Αν εργάζεστε στον τομέα της ασφάλειας ή της συμμόρφωσης, μπορεί να σας φαίνεται ότι κάθε χρόνο ανακηρύσσεται «η χρονιά του phishing». Τα κακά νέα: αυτό ισχύει ακόμα και το 2026. Τα καλά νέα: οι τάσεις είναι περισσότερο εξέλιξη παρά επιστημονική φαντασία.

Τα περισσότερα από αυτά που θα δούμε το 2026 βασίζονται άμεσα σε ό,τι ήδη πλήττει τις οργανώσεις σήμερα: απάτες με QR και κινητά, κατάχρηση συγκατάθεσης SaaS, παραβίαση επιχειρηματικών email (BEC) και επιτιθέμενοι που στοχεύουν την ίδια την εμπιστοσύνη και όχι μόνο τους κωδικούς πρόσβασης. Σημαντικές εκθέσεις απειλών από την ENISA και τη Microsoft εξακολουθούν να αναφέρουν την κοινωνική μηχανική και το phishing ως κορυφαίους κινδύνους, με το smishing (SMS phishing) και τις επιθέσεις με βάση QR («quishing») να αυξάνονται ραγδαία (για παράδειγμα, οι περιλήψεις του Threat Landscape της ENISA: Επισκόπηση του Threat Landscape της ENISA και η έκθεση Threat Landscape 2023 της ENISA: Έκθεση ENISA Threat Landscape 2023, καθώς και τις εκθέσεις Digital Defense της Microsoft: Πύλη εκθέσεων Microsoft Digital Defense).

Αυτό το εγχειρίδιο σας παρουσιάζει 10 συγκεκριμένες τάσεις phishing για το 2026, γιατί είναι σημαντικές ειδικά για τις ΜΜΕ και τι μπορείτε ρεαλιστικά να κάνετε τους επόμενους 90 ημέρες—χωρίς να χρειάζεστε προϋπολογισμό Χόλιγουντ.

---

Η σύντομη λίστα: τι αλλάζει πραγματικά το 2026

Ακολουθεί η σύντομη παρουσίαση για την επόμενη συνεδρίαση του διοικητικού συμβουλίου ή της διοίκησης:

• Το BEC με τη βοήθεια deepfake γίνεται mainstream
  Η πλαστοπροσωπία φωνής και βίντεο μετατρέπεται από «ουάου, ωραία επίδειξη» σε «η ομάδα οικονομικών έλαβε πράγματι μια τέτοια κλήση την περασμένη εβδομάδα». Οι νεότερες εκδόσεις της Έκθεσης Ψηφιακής Άμυνας της Microsoft αναφέρουν ρητά τα deepfakes ως παράγοντα που διευκολύνει το BEC (για παράδειγμα: Έκθεση Ψηφιακής Άμυνας της Microsoft 2025 (PDF)).

• Το phishing ακολουθεί τις συνομιλίες και τους κωδικούς QR
  Οι ροές σύνδεσης μέσω WhatsApp, Signal, Teams και QR γίνονται πρωταρχικοί στόχοι, όχι δευτερεύουσες αποστολές. Οι εκθέσεις του ENISA για τον τομέα και το τοπίο απειλών στον χρηματοοικονομικό τομέα επισημαίνουν το smishing και το phishing με βάση QR ως ανερχόμενους φορείς επίθεσης: ENISA Threat Landscape – Finance Sector.

• Οι κωδικοί πρόσβασης έχουν λιγότερη σημασία από τα tokens και τις συγκαταθέσεις
  Το phishing συγκατάθεσης OAuth και η κλοπή session-tokens παρέχουν στους επιτιθέμενους διαρκή πρόσβαση χωρίς να χρειάζεται να «συνδεθούν». Δείτε το άρθρο της Microsoft «Επεξήγηση και πρόληψη του phishing συγκατάθεσης OAuth»: Blog Microsoft Entra – Επεξήγηση και πρόληψη του phishing συγκατάθεσης OAuth.

• Η κατάχρηση της «υποδομής εμπιστοσύνης» είναι πιο αποτελεσματική από την πλαστογράφηση της επωνυμίας σας
  Νόμιμα domain της Microsoft/Google, φόρμες ιστού, εργαλεία δημιουργίας ιστότοπων και εργαλεία υποστήριξης χρηστών παραβιάζονται για να δημιουργήσουν εξαιρετικά πειστικά δόλια μηνύματα.

• Οι εφαρμογές μεγάλων δεδομένων γίνονται θησαυροί με ένα κλικ
  Τα αποθετήρια δεδομένων (Snowflake κ.ά.) και οι υπηρεσίες κοινής χρήσης αρχείων αποτελούν στόχους υψηλής αξίας και χαμηλού κινδύνου, εάν παραβιαστεί μία μόνο ταυτότητα ή ένα μόνο token. Η εκστρατεία UNC5537/Snowflake αποτελεί ένα χαρακτηριστικό παράδειγμα, το οποίο τεκμηριώνεται εδώ: Google Cloud / Mandiant – Η UNC5537 στοχεύει το Snowflake και στον σχετικό οδηγό ανίχνευσης απειλών: Οδηγός ανίχνευσης απειλών Snowflake (PDF).

• Η νομοθεσία επιτέλους προσαρμόζεται
  Πλαίσια όπως το NIS2 απαιτούν ρητά συνεχή, ελεγχόμενη ευαισθητοποίηση σε θέματα ασφάλειας και εκπαίδευση για το phishing — όχι απλώς μια εφάπαξ ηλεκτρονική μάθηση (βλ. το νομικό κείμενο του NIS2 στο EUR-Lex: Νομικό κείμενο της οδηγίας NIS2 και πρακτικές οδηγίες εκπαίδευσης όπως οι οδηγίες εκπαίδευσης και ευαισθητοποίησης NIS2).

Και ναι: η αυτοματοποίηση κερδίζει. Οι οργανισμοί που δοκιμάζουν συνεχώς, μετρούν και προσαρμόζουν τους ελέγχους απλά τα πάνε καλύτερα από εκείνους που διοργανώνουν μία «εβδομάδα ευαισθητοποίησης στον κυβερνοχώρο» ανά έτος.

---

Με μια ματιά: 10 τάσεις phishing και γρήγοροι έλεγχοι

|

| Τάση | Γιατί αρέσει στους επιτιθέμενους | Γρήγορος έλεγχος για να ξεκινήσετε αυτό το μήνα |

