Phishing 2026: γιατί τα ψεύτικα email δεν έχουν πια ορθογραφικά λάθη

Εισαγωγή

Για χρόνια η συμβουλή ήταν απλή και βολική: «αν το email έχει περίεργα ελληνικά και ορθογραφικά λάθη, είναι απάτη».

Αυτή η συμβουλή σήμερα είναι επικίνδυνη. Όχι επειδή ήταν λάθος, αλλά επειδή έπαψε να ισχύει. Το 2026 τα ψεύτικα email είναι γραμμένα σε άψογα ελληνικά, με σωστούς τόνους, σωστό επαγγελματικό ύφος και συχνά με το όνομα, τη θέση και το πραγματικό project του παραλήπτη μέσα στο κείμενο.

Το φίλτρο που είχαμε όλοι στο μυαλό μας — «θα το καταλάβω γιατί θα φαίνεται πρόχειρο» — δεν δουλεύει πια. Και όσο συνεχίζουμε να βασιζόμαστε σε αυτό, τόσο πιο εύκολο γίνεται το έργο των επιτιθέμενων.

Τι ακριβώς άλλαξε

Τρία πράγματα, και συνδυάζονται μεταξύ τους.

1. Η γλώσσα έπαψε να είναι εμπόδιο. Παλιά, η Ελλάδα προστατευόταν εν μέρει από το ίδιο της το αλφάβητο: οι μαζικές καμπάνιες phishing γράφονταν στα αγγλικά ή περνούσαν από κακή αυτόματη μετάφραση και φαίνονταν αμέσως. Πλέον, το να γράψει κάποιος 200 διαφορετικές, φυσικές, επαγγελματικές παραλλαγές ενός email στα ελληνικά κοστίζει λίγα λεπτά.

2. Η εξατομίκευση έγινε φθηνή. Το ποιος είναι ο λογιστής σου, ποιος υπογράφει τα τιμολόγια, ποιοι είναι οι προμηθευτές σου και τι ανακοίνωσε πρόσφατα η εταιρεία σου είναι συχνά δημόσια πληροφορία: LinkedIn, το ίδιο σου το site, το ΓΕΜΗ, ένα δελτίο τύπου. Το στοχευμένο phishing (spear phishing) που παλιά απαιτούσε ώρες έρευνας ανά στόχο, τώρα γίνεται μαζικά.

3. Δεν είναι μόνο email. Η ίδια επίθεση έρχεται πλέον ως SMS (smishing), ως μήνυμα σε WhatsApp ή Viber, ως QR code σε τιμολόγιο ή αφίσα (quishing), ακόμη και ως τηλεφώνημα με κλωνοποιημένη φωνή.

Το συμπέρασμα: η μορφή του μηνύματος δεν είναι πια αξιόπιστο σημάδι. Το περιεχόμενο του αιτήματος είναι.

Τα νέα σημάδια που πρέπει να ελέγχεις

Αφού η ορθογραφία δεν βοηθάει, να τι βοηθάει.

1. Το αίτημα, όχι το ύφος

Σχεδόν κάθε επίθεση καταλήγει σε ένα από τέσσερα αιτήματα:

• κάνε μια πληρωμή ή άλλαξε έναν IBAN
• βάλε τα στοιχεία σου σε μια σελίδα σύνδεσης
• άνοιξε αυτό το συνημμένο
• στείλε μου κάτι εμπιστευτικό (μισθοδοσία, ΑΦΜ, λίστα πελατών)

Αν ένα email ζητά κάποιο από αυτά, μπαίνει αυτόματα σε καθεστώς ελέγχου — ανεξάρτητα από το πόσο πειστικό φαίνεται.

2. Επείγον + εμπιστευτικό = κόκκινη σημαία

«Πρέπει να γίνει σήμερα», «είμαι σε σύσκεψη, μη με πάρεις τηλέφωνο», «μην το συζητήσεις με κανέναν προς το παρόν». Η βιασύνη και η μυστικότητα δεν είναι στοιχεία ύφους· είναι τεχνική. Σκοπός τους είναι να σε εμποδίσουν να κάνεις ακριβώς αυτό που θα αποκάλυπτε την απάτη: να σηκώσεις το τηλέφωνο.

