Οι κυβερνοεγκληματίες αναβιώνουν παλιές τεχνικές phishing, προσαρμόζοντάς τες στα νέα δεδομένα του 2025, σύμφωνα με πρόσφατη έκθεση της Kaspersky. Από παραπλανητικές προσκλήσεις σε ημερολόγια και ψεύτικα φωνητικά μηνύματα, έως καλοσχεδιασμένες επιθέσεις που παρακάμπτουν τον πολυπαραγοντικό έλεγχο ταυτότητας (MFA), οι μέθοδοι γίνονται πιο στοχευμένες και πιο δύσκολες να εντοπιστούν.
Η εταιρεία προειδοποιεί ότι οι επιθέσεις αυτές δεν βασίζονται πλέον μόνο στην απροσεξία των χρηστών, αλλά στην ψυχολογία της καθημερινότητας – εκεί όπου μια απλή ειδοποίηση ή ένα “ουδέτερο” email μπορεί να οδηγήσει σε υποκλοπή στοιχείων. Η Kaspersky υπογραμμίζει την ανάγκη διαρκούς εκπαίδευσης των εργαζομένων, προσομοιώσεων phishing και σύγχρονων λύσεων ασφαλείας email για την έγκαιρη ανίχνευση και αποτροπή τέτοιων επιθέσεων.
Τα ευρήματα υπογραμμίζουν την κρισιμότητα εγρήγορσης των χρηστών, εκπαίδευσης των εργαζομένων και προηγμένων λύσεων προστασίας email για την αντιμετώπιση αυτών των επίμονων απειλών. Οι ειδικοί προειδοποιούν ότι το phishing εξελίσσεται πιο γρήγορα απ’ ό,τι οι άμυνες των οργανισμών — και πως η ψηφιακή εγρήγορση παραμένει το πιο αποτελεσματικό “τείχος” απέναντι στις επιθέσεις της νέας εποχής.
Phishing μέσω ημερολογίου: Στόχος οι υπάλληλοι γραφείου
Μια τακτική που εμφανίστηκε για πρώτη φορά στα τέλη της δεκαετίας του 2010, το phishing μέσω ημερολογίου, επανεμφανίζεται με επίκεντρο τα επιχειρηματικά περιβάλλοντα (B2B). Οι επιτιθέμενοι στέλνουν emails με προσκλήσεις για calendar events, συχνά χωρίς καθόλου κείμενο στο σώμα του μηνύματος, κρύβοντας κακόβουλους συνδέσμους στην περιγραφή. Όταν ο χρήστης ανοίξει την πρόσκληση, το συμβάν προστίθεται αυτόματα στο ημερολόγιό του και οι υπενθυμίσεις τον παρακινούν να πατήσει συνδέσμους που οδηγούν σε ψεύτικες σελίδες εισόδου – συνήθως απομιμήσεις της Microsoft. Η μέθοδος αυτή, ενώ αρχικά στοχοποιούσε μαζικά χρήστες του Google Calendar, επικεντρώνεται πλέον σε υπαλλήλους γραφείου. Οι οργανισμοί συνιστάται να πραγματοποιούν τακτικές εκπαιδεύσεις ενημέρωσης για το phishing, όπως προσομοιώσεις επιθέσεων, ώστε οι εργαζόμενοι να μάθουν να επαληθεύουν τις απρόσμενες προσκλήσεις ημερολογίου.
Phishing μέσω φωνητικών μηνυμάτων με παράκαμψη του CAPTCHA
Οι δράστες χρησιμοποιούν πλέον αφαιρετικά emails με τη μορφή ειδοποιήσεων φωνητικών μηνυμάτων, που περιέχουν ελάχιστο κείμενο και έναν σύνδεσμο προς μια απλή σελίδα. Το πάτημα του συνδέσμου ενεργοποιεί μια αλληλουχία επαληθεύσεων CAPTCHA για την παράκαμψη των φίλτρων ασφαλείας, οδηγώντας τελικά τον χρήστη σε μια ψεύτικη σελίδα εισόδου Google, η οποία επαληθεύει τις διευθύνσεις email και καταγράφει τους κωδικούς πρόσβασης. Η πολύπλοκη αυτή τακτική εξαπάτησης επισημαίνει την ανάγκη για εκπαιδευτικά προγράμματα προσωπικού, όπως διαδραστικά μαθήματα αναγνώρισης ύποπτων συνδέσμων, καθώς και για προηγμένες λύσεις προστασίας email, όπως το Kaspersky SecureMail, που εντοπίζουν και μπλοκάρουν τέτοιες συγκαλυμμένες τεχνικές.
Παράκαμψη MFA μέσω ψεύτικων login σε cloud υπηρεσίες
Αυτές οι εξελιγμένες εκστρατείες phishing στοχεύουν στην παράκαμψη του πολυπαραγοντικού ελέγχου ταυτότητας (MFA) μέσω απομιμήσεων υπηρεσιών όπως το pCloud (μια πλατφόρμα αποθήκευσης αρχείων με κρυπτογράφηση, κοινή χρήση και backup). Τα emails, που παρουσιάζονται ως ουδέτερες follow-up ειδοποιήσεις υποστήριξης, οδηγούν σε ψεύτικες σελίδες σύνδεσης με domains που μοιάζουν με τα αυθεντικά (π.χ. pcloud.online). Οι σελίδες αυτές επικοινωνούν μέσω API με την πραγματική υπηρεσία pCloud, επαληθεύοντας τα email και ζητώντας OTP κωδικούς και συνθηματικά, παρέχοντας έτσι στους επιτιθέμενους πλήρη πρόσβαση στους λογαριασμούς. Για την αντιμετώπιση τέτοιων επιθέσεων, οι οργανισμοί πρέπει να εφαρμόζουν υποχρεωτική εκπαίδευση κυβερνοασφάλειας και να χρησιμοποιούν λύσεις ασφαλείας email, όπως το Kaspersky Security for Mail Servers, που εντοπίζει ύποπτα domains και API-based επιθέσεις.
«Με τις εκστρατείες phishing να γίνονται ολοένα και πιο παραπλανητικές, η Kaspersky συνιστά στους χρήστες να αντιμετωπίζουν με προσοχή ασυνήθιστα συνημμένα emails, για παράδειγμα PDF που προστατεύονται με κωδικό ή QR codes, και να ελέγχουν πάντα το URL πριν εισαγάγουν οποιαδήποτε στοιχεία. Οι οργανισμοί θα πρέπει να υιοθετήσουν ολοκληρωμένα προγράμματα εκπαίδευσης με ρεαλιστικές προσομοιώσεις και πρακτικές αναγνώρισης phishing επιθέσεων. Παράλληλα, η εγκατάσταση ισχυρών λύσεων προστασίας email εξασφαλίζει τον έγκαιρο εντοπισμό και αποκλεισμό προηγμένων τεχνικών phishing», σχολιάζει ο Roman Dedenok, ειδικός κατά του spam στην Kaspersky.