|---|-------|-----------------------|----------------------------------------| | 1 | BEC με τη βοήθεια deepfake | Υψηλή απόδοση επένδυσης, χαμηλός όγκος, εξαιρετικά εξατομικευμένο | Αυστηρές εγκρίσεις πληρωμών + κανόνες επανάκλησης | | 2 | Κινητά & μηνύματα + QR | Όλοι ζουν στο chat; QR = σιωπηλή σύνδεση | Ανανέωση BYOD, περιορισμός των συνδέσμων σε μη διαχειριζόμενες συσκευές | | 3 | Κατάχρηση συγκατάθεσης SaaS & OAuth | Πρόσβαση χωρίς κωδικό πρόσβασης με μακράς διάρκειας tokens | Διαχείριση συγκατάθεσης εφαρμογών, λίστες επιτρεπόμενων χρηστών | | 4 | Κατάχρηση «υποδομής εμπιστοσύνης» | Οι τομείς πρώτου μέρους φαίνονται «προφανώς ασφαλείς» | Φίλτρα ηλικίας URL, αυστηρό DMARC σε όλες τις διαδρομές αλληλογραφίας | | 5 | Phishing που μοιάζει εσωτερικό | Το «προέρχεται από μέσα» μειώνει την υποψία | Ενίσχυση συνδέσμων, παρακολούθηση αλληλογραφίας που μοιάζει εσωτερική | | 6 || Τα διακριτικά, όχι οι κωδικοί πρόσβασης, είναι τα νέα κλειδιά | Κλειδιά FIDO2, διακριτικά συνδεδεμένα με συσκευές, έλεγχοι κόπωσης MFA | | 7 | Εκστρατείες συγχρονισμένες με τον κλάδο | Φόροι / ταξίδια / αθλητισμός = αιχμές κλικ | Συμβουλές και προσομοιώσεις βασισμένες στο ημερολόγιο | | 8 | Τοπικά δόλωμα LLM | Φίλτρο παράκαμψης εγγενούς τόνου και ορολογίας φίλτρο «κακού αγγλικού» | Διδάξτε δομικά προειδοποιητικά σημάδια, όχι ποιότητα γλώσσας | | 9 | Στροφή προς αποθήκες δεδομένων & κοινή χρήση αρχείων | Ένας λογαριασμός → εκατομμύρια εγγραφές | SSO + MFA παντού, ανάλυση συμπεριφοράς | |10| Ρυθμιστική πίεση & έλεγχοι | Τα διοικητικά συμβούλια πρέπει να επιδείξουν δέουσα επιμέλεια | Τριμηνιαίες προσομοιώσεις με καθαρά ίχνη ελέγχου |

Παρακάτω εστιάζουμε σε κάθε τάση με: Τι νέο υπάρχει το 2026 → Τιβλέπουμε → Δράστε τώρα.

---

Τάση 1: Το BEC με τη βοήθεια deepfake γίνεται mainstream

Τι νέο υπάρχει το 2026

Η παραβίαση επαγγελματικών email αποτελεί εδώ και χρόνια μία από τις πιο δαπανηρές απειλές στον κυβερνοχώρο, και οι εκθέσεις Digital Defense της Microsoft καθώς και αναλύσεις άλλων προμηθευτών εξακολουθούν να παρουσιάζουν το BEC ως κορυφαία επίθεση ως προς τον αντίκτυπο (π.χ. η έκθεση του 2023: Microsoft Digital Defense Report 2023 (PDF)).

Αυτό που αλλάζει είναι η ποιότητα και η προσβασιμότητα των εργαλείων deepfake:

• Οι υπηρεσίες κλωνοποίησης φωνής μπορούν να δημιουργήσουν έναν πιστευτό «Οικονομικό Διευθυντή που μιλάει μέσω Bluetooth σε ένα ταξί» μέσα σε λίγα λεπτά.
• Τα έτοιμα εργαλεία μπορούν να δημιουργήσουν σύντομα βίντεο κλιπ που περνούν έναν γρήγορο έλεγχο εγκυρότητας σε μια βιαστική κλήση μέσω Teams.
• Οι ρυθμιστικές αρχές και οι μονάδες καταπολέμησης του οικονομικού εγκλήματος προειδοποιούν ρητά για σχέδια απάτης που χρησιμοποιούν deepfake ήχου και βίντεο σε συναλλαγές υψηλής αξίας (βλ. ενότητα σχετικά με την απάτη με χρήση deepfake στην Έκθεση Ψηφιακής Άμυνας της Microsoft 2025: Microsoft Digital Defense Report 2025 (PDF)).

Το αποτέλεσμα: κλασικές ιστορίες BEC, αλλά με συνθετικό πρόσωπο και φωνή.

Τι παρατηρούμε στην πράξη

Οι επιτιθέμενοι παρακάμπτουν όλο και περισσότερο τις μακροσκελείς αλληλογραφίες μέσω email και προχωρούν κατευθείαν σε «επείγουσες κλήσεις» για να επιβάλουν αλλαγές στις πληρωμές, νέους λογαριασμούς δικαιούχων ή μεταφορές υψηλού κινδύνου — αναφερόμενοι σε πραγματικά έργα και εσωτερική ορολογία που έχουν συλλέξει από email, το LinkedIn και διαρρεύσαντα δεδομένα.

Δράστε τώρα

• Πολιτική:
  • Απαιτήστε εξω-ζωνική επαλήθευση (επιστροφή κλήσης σε επαληθευμένο αριθμό από το ERP/CRM σας) για όλα τα νέα ή τροποποιημένα τραπεζικά στοιχεία και τις μεγάλες μεταφορές.
• Έλεγχος:
  • Ρυθμίστε αναστολές πληρωμών και διπλές εγκρίσεις πάνω από τα όρια — ιδανικά δύο εγκρίνοντες από διαφορετικά τμήματα.
• Ευαισθητοποίηση:
  • Εκπαιδεύστε το προσωπικό ότι το «τους είδα στο βίντεο» δεν αποτελεί έλεγχο. Κάντε ζωντανές προσομοιώσεις όπου ένας ψεύτικος «Οικονομικός Διευθυντής» καλεί κατά τη διάρκεια μιας πολυάσχολης στιγμής.

---

Τάση 2: Phishing μέσω κινητών και μηνυμάτων + κωδικοί QR ως διακριτικά ελέγχου

Τι νέο υπάρχει το 2026

Το phishing δεν είναι πλέον μόνο πρόβλημα των email:

• Το smishing και το phishing μέσω εφαρμογών ανταλλαγής μηνυμάτων (WhatsApp, Signal, Telegram, εταιρικά chat) έχουν αυξηθεί ραγδαία, με επιθέσεις βασισμένες σε URL και κόλπα με κωδικούς QR που χρησιμοποιούνται για την κατάληψη λογαριασμών. Η ανάλυση του τοπίου απειλών του χρηματοπιστωτικού τομέα της ENISA σημειώνει ότι το phishing, το smishing και το vishing συγκαταλέγονται μεταξύ των πιο κοινών τύπων επιθέσεων εναντίον ευρωπαϊκών χρηματοπιστωτικών ιδρυμάτων: ENISA Threat Landscape – Finance Sector.
• Οι επιτιθέμενοι καταχρώνται όλο και περισσότερο τους κωδικούς QR ως μηχανισμούς σύνδεσης, εξαπατώντας τους χρήστες να σαρώσουν κωδικούς που συνδέουν τους λογαριασμούς τους με μια συσκευή ή μια συνεδρία που ελέγχεται από τον επιτιθέμενο. Αυτό το μοτίβο εμφανίζεται σε αρκετές πρόσφατες αναφορές περιπτώσεων σχετικά με την κατάληψη λογαριασμών μηνυμάτων και εκστρατείες κακόβουλου λογισμικού για κινητά.

Σε συνδυασμό με το BYOD και τα παράλληλα κανάλια ανταλλαγής μηνυμάτων, αποτελεί ένα ιδανικό πεδίο δράσης.