3. Το domain του αποστολέα, γράμμα προς γράμμα

Το εμφανιζόμενο όνομα («Λογιστήριο», «Microsoft», «ΑΑΔΕ») δεν σημαίνει τίποτα — γράφεται ελεύθερα. Κοίτα τη διεύθυνση και ειδικά ό,τι υπάρχει μετά το @:

• promitheftis.gr έναντι promitheftls.gr (με ένα γράμμα αλλαγμένο)
• .co αντί για .com, .gr που έγινε .com.gr
• υποτομείς που ξεγελούν: aade.gov.gr.secure-login.net

Το τμήμα που μετράει είναι πάντα το τελευταίο πριν την κατάληξη. Αν δεν είσαι σίγουρος ποιος ελέγχει πραγματικά το domain σου και τα email σου, αξίζει να διαβάσεις ποιος έχει πραγματικά το domain σου.

4. Πού πάει πραγματικά ο σύνδεσμος

Σε υπολογιστή, πέρνα τον κέρσορα πάνω από το κουμπί χωρίς να πατήσεις: η πραγματική διεύθυνση εμφανίζεται κάτω αριστερά. Σε κινητό, κράτα πατημένο τον σύνδεσμο για να δεις πού οδηγεί. Αν δεν συμφωνεί με το κείμενο, τελείωσε η συζήτηση.

5. Το πλαίσιο: το περίμενα αυτό;

Ένα τιμολόγιο από προμηθευτή που δεν χρησιμοποιείς. Μια απόδειξη παράδοσης για δέμα που δεν παρήγγειλες. Μια «επαναφορά κωδικού» που δεν ζήτησες. Το πιο απλό ερώτημα είναι και το πιο δυνατό: ξεκίνησα εγώ αυτή τη συνομιλία;

6. Απάντηση σε νήμα που φαίνεται γνήσιο

Η πιο δύσκολη μορφή: οι επιτιθέμενοι μπαίνουν στο mailbox ενός πραγματικού συνεργάτη σου και απαντούν μέσα σε υπάρχον νήμα αλληλογραφίας — με σωστό ιστορικό, σωστά ονόματα, σωστά ποσά. Αλλάζει μόνο ένα πράγμα: ο τραπεζικός λογαριασμός. Γι’ αυτό ο κανόνας για τους IBAN πρέπει να είναι απόλυτος (βλ. παρακάτω).

7. Συνημμένα που δεν έχουν λόγο ύπαρξης

Αρχεία .html, .zip, .iso, .img, αρχεία Office που ζητούν «Ενεργοποίηση περιεχομένου», και QR codes μέσα σε PDF. Ένα τιμολόγιο δεν χρειάζεται να είναι συμπιεσμένο και μια απόδειξη δεν χρειάζεται μακροεντολές.

Οι μορφές που βλέπουμε πιο συχνά στην Ελλάδα

• Αλλαγή IBAN προμηθευτή. Η πιο ακριβή απάτη ανά περιστατικό. Ένα email ενημερώνει ότι «άλλαξε ο τραπεζικός λογαριασμός λόγω αλλαγής τράπεζας».
• Πλαστά μηνύματα δημόσιων φορέων και εταιρειών κοινής ωφέλειας. ΑΑΔΕ, ΔΕΗ, ΕΛΤΑ, τράπεζες: «εκκρεμεί επιστροφή φόρου», «απλήρωτος λογαριασμός», «το δέμα σας δεν παραδόθηκε».
• Ψεύτικη σελίδα σύνδεσης Microsoft 365 ή Google Workspace. Στόχος δεν είναι τα λεφτά — είναι το ίδιο το mailbox, που μετά χρησιμοποιείται για την επόμενη επίθεση.
• «Ο διευθυντής ζητά». Μήνυμα ή SMS από «τον ιδιοκτήτη» προς υπάλληλο, με αίτημα για επείγουσα πληρωμή ή αγορά προπληρωμένων καρτών.
• Ειδοποιήσεις για τον ιστότοπό σου. «Επείγουσα ενημέρωση ασφαλείας WordPress», με σύνδεσμο σε πλαστή σελίδα διαχείρισης.

