάς και επομένως πολύ πιο πειστικό· τα ορθογραφικά λάθη δεν αποτελούν πλέον καλό χαρακτηριστικό.
- Η απάτη τύπου CEO παίζει με την εξουσία, τη μυστικότητα και τη χρονική πίεση.
- Στην απάτη τιμολογίων συχνά μόνο το IBAN είναι διαφορετικό, μερικές φορές από το πραγματικό παραβιασμένο γραμματοκιβώτιο του προμηθευτή.
- Μια διαδικασία πληρωμών με τηλεφωνική επιβεβαίωση σε γνωστό αριθμό και την αρχή των τεσσάρων ματιών αποτρέπει τις περισσότερες απάτες, ακόμη κι αν δεν αναγνωρίσετε το πλαστό email.
Κουίζ
Άσκηση
Άσκηση A1.2: Αναγνωρίστε την απάτη. Θα λάβετε έξι σύντομα μηνύματα. Υποδείξτε για κάθε μήνυμα αν πρόκειται πιθανώς για phishing, απάτη τύπου CEO, απάτη τιμολογίων ή κανονικό μήνυμα, και ποια ενέργεια θα κάνετε. Το πρόγραμμα ελέγχει τις απαντήσεις και δίνει για κάθε μήνυμα τα χαρακτηριστικά που θα μπορούσατε να είχατε παρατηρήσει.
Άσκηση D1.2: Η δική σας διαδικασία πληρωμών. Γράψτε τη διαδικασία πληρωμών της επιχείρησής σας σε μία σελίδα Α4: πότε θα γίνεται τηλεφωνική επιβεβαίωση, σε ποιον αριθμό, ποιος κάνει δεύτερο έλεγχο και από ποιο ποσό και πάνω. Συζητήστε τη με όλους όσοι πραγματοποιούν πληρωμές.
Άσκηση D1.2: Η δική σας διαδικασία πληρωμών
Έτσι το αντιμετωπίζετε: (1) Γράψτε σε μία σελίδα Α4 πότε μια πληρωμή χρειάζεται επιπλέον έλεγχο: αλλαγή αριθμού λογαριασμού, νέος δικαιούχος, ποσό πάνω από ένα όριο που επιλέγετε εσείς, επείγον αίτημα εκτός της συνήθους διαδικασίας. (2) Γράψτε πώς γίνεται η επιβεβαίωση με τηλεφωνική κλήση: μόνο σε αριθμό από το δικό σας αρχείο, τη σύμβαση ή την επίσημη ιστοσελίδα που πληκτρολογείτε εσείς οι ίδιοι. (3) Ορίστε ένα δεύτερο άτομο που θα ελέγχει (σε ατομική επιχείρηση: έναν σταθερό χρόνο αναμονής, για παράδειγμα μία νύχτα). (4) Συμφωνήστε με τη διοίκηση ότι η διαδικασία δεν παρακάμπτεται ποτέ μέσω email ή chat. (5) Συζητήστε το Α4 με όλους όσοι πραγματοποιούν πληρωμές και αναρτήστε το.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.
- Είναι αυτό το email πραγματικά από την WebOké; Αναγνώριση phishing και χρήση του κωδικού προσφοράς
- Μηνύματα email από την ICANN ή το registry σχετικά με το domain σας: πραγματικά ή ψεύτικα, και τι πρέπει να κάνετε;
- Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, απάτη τύπου CEO: https://www.cyberalert.gr/
- Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, αλλαγή αριθμού λογαριασμού σε τιμολόγιο: https://www.cyberalert.gr/
- Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος, υποκλαπέντα τιμολόγια: https://www.cyberalert.gr/