Τι παρατηρούμε στην πράξη

Πραγματικές περιπτώσεις δείχνουν κυβερνητικούς αξιωματούχους και στελέχη να χάνουν λογαριασμούς μηνυμάτων μέσω κακόβουλων κωδικών QR, ενώ αναφορές απειλών επισημαίνουν τεράστια αύξηση στις εκστρατείες phishing που βασίζονται σε URL και QR σε σύγκριση με τα κλασικά συνημμένα (για παράδειγμα, η επισκόπηση της ENISA σχετικά με τους φορείς επίθεσης κοινωνικής μηχανικής: Επισκόπηση απειλών της ENISA).

Δράστε τώρα

• Πολιτική:
  • Ενημερώστε τις πολιτικές BYOD και μηνυμάτων: ποιες εφαρμογές είναι αποδεκτές για εργασία, ποιες όχι και τι απαγορεύεται αυστηρά (π.χ. κοινή χρήση QR κωδικών σύνδεσης ή στιγμιότυπων οθόνης από προτροπές πιστοποίησης).
• Έλεγχος:
  • Επιβάλλετε την αντιστοίχιση αριθμών και τη σύνδεση συσκευών για την MFA. Περιορίστε, όπου είναι δυνατόν, τη σύνδεση λογαριασμών με νέες συσκευές από μη διαχειριζόμενα τερματικά.
• Ευαισθητοποίηση:
  • Εκτελέστε προσομοιώσεις που μιμούνται ειδοποιήσεις παράδοσης, προτροπές MFA και προσκλήσεις συνομιλίας —συμπεριλαμβανομένων των κωδικών QR— για να εκπαιδεύσετε τους χρήστες να κάνουν μια παύση πριν από τη σάρωση.

---

Τάση 3: Phishing συγκατάθεσης SaaS & κατάχρηση διακριτικών OAuth

Τι νέο υπάρχει το 2026

Αντί να κλέβουν κωδικούς πρόσβασης, οι επιτιθέμενοι ζητούν απλώς από τους χρήστες σας να κάνουν κλικ στο «Αποδοχή».

Στο phishing συγκατάθεσης OAuth, ένας χρήστης παρασύρεται σε μια οθόνη συγκατάθεσης που φαίνεται νόμιμη και ζητά δικαιώματα για την ανάγνωση email, αρχείων ή ημερολογίων. Μόλις εγκρίνουν, ο εισβολέας λαμβάνει ένα token πρόσβασης μακράς διάρκειας — χωρίς κωδικό πρόσβασης, χωρίς προτροπή MFA και συχνά χωρίς εμφανή σημάδια-σύνδεσης για διαλογή. Η επίσημη επεξήγηση της Microsoft καλύπτει αυτό το μοτίβο λεπτομερώς:
Blog Microsoft Entra – Επεξήγηση και πρόληψη του phishing συγκατάθεσης OAuth

Ανεξάρτητοι ερευνητές παρακολουθούν επίσης τον τρόπο με τον οποίο εξελίσσεται το phishing συγκατάθεσης για να παρακάμψει τους ελέγχους ανίχνευσης, για παράδειγμα:
Push Security – Πώς εξελίσσεται το phishing συγκατάθεσης και
Valence Security – Η αυξανόμενη απειλή του phishing συγκατάθεσης

Πρόσφατες εκστρατείες αξιοποιούν ακόμη και πράκτορες τεχνητής νοημοσύνης και εργαλεία χαμηλού κώδικα. Τα παραβιασμένα bots μπορούν να χρησιμοποιηθούν για την κλοπή token OAuth σε μεγάλη κλίμακα (για παράδειγμα, η τεχνική «CoPhish» που εκμεταλλεύεται τους πράκτορες του Microsoft Copilot Studio: TechRadar – Υπηρέτες Copilot Studio που έχουν παραβιαστεί για την κλοπή διακριτικών OAuth).

Τι παρατηρούμε στην πράξη

Οι ομάδες ασφάλειας του cloud αναφέρουν περισσότερα περιστατικά «μυστηριώδους πρόσβασης σε δεδομένα» όπου δεν παρατηρείται αλλαγή κωδικού πρόσβασης ή ύποπτη σύνδεση — μόνο μια εφαρμογή που έχει πρόσφατα λάβει συγκατάθεση με ευρύ πεδίο πρόσβασης σε γραμματοκιβώτια και το SharePoint.

Δράστε τώρα

• Πολιτική:
  • Καθορίστε ποιες ομάδες μπορούν να εγκρίνουν νέες εφαρμογές και ποια «πεδία υψηλού κινδύνου» (π.χ. Mail.ReadWrite, Files.Read.All) απαιτούν επίσημη εξέταση.
• Έλεγχος:
  • Χρησιμοποιήστε τη διαχείριση συγκατάθεσης εφαρμογών του IdP σας: απενεργοποιήστε τη συγκατάθεση που καθοδηγείται από τον χρήστη όπου είναι δυνατόν, διατηρήστε λίστες επιτρεπόμενων χρηστών και ενεργοποιήστε τη συνεχή αξιολόγηση πρόσβασης ή κάτι αντίστοιχο.
• Ευαισθητοποίηση:
  • Συμπεριλάβετε οθόνες συγκατάθεσης και ροές «Σύνδεση με...» στην εκπαίδευση — οι περισσότεροι χρήστες δεν συνειδητοποιούν ότι αυτά τα αναδυόμενα παράθυρα μπορεί να είναι κακόβουλα.

---

Τάση 4: Κατάχρηση της «υποδομής εμπιστοσύνης» (φόρμες, εργαλεία δημιουργίας ιστότοπων, εργαλεία υποστήριξης)

Τι νέο υπάρχει το 2026

Γιατί να μπεις στον κόπο να πλαστογραφήσεις τον τομέα σου, αν ένας εισβολέας μπορεί να στείλει συνδέσμους σε:

• *.microsoft.com (Φόρμες, SharePoint, Copilot κ.λπ.)
• *.google.com (Docs, Drive, Sites)
• Γνωστά εργαλεία δημιουργίας ιστότοπων και πλατφόρμες υποστήριξης (συστήματα εισιτηρίων, εργαλεία RMM, προγράμματα αποστολής email CRM)

Σημαντικές εκθέσεις απειλών επισημαίνουν ότι οι κακόβουλες διευθύνσεις URL που φιλοξενούνται σε νόμιμες υπηρεσίες υπερτερούν πλέον κατά πολύ των κλασικών κακόβουλων συνημμένων (βλ., για παράδειγμα, τις εκθέσεις Digital Defense της Microsoft και τις περιλήψεις της ENISA σχετικά με τις τάσεις κοινωνικής μηχανικής:
Πύλη εκθέσεων Digital Defense της Microsoft
ENISA – Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing).

Τι παρατηρούμε στην πράξη

Παρατηρούμε όλο και περισσότερες εκστρατείες όπου ολόκληρη η ροή —από τη φόρμα έως το αρχείο και το email παρακολούθησης— διεξάγεται μέσω νόμιμης υποδομής cloud, καθιστώντας πολύ πιο δύσκολη την ανίχνευση από τα παλαιά φίλτρα που βασίζονται αποκλειστικά στη φήμη του domain.