Τι κάνεις πρακτικά

Η άμυνα δεν είναι να γίνουν όλοι ειδικοί. Είναι να μη χρειάζεται να είναι.

Ο κανόνας του δεύτερου καναλιού. Κάθε αλλαγή τραπεζικού λογαριασμού και κάθε έκτακτη πληρωμή επιβεβαιώνεται τηλεφωνικά, σε αριθμό που έχεις εσύ στα αρχεία σου — ποτέ στον αριθμό που γράφει το email. Χωρίς εξαιρέσεις, χωρίς «είναι ο Γιώργος, τον ξέρω». Αυτός ο ένας κανόνας ακυρώνει την πλειοψηφία των οικονομικών απατών.

Two-factor authentication παντού. Email, τραπεζικά, WordPress, hosting, social media. Προτίμησε εφαρμογή authenticator ή passkey αντί για SMS. Το 2FA σημαίνει ότι ακόμη κι αν κάποιος δώσει τον κωδικό του, η επίθεση σταματά εκεί.

Password manager για όλη την ομάδα. Δύο οφέλη: διαφορετικός κωδικός παντού, και — κρίσιμο — ο password manager δεν συμπληρώνει αυτόματα τα στοιχεία σε ψεύτικο domain. Είναι ανιχνευτής phishing που δουλεύει ακόμη κι όταν το μάτι αποτυγχάνει.

Σωστές ρυθμίσεις SPF, DKIM και DMARC στο domain σου. Εμποδίζουν τρίτους να στέλνουν email που φαίνονται να προέρχονται από εσένα. Προστατεύουν τους πελάτες σου και ταυτόχρονα βελτιώνουν την παραδοσιμότητα των δικών σου email.

Ξεκάθαρη, ανώδυνη διαδικασία αναφοράς. Ο υπάλληλος πρέπει να ξέρει σε ποιον προωθεί ένα ύποπτο email και να είναι σίγουρος ότι δεν θα κατηγορηθεί. Οι εταιρείες που τιμωρούν το λάθος μαθαίνουν για τις επιθέσεις πολύ αργά.

Δοκιμαστικές καμπάνιες phishing, μία ή δύο φορές τον χρόνο. Δεν είναι για να «πιάσεις» κάποιον· είναι για να δεις πού είναι πραγματικά τα κενά.

Αν πατήσεις τον σύνδεσμο — τα πρώτα 30 λεπτά

1. Μην περιμένεις να δεις «αν θα γίνει κάτι». Ενέργησε αμέσως.
2. Αν έδωσες κωδικό: άλλαξέ τον τώρα, από άλλη συσκευή, και αποσύνδεσε όλες τις ενεργές συνεδρίες.
3. Ενεργοποίησε 2FA αν δεν υπήρχε ήδη.
4. Έλεγξε τους κανόνες του mailbox σου: οι επιτιθέμενοι σχεδόν πάντα δημιουργούν έναν κανόνα που προωθεί ή διαγράφει αυτόματα μηνύματα, ώστε να μη δεις τις απαντήσεις.
5. Αν εμπλέκεται πληρωμή: κάλεσε αμέσως την τράπεζα. Οι πρώτες ώρες είναι το μόνο παράθυρο για ανάκληση εμβάσματος.
6. Ενημέρωσε την ομάδα σου — ένα στοχευμένο email σπάνια φτάνει σε ένα μόνο άτομο.

Το συμπέρασμα

Το phishing δεν έγινε πιο έξυπνο επειδή οι επιτιθέμενοι έγιναν πιο έξυπνοι. Έγινε πιο έξυπνο επειδή τα εργαλεία που κάνουν ένα κείμενο να φαίνεται γνήσιο έγιναν δωρεάν και διαθέσιμα σε όλους.

Η απάντηση δεν είναι να προσπαθούμε να διαβάζουμε καλύτερα τα email. Είναι να φτιάξουμε διαδικασίες όπου ένα και μόνο ψεύτικο μήνυμα δεν αρκεί για να προκαλέσει ζημιά.