Δράστε τώρα

• Πολιτική:
  • Απαιτήστε να τεκμηριώνονται και να καταχωρίζονται κεντρικά όλες οι φόρμες που απευθύνονται σε πελάτες και συλλέγουν ευαίσθητα δεδομένα (ώστε να μπορείτε να εντοπίζετε τις πλαστές).
• Έλεγχος:
  • Χρησιμοποιήστε ασφαλείς πύλες email ή εργαλεία εγγενή στο cloud που ελέγχουν την ηλικία της διεύθυνσης URL, το περιβάλλον φιλοξενίας και τους τύπους αρχείων αντί μόνο τη φήμη του αποστολέα. Εφαρμόστε ευθυγράμμιση DMARC για όλες τις νόμιμες διαδρομές αλληλογραφίας, συμπεριλαμβανομένων των εργαλείων υποστήριξης και έκδοσης εισιτηρίων. Η επισκόπηση «Threat Landscape» της ENISA περιέχει μια καλή σύνοψη τέτοιων διαύλων: Επισκόπηση Threat Landscape της ENISA.
• Ευαισθητοποίηση:
  • Ενημερώστε τους χρήστες: «Νόμιμος τομέας» ≠ νόμιμο αίτημα. Ρωτήστε «Περίμενα αυτή τη φόρμα/αυτό το αρχείο/αυτό το email υποστήριξης;» ως αντανακλαστικό.

---

Τάση 5: Phishing που μοιάζει εσωτερικό χωρίς πραγματική παραβίαση

Τι νέο υπάρχει το 2026

Πολλά συστήματα email στο cloud προσφέρουν λειτουργίες όπως Direct Send, συνδέσμους και αναμεταδότες, ώστε οι εφαρμογές και οι συσκευές να μπορούν να στέλνουν μηνύματα «ως εσωτερικά». Αν δεν έχουν ρυθμιστεί σωστά, επιτρέπουν:

• Μηνύματα ηλεκτρονικού ταχυδρομείου που φαίνονται να προέρχονται από το εσωτερικό του οργανισμού σας ή από αξιόπιστους συνεργάτες
• Μηνύματα ηλεκτρονικού ταχυδρομείου του συστήματος ή σχετικά με εισιτήρια που παρακάμπτουν το εντατικό φιλτράρισμα

Οι επιτιθέμενοι καταχρώνται όλο και περισσότερο αυτές τις λειτουργίες ή παραβιάζουν έναν μεμονωμένο λογαριασμό υπηρεσίας, για να στείλουν «εσωτερικό» phishing χωρίς να παραβιάσουν κανένα ανθρώπινο γραμματοκιβώτιο.

Τι παρατηρούμε στην πράξη

Οι υπεύθυνοι αντιμετώπισης περιστατικών αναφέρουν συχνά «εσωτερικές» εκστρατείες phishing που προέρχονται από απροσδόκητα εύρη IP, λανθασμένα διαμορφωμένους αναμεταδότες ή παραβιασμένα κοινόχρηστα γραμματοκιβώτια, και όχι από τον φορητό υπολογιστή του Διευθύνοντος Συμβούλου.

Δράστε τώρα

• Πολιτική:
  • Καταγράψτε όλα τα συστήματα που επιτρέπεται να στέλνουν ως το domain σας και ορίστε τον ιδιοκτήτη + την επιχειρηματική αιτιολόγηση. Χωρίς ιδιοκτήτη, δεν υπάρχει αποστολή.
• Έλεγχος:
  • Σφίξτε τους συνδέσμους αλληλογραφίας: κλειδώστε τους σε συγκεκριμένες σειρές IP και μεθόδους πιστοποίησης· παρακολουθήστε για απότομες αυξήσεις στην εσωτερική προς εσωτερική κίνηση με ασυνήθιστα μοτίβα.
• Ευαισθητοποίηση:
  • Προσθέστε ένα σύνθημα στην εκπαίδευση ευαισθητοποίησης: «Εσωτερικό ≠ ασφαλές εξ ορισμού». Ενθαρρύνετε την αναφορά οποιασδήποτε περίεργης εσωτερικής αίτησης, όχι μόνο των εξωτερικών.

---

Τάση 6: Phishing χωρίς διαπιστευτήρια – tokens, συνεδρίες & κόπωση MFA

Τι νέο υπάρχει το 2026

Αν η στρατηγική σας είναι «ισχυροί κωδικοί πρόσβασης + MFA και είμαστε εντάξει», το 2026 σας χαιρετά.

Οι τρέχουσες αναλύσεις παραβιάσεων δείχνουν ότι οι επιτιθέμενοι στρέφονται προς τεχνικές cookies περιόδου λειτουργίας, ανανεωτικών διακριτικών και κόπωσης MFA:

• Κλοπή διακριτικών προγράμματος περιήγησης μέσω κακόβουλου λογισμικού ή προγραμμάτων υποκλοπής πληροφοριών
• «Βομβαρδισμός» των χρηστών με ειδοποιήσεις μέχρι να αποδεχθούν κατά λάθος τις προτροπές πιστοποίησης
• Συλλογή διακριτικών σε πραγματικό χρόνο μέσω κιτ phishing τύπου «adversary-in-the-middle»

Η εκστρατεία Snowflake/UNC5537 αποτελεί κλασικό παράδειγμα του τι συμβαίνει όταν τα κλεμμένα διαπιστευτήρια και η έλλειψη MFA συναντούν μια ισχυρή πλατφόρμα δεδομένων:
Google Cloud / Mandiant – Η UNC5537 στοχεύει το Snowflake
Οδηγός ανίχνευσης απειλών Snowflake (PDF)
Μια καλή συνοπτική παρουσίαση είναι επίσης διαθέσιμη από την Cloud Security Alliance: Cloud Security Alliance – Ανάλυση της παραβίασης δεδομένων του Snowflake το 2024.

Τι παρατηρούμε στην πράξη

Σε μεγάλα περιστατικά όπως η κλοπή δεδομένων που σχετίζεται με τη Snowflake, οι επιτιθέμενοι συχνά χρησιμοποιούσαν διαπιστευτήρια και διακριτικά που είχαν κλαπεί προηγουμένως για να αποκτήσουν πρόσβαση σε πλατφόρμες δεδομένων υψηλής αξίας, και στη συνέχεια να εξάγουν και να εκβιάσουν δεδομένα σε μεγάλη κλίμακα.

Δράστε τώρα

• Πολιτική:
  • Επιβάλλετε MFA ανθεκτική στο phishing (κλειδιά ασφαλείας FIDO2 ή κωδικούς πρόσβασης) πρώτα για διαχειριστές και ρόλους υψηλού κινδύνου.
• Έλεγχος:
  • Εφαρμόστε token που συνδέονται με συγκεκριμένες συσκευές, πρόσβαση υπό όρους (αδύνατη μετακίνηση, ασυνήθιστες IP) και αυτόματη ανάκληση token μετά από ύποπτα συμβάντα.
• Ευαισθητοποίηση:
  • Εκπαιδεύστε το προσωπικό ώστε να αντιλαμβάνεται ότι οι επαναλαμβανόμενες προτροπές MFA = κατάσταση έκτακτης ανάγκης, όχι ενόχληση. Προσομοιώστε σενάρια κόπωσης από την MFA στο πρόγραμμα phishing σας.

---

Τάση 7: Εκστρατείες που συγχρονίζονται με τον κλάδο (φόροι, ταξίδια, αθλητισμός, επιχορηγήσεις)

Τι νέο υπάρχει το 2026

Οι επιτιθέμενοι είναι εξαιρετικοί στο calendar OSINT:

• Προθεσμίες φορολογικών δηλώσεων
• Σημαντικές αθλητικές εκδηλώσεις
• Περίοδοι χορήγησης επιχορηγήσεων και επιδομάτων
• Συνήθεις ταξιδιωτικές περιόδους

Οι εκθέσεις πληροφοριών για απειλές δείχνουν ότι οι εκστρατείες phishing συγκεντρώνονται σε μεγάλο βαθμό γύρω από τέτοια γεγονότα, με δόλωμα την υπόσχεση επιστροφών χρημάτων, εισιτηρίων ή επείγουσων εργασιών συμμόρφωσης. Η ENISA και διάφορες εκθέσεις του τομέα αναφέρουν την κοινωνική μηχανική ως σημαντικό παράγοντα σε περιστατικά απάτης και περιστατικά που σχετίζονται με τα χρηματοοικονομικά, για παράδειγμα:
ENISA Threat Landscape – Finance Sector και μια ευανάγνωστη περίληψη εδώ: ComplexDiscovery – Αυξανόμενες απειλές στον κυβερνοχώρο στον χρηματοοικονομικό τομέα της Ευρώπης.

Τι παρατηρούμε στην πράξη

Οι ΜΜΕ αναφέρουν όλο και πιο συχνά σύντομες, έντονες κυμάτων εξατομικευμένου phishing ακριβώς τη στιγμή που όλοι βιάζονται να υποβάλουν φόρμες, να αγοράσουν εισιτήρια ή να διεκδικήσουν εκπτώσεις.

Δράστε τώρα

• Πολιτική:
  • Δημιουργήστε ένα «κυβερνοημερολόγιο» παράλληλα με το επιχειρηματικό σας ημερολόγιο: σημειώστε τις περιόδους υψηλού κινδύνου για τον κλάδο και τη γεωγραφική σας περιοχή.
• Έλεγχος:
  • Προδιαμορφώστε banners ή προειδοποιήσεις μέσω email για συγκεκριμένες λέξεις-κλειδιά (φόρος, επιστροφή, εισιτήριο, επιχορήγηση) γύρω από αυτές τις περιόδους.
• Ευαισθητοποίηση:
  • Εκτελέστε προγραμματισμένες προσομοιώσεις phishing και συμβουλές την κατάλληλη στιγμή μία εβδομάδα πριν από προβλέψιμα συμβάντα κινδύνου.

---

Τάση 8: Τοπικά δελεαστικά μηνύματα με χρήση LLM (μιμητική γλώσσα και τόνος)

Τι νέο υπάρχει το 2026

Τα μεγάλα γλωσσικά μοντέλα (LLM) έχουν καταργήσει σε μεγάλο βαθμό την παλιά ευριστική μέθοδο «λάθος ορθογραφία = phishing».

• Οι επιτιθέμενοι μπορούν να δημιουργήσουν απόλυτα τοπικά προσαρμοσμένα email στα αυστριακά γερμανικά, τα βρετανικά αγγλικά, τα βραζιλιάνικα πορτογαλικά… συμπεριλαμβανομένων ιδιωματισμών και επιπέδων ευγένειας.
• Τα δημόσια δεδομένα (ιστοσελίδες, κοινωνικά μέσα, αγγελίες εργασίας) τους επιτρέπουν να μιμηθούν τον τόνο της φωνής του οργανισμού σας με ανησυχητική ακρίβεια.

Η ENISA επισημαίνει ρητά ότι οι αναδυόμενες τεχνολογίες, όπως η τεχνητή νοημοσύνη και η αυτοματοποίηση, βοηθούν τους επιτιθέμενους να αναλύουν τη συμπεριφορά και να εξαπολύουν πιο στοχευμένο phishing: ENISA – Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing.
Οι εκστρατείες ευαισθητοποίησης σε όλη την Ευρώπη επισημαίνουν πλέον την τεχνητή νοημοσύνη, τα deepfakes και το smishing ως κεντρικά θέματα (για παράδειγμα: ENISA – Προώθηση της ασφάλειας στον ψηφιακό κόσμο κατά τη διάρκεια του Ευρωπαϊκού Μήνα Κυβερνοασφάλειας).

Τι παρατηρούμε στην πράξη

Όλο και περισσότεροι οργανισμοί αναφέρουν ηλεκτρονικά μηνύματα phishing στα οποία η ποιότητα της γλώσσας είναι αδιακρίτως παρόμοια με αυτή των γνήσιων εσωτερικών επικοινωνιών — μέχρι και τις υπογραφές και τις τυποποιημένες φράσεις. Άρθρα όπως αυτή η περίληψη του TechRadar περιγράφουν πώς τα ηλεκτρονικά μηνύματα phishing που δημιουργούνται με τεχνητή νοημοσύνη (AI) φαίνονται πλέον πιο «καθαρά» και πιο πειστικά από πολλά νόμιμα μηνύματα:
TechRadar – Η τεχνητή νοημοσύνη (AI) καθιστά τα ηλεκτρονικά μηνύματα phishing πολύ πιο πειστικά.

Δράστε τώρα

• Πολιτική:
  • Απομακρύνετε οδηγίες όπως «αναζητήστε ορθογραφικά λάθη» από το επίσημο εκπαιδευτικό υλικό· πλέον είναι ενεργά παραπλανητικές.
• Έλεγχος:
  • Επενδύστε σε ανίχνευση με βάση το περιεχόμενο που εξετάζει την πρόθεση, τους συνδέσμους και τα συνημμένα—όχι μόνο απλές υπογραφές ή λίστες αποκλεισμού.
• Ευαισθητοποίηση:
  • Διδάξτε αντ' αυτού δομικά στοιχεία: απροσδόκητη επείγουσα ανάγκη, ασυνήθιστα κανάλια, αιτήματα για παράκαμψη διαδικασιών ή σελίδες σύνδεσης που δεν ταιριάζουν με τις συνήθεις ροές.

---

Τάση 9: Στροφή προς αποθήκες δεδομένων και κοινή χρήση αρχείων (Snowflake, Drive, SharePoint και παρόμοια)

Τι νέο υπάρχει το 2026

Τα συστήματα που επικεντρώνονται στα δεδομένα, όπως το Snowflake, το BigQuery, τα data lakes S3 και οι πλατφόρμες συνεργασίας, διαθέτουν απίστευτους όγκους δεδομένων πελατών και λειτουργικών δεδομένων.

Πρόσφατες έρευνες σχετικά με την κλοπή δεδομένων που συνδέεται με το Snowflake το 2024 δείχνουν πώς οι επιτιθέμενοι χρησιμοποίησαν κλεμμένα διαπιστευτήρια και tokens για να αποκτήσουν πρόσβαση σε πολλαπλά περιβάλλοντα πελατών και να ξεκινήσουν εκστρατείες εκβιασμού μεγάλης κλίμακας, όπως περιγράφεται από τις Mandiant και Snowflake:
Google Cloud / Mandiant – Το UNC5537 στοχεύει το Snowflake
Οδηγός ανίχνευσης απειλών Snowflake (PDF)
Μια καλή περιγραφή, ανεξάρτητη από συγκεκριμένους προμηθευτές, παρέχεται επίσης από την Cloud Security Alliance:
Cloud Security Alliance – Ανάλυση της παραβίασης δεδομένων της Snowflake το 2024
και η δημόσια επισκόπηση στη Wikipedia παρέχει το πλαίσιο για τον ευρύτερο αντίκτυπο:
Wikipedia – Παραβίαση δεδομένων Snowflake

Για τους επιτιθέμενους, αυτές οι πλατφόρμες είναι ένα όνειρο:

• Μία παραβιασμένη ταυτότητα μπορεί να παρέχει πρόσβαση σε εκατομμύρια εγγραφές.
• Τα δεδομένα μπορούν να διαρρεύσουν αθόρυβα μέσω ερωτημάτων που φαίνονται φυσιολογικά.

Τι παρατηρούμε στον τομέα

Ακόμη και οι μικρότερες οργανώσεις βασίζονται πλέον σε αποθήκες δεδομένων στο cloud και κοινόχρηστους δίσκους για τα πάντα, από εξαγωγές CRM έως αναφορές ανθρώπινου δυναμικού — συχνά με λογαριασμούς υπηρεσιών και ρόλους με υπερβολικά προνόμια που κανείς δεν ελέγχει.

Δράστε τώρα

• Πολιτική:
  • Αντιμετωπίστε τις πλατφόρμες δεδομένων ως «κοσμήματα της κορώνας» στο μητρώο κινδύνων σας· απαιτήστε ρητές εγκρίσεις για το ποιος μπορεί να έχει πρόσβαση σε τι και γιατί.
• Έλεγχος:
  • Εφαρμόστε SSO + MFA για όλες τις προσβάσεις· μειώστε τα μόνιμα προνόμια· παρακολουθήστε για ανώμαλες ερωτήσεις, εξαγωγές και λήψεις.
• Ευαισθητοποίηση:
  • Συμπεριλάβετε σενάρια «δεδομένων σε μεγάλη κλίμακα» στην εκπαίδευση — το προσωπικό πρέπει να γνωρίζει ότι ένας παραβιασμένος λογαριασμός ανάλυσης μπορεί να είναι χειρότερος από 100 εισερχόμενα.

---

Τάση 10: Ρυθμιστική πίεση → ελεγχόμενα προγράμματα ευαισθητοποίησης και phishing

Τι νέο υπάρχει το 2026

Κανονισμοί όπως η Οδηγία NIS2 (ΕΕ) ανεβάζουν ρητά τον πήχη για τη διακυβέρνηση, τη διαχείριση κινδύνων και την ευαισθητοποίηση του προσωπικού σε πολλούς τομείς, συμπεριλαμβανομένων των μεσαίου μεγέθους οργανισμών.

Το νομικό κείμενο είναι διαθέσιμο εδώ:
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng

Πρακτικές επεξηγήσεις καθιστούν τις προσδοκίες πιο σαφείς:

• https://www.nis-2-directive.com/
• https://advisera.com/articles/nis2-training-awareness/
• https://www.isms.online/nis-2/requirements/cyber-hygiene-and-training/

Βασικά θέματα:

• Η ευαισθητοποίηση σε θέματα ασφάλειας δεν είναι προαιρετική για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής — οι ρυθμιστικές αρχές αναμένουν αποδεικτικά στοιχεία.
• Τα διοικητικά συμβούλια και τα όργανα διαχείρισης είναι ρητά υπεύθυνα για την εποπτεία των κινδύνων στον κυβερνοχώρο.
• Η τεκμηρίωση έχει σημασία: οι πολιτικές, τα αρχεία εκπαίδευσης και η διαχείριση περιστατικών πρέπει να αντέχουν σε έλεγχο.

Τι παρατηρούμε στον τομέα

Οι ΜΜΕ που κάποτε πραγματοποιούσαν μια ετήσια παρουσίαση με διαφάνειες, τώρα προσπαθούν να παρουσιάσουν δομημένες, επαναλαμβανόμενες προσομοιώσεις phishing, παρακολούθηση συμμετοχής και τεκμηριωμένες ενέργειες παρακολούθησης — ειδικά όταν ασχολούνται με πελάτες που υπόκεινται σε ρυθμίσεις.

Σημείωση: Τίποτα σε αυτό το άρθρο δεν αποτελεί νομική συμβουλή. Συμβουλευτείτε πάντα τη νομική/ομάδα συμμόρφωσης για ερμηνείες του NIS2 και των σχετικών νόμων στη δικαιοδοσία σας.

Δράστε τώρα

• Πολιτική:
  • Καθορίστε μια επίσημη πολιτική ευαισθητοποίησης σε θέματα ασφάλειας και phishing: συχνότητα, ομάδες-στόχοι, μετρήσεις και αρμοδιότητες.
• Έλεγχος:
  • Εφαρμόστε μια πλατφόρμα που παρέχει επιλογές ανωνυμοποίησης, δυνατότητα εξαίρεσης όπου απαιτείται και καθαρή αναφορά, σύμφωνα με τις προσδοκίες του συμβουλίου εργαζομένων και του GDPR — για παράδειγμα, τις λειτουργίες που σέβονται την ιδιωτικότητα και περιγράφονται στον οδηγό ανωνυμοποίησης της AutoPhish στη διεύθυνση https://autophish.io/anonymization (ή την αντίστοιχη τοπική σας διεύθυνση URL).
• Ευαισθητοποίηση:
  • Επικοινωνήστε με σαφήνεια ότι οι προσομοιώσεις phishing έχουν ως στόχο τη μάθηση και όχι την τιμωρία — μια κουλτούρα χωρίς κατηγορίες βελτιώνει στην πραγματικότητα τα ποσοστά αναφοράς.

---

Τι πρέπει να προτεραιοποιήσουν οι ΜΜΕ αυτό το τρίμηνο (σχέδιο 90 ημερών)

Δεν χρειάζεται να διορθώσετε τα πάντα με τη μία. Ακολουθεί ένας ρεαλιστικός οδικός χάρτης 90 ημερών.

Εβδομάδες 1–4: Αποκτήστε ορατότητα και γρήγορα αποτελέσματα

• Εκτελέστε μια βασική δοκιμή phishing σε μια ευρεία ομάδα χρηστών για να κατανοήσετε τα ποσοστά κλικ και αναφορών.
• Χαρτογραφήστε τις κρίσιμες επιχειρηματικές διαδικασίες που θα μπορούσαν να πληγούν από το phishing (πληρωμές, αλλαγές στο τμήμα ανθρώπινου δυναμικού, απομακρυσμένη πρόσβαση, εξαγωγές δεδομένων).
• Ενεργοποιήστε ή ενισχύστε την MFA για όλους τους λογαριασμούς, δίνοντας προτεραιότητα στους διαχειριστές και στην εξωτερική πρόσβαση.
• Ελέγξτε τους συνδέσμους/αναμεταδότες αλληλογραφίας και καταγράψτε ποια συστήματα στέλνουν ως το domain σας.

Εβδομάδες 5–8: Ενισχύστε τις ροές υψηλού κινδύνου

• Εφαρμόστε MFA ανθεκτικό στο phishing (FIDO2 / κλειδιά πρόσβασης) στους διαχειριστές των τμημάτων οικονομικών, ανθρώπινου δυναμικού και πληροφορικής.
• Εφαρμόστε βασική διακυβέρνηση συγκατάθεσης εφαρμογών: απενεργοποιήστε την ανοιχτή συγκατάθεση όπου είναι δυνατόν, ορίστε μια λίστα επιτρεπόμενων εφαρμογών για τις επιχειρηματικές εφαρμογές.
• Ενημερώστε τις πολιτικές BYOD και ανταλλαγής μηνυμάτων, συμπεριλαμβανομένων των κανόνων για συνδέσεις μέσω QR και εγκρίσεις μέσω chat.
• Διαμορφώστε banners ασφαλείας και φίλτρα για μηνύματα που σχετίζονται με φόρους, επιχορηγήσεις και πληρωμές πριν από γνωστές περιόδους αιχμής.

Εβδομάδες 9–12: Δημιουργήστε βιώσιμες, ελεγχόμενες πρακτικές

• Μεταβείτε από μεμονωμένες δοκιμές σε ένα πρόγραμμα επαναλαμβανόμενων προσομοιώσεων (π.χ. μικρές μηνιαίες εκστρατείες + μία «μεγάλη» τριμηνιαία).
• Εισαγάγετε ένα απλό κουμπί αναφοράς με ένα κλικ στο ηλεκτρονικό ταχυδρομείο και εκπαιδεύστε το προσωπικό στη χρήση του.
• Τεκμηριώστε το πρόγραμμά σας: πολιτικές, χρονοδιαγράμματα, ρυθμίσεις ανωνυμοποίησης και συνοπτικά μετρικά στοιχεία — αυτό θα βοηθήσει με το NIS2 και τους ελέγχους πελατών.
• Ευθυγραμμίστε τις προσομοιώσεις phishing με άλλες πρωτοβουλίες ασφάλειας (ασκήσεις αντίδρασης σε περιστατικά, ασκήσεις προσομοίωσης, αξιολογήσεις προμηθευτών).

Ακόμα κι αν δεν κάνετε τίποτα άλλο το 2026, η εφαρμογή αυτών των βασικών στοιχείων θα σας δώσει προβάδισμα έναντι πολλών ομολόγων σας.

---

Πώς βοηθά το AutoPhish (χωρίς τα κλισέ)

Τα εργαλεία δεν διορθώνουν μαγικά την κουλτούρα — αλλά μπορούν να κάνουν τα σωστά πράγματα ευκολότερα και τα λάθος πράγματα πιο δύσκολα.

Το AutoPhish έχει σχεδιαστεί ειδικά για ΜΜΕ που χρειάζονται σύγχρονη εκπαίδευση για το phishing χωρίς να μετατραπούν σε SOC πλήρους απασχόλησης:

• Διεξάγετε αυτοματοποιημένες, προγραμματισμένες εκστρατείες phishing που αντανακλούν τις παραπάνω τάσεις (κινητά, QR, οθόνες συγκατάθεσης, δόλωμα τύπου BEC).
• Χρησιμοποιήστε λειτουργίες φιλικές προς την προστασία της ιδιωτικής ζωής και επιλογές ανωνυμοποίησης που κάνουν τα συμβούλια εργαζομένων και τους υπεύθυνους προστασίας δεδομένων να νιώθουν πολύ λιγότερο νευρικοί (δείτε τον δημόσιο οδηγό ανωνυμοποίησης, για παράδειγμα: Οδηγός ανωνυμοποίησης AutoPhish).
• Συμμορφωθείτε με κανονισμούς όπως το NIS2 παρέχοντας καθαρά ίχνη ελέγχου: ποιος ήταν ο στόχος, πώς διαμορφώθηκαν οι εκστρατείες και ποιες βελτιώσεις προέκυψαν.
• Συνδυάστε πρότυπα βάσει ρόλων (οικονομικά, ανθρώπινο δυναμικό, στελέχη, πληροφορική) με τοπικοποιημένο περιεχόμενο, ώστε οι χρήστες να βλέπουν ρεαλιστικά δόλια μηνύματα, κατάλληλα για τη γλώσσα τους.
• Ενσωματώστε προσομοιώσεις στο υπάρχον εκπαιδευτικό σας περιεχόμενο, συμπεριλαμβανομένων βίντεο προμηθευτών και δικών σας υλικών ευαισθητοποίησης.

Εάν αυτή τη στιγμή συγκρίνετε εργαλεία, δείτε τις αναλυτικές μας παρουσιάσεις σχετικά με:

• Αυτοματοποιημένες δοκιμές phishing έναντι χειροκίνητων εκστρατειών (παράδειγμα URL: Αυτοματοποιημένες δοκιμές phishing έναντι χειροκίνητων εκστρατειών)
• Εργαλεία phishing ανοιχτού κώδικα έναντι διαχειριζόμενων πλατφορμών (παράδειγμα URL: Προσομοίωση phishing ανοιχτού κώδικα έναντι διαχειριζόμενων πλατφορμών)
• 10 απίστευτες ιστορίες phishing από το 2024–2025 (παράδειγμα URL: 10 απίστευτες ιστορίες phishing από το 2024–2025)

---

Συχνές ερωτήσεις: Το phishing το 2026

Το phishing εξακολουθεί να αφορά κυρίως το ηλεκτρονικό ταχυδρομείο;

Το ηλεκτρονικό ταχυδρομείο παραμένει ένας σημαντικός φορέας, αλλά το phishing που βασίζεται σε URL και chat έχει ξεπεράσει τις κλασικές επιθέσεις που βασίζονται σε συνημμένα, ενώ το smishing και οι απάτες που βασίζονται σε QR κωδικούς αυξάνονται ραγδαία. Οι περιλήψεις του τοπίου απειλών της ENISA και οι εκθέσεις ανά τομέα παρέχουν αξιόπιστα στοιχεία για αυτή την τάση:
Επισκόπηση του τοπίου απειλών της ENISA
Τοπίο απειλών της ENISA – Χρηματοπιστωτικός τομέας

Μπορεί πραγματικά να συμβεί phishing μέσω τηλεφώνου ή WhatsApp;

Ναι. Οι φωνητικές κλήσεις, ο τηλεφωνητής, τα SMS και οι εφαρμογές ανταλλαγής μηνυμάτων χρησιμοποιούνται όλα για vishing, smishing, και phishing μέσω chat. Το υλικό της ENISA για τον Ευρωπαϊκό Μήνα Κυβερνοασφάλειας εστιάζει ρητά στην κοινωνική μηχανική, το smishing και τα deepfakes:
ENISA – Προώθηση της ασφάλειας στον ψηφιακό κόσμο κατά τη διάρκεια του Ευρωπαϊκού Μήνα Κυβερνοασφάλειας

Είναι τα μηνύματα ηλεκτρονικού ψαρέματος (phishing) πραγματικά παράνομα;

Στις περισσότερες δικαιοδοσίες, το phishing περιλαμβάνει αδικήματα απάτης, κλοπής ταυτότητας ή κατάχρησης υπολογιστή. Ακόμη και αν μια απόπειρα phishing αποτύχει, η αποστολή τέτοιων μηνυμάτων μπορεί να παραβιάζει νόμους σχετικά με τη μη εξουσιοδοτημένη πρόσβαση ή την κατάχρηση δεδομένων. Συμβουλευτείτε τοπικό νομικό σύμβουλο για λεπτομέρειες, ειδικά αν σχεδιάζετε εσωτερικές προσομοιώσεις.

Κάνει η τεχνητή νοημοσύνη (AI) το phishing ασταμάτητο;

Όχι, αλλά κάνει το phishing που απαιτεί ελάχιστη προσπάθεια υψηλότερης ποιότητας. Η ισορροπία μετατοπίζεται από τον εντοπισμό προφανών ορθογραφικών λαθών στην αναγνώριση ύποπτων πλαισίων, αιτημάτων και ροών. Εκθέσεις όπως η έκθεση της ENISA με τίτλο «Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing» και η επισκόπηση του TechRadar σχετικά με το phishing που ενισχύεται από την τεχνητή νοημοσύνη δείχνουν πώς προσαρμόζονται τόσο οι επιτιθέμενοι όσο και οι υπερασπιστές:
ENISA – Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing
TechRadar – Η τεχνητή νοημοσύνη καθιστά τα email phishing πολύ πιο πειστικά

Με τον σωστό συνδυασμό ελέγχων, κουλτούρας και συνεχών δοκιμών, το phishing που ενισχύεται από την τεχνητή νοημοσύνη είναι πολύ διαχειρίσιμο.

Πόσο συχνά πρέπει να διεξάγουμε προσομοιώσεις phishing;

Για τις περισσότερες ΜΜΕ, ένα καλό σημείο εκκίνησης είναι:

• Μία μικρή εκστρατεία ανά μήνα (στοχευμένα θέματα, μικρές ομάδες)
• Μία μεγαλύτερη, εκστρατεία σε επίπεδο οργανισμού ανά τρίμηνο
• Επιπλέον, προσομοιώσεις που βασίζονται σε συγκεκριμένα γεγονότα γύρω από την περίοδο των φορολογικών δηλώσεων, μεγάλες παρουσιάσεις προϊόντων ή άλλες περιόδους αιχμής.

Το κλειδί είναι να το κάνουμε προβλέψιμα επαναλαμβανόμενο και μη τιμωρητικό, έτσι ώστε οι άνθρωποι να συμμετέχουν αντί να εκμεταλλεύονται το σύστημα.

---

Περαιτέρω ανάγνωση & πηγές

Ακολουθούν μερικές αξιόπιστες πηγές που χρησιμοποιήθηκαν κατά τη σύνταξη αυτού του άρθρου (όλες με πλήρεις διευθύνσεις URL):

• Επισκόπηση του ENISA Threat Landscape: Επισκόπηση του ENISA Threat Landscape
• Έκθεση ENISA Threat Landscape 2023 (PDF): Έκθεση ENISA Threat Landscape 2023 (PDF)
• Τοπίο απειλών της ENISA – Χρηματοπιστωτικός τομέας 2024 (PDF + HTML):
  • Περίληψη σε HTML: Τοπίο απειλών της ENISA – Χρηματοπιστωτικός τομέας
  • Άμεσος σύνδεσμος προς το PDF: Finance TL 2024 (PDF)
• ENISA – Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing: ENISA – Οι αναδυόμενες τεχνολογίες διευκολύνουν το phishing
• Πύλη της Έκθεσης Ψηφιακής Άμυνας της Microsoft: Πύλη της Έκθεσης Ψηφιακής Άμυνας της Microsoft
• Έκθεση Ψηφιακής Άμυνας της Microsoft 2023 (PDF): Έκθεση Ψηφιακής Άμυνας της Microsoft 2023 (PDF)
• Έκθεση Ψηφιακής Άμυνας της Microsoft 2025 (PDF, deepfakes και BEC). Παράδειγμα φιλοξενούμενου αντιγράφου: Έκθεση Ψηφιακής Άμυνας της Microsoft 2025 (PDF)
• Blog Microsoft Entra – Επεξήγηση και πρόληψη του phishing συγκατάθεσης OAuth: Blog Microsoft Entra – Επεξήγηση και πρόληψη του phishing συγκατάθεσης OAuth
• Push Security – Πώς εξελίσσεται το phishing συγκατάθεσης: Push Security – Πώς εξελίσσεται το phishing συγκατάθεσης
• Valence Security – Η αυξανόμενη απειλή του phishing συγκατάθεσης: Valence Security – Η αυξανόμενη απειλή του phishing συγκατάθεσης
• Google Cloud / Mandiant – Το UNC5537 στοχεύει περιπτώσεις πελατών Snowflake: Google Cloud / Mandiant – Το UNC5537 στοχεύει το Snowflake
• Οδηγός ανίχνευσης απειλών Mandiant Snowflake (PDF): Οδηγός ανίχνευσης απειλών Snowflake (PDF)
• Cloud Security Alliance – Ανάλυση της παραβίασης δεδομένων της Snowflake το 2024: Cloud Security Alliance – Ανάλυση της παραβίασης δεδομένων της Snowflake το 2024
• Wikipedia – Επισκόπηση της παραβίασης δεδομένων της Snowflake: Wikipedia – Παραβίαση δεδομένων της Snowflake
• ENISA – Προώθηση της ασφάλειας στον ψηφιακό κόσμο κατά τη διάρκεια του Ευρωπαϊκού Μήνα Κυβερνοασφάλειας: ENISA – Προώθηση της ασφάλειας στον ψηφιακό κόσμο κατά τη διάρκεια του Ευρωπαϊκού Μήνα Κυβερνοασφάλειας
• TechRadar – Η τεχνητή νοημοσύνη καθιστά τα ηλεκτρονικά μηνύματα ηλεκτρονικού ψαρέματος (phishing) πολύ πιο πειστικά: TechRadar – Η τεχνητή νοημοσύνη καθιστά τα μηνύματα ηλεκτρονικού «ψαρέματος» πολύ πιο πειστικά
• EUR-Lex – Νομικό κείμενο της οδηγίας NIS2: Νομικό κείμενο της οδηγίας NIS2
• Επεξήγηση υψηλού επιπέδου για την NIS2: Επεξήγηση υψηλού επιπέδου για την NIS2
• Οδηγίες εκπαίδευσης και ευαισθητοποίησης για την NIS2:
  • Οδηγίες εκπαίδευσης και ευαισθητοποίησης για την NIS2 – Advisera
  • Οδηγίες για την εκπαίδευση και την ευαισθητοποίηση σχετικά με το NIS2 – ISMS.online

---

Είστε έτοιμοι να δείτε πού βρίσκεστε;

Δεν χρειάζεστε κρυστάλλινη σφαίρα για να προετοιμαστείτε για το 2026.

Πραγματοποιήστε ένα βασικό τεστ phishing αυτή την εβδομάδα, καταγράψτε τα αποτελέσματα και αποφασίστε ποια από τις 10 παραπάνω τάσεις είναι πιο σημαντική για τον οργανισμό σας. Αν θέλετε βοήθεια για να το κάνετε αυτό με τρόπο φιλικό προς την προστασία της ιδιωτικής ζωής και συμβατό με το συμβούλιο εργαζομένων, μπορείτε να ξεκινήσετε μια δοκιμαστική περίοδο του AutoPhish ανά πάσα στιγμή.