Τα περισσότερα περιστατικά ξεκινούν από ένα μήνυμα και ένα κλικ. Το κουίζ σου δείχνει δέκα επιθέσεις όπως φτάνουν στην πραγματικότητα: ψεύτικη τράπεζα, δέμα που «δεν παραδόθηκε», λήξη κωδικού Microsoft 365, CEO fraud, ακόμη και μια ψεύτικη «υποχρεωτική εκπαίδευση NIS2». Σε κάθε μία βρίσκεις τα σημάδια, διαλέγεις τι κάνεις, και βλέπεις τι το σταματά στο Microsoft 365. Δεν χρειάζεται εγγραφή.
Κουίζ phishing · 10 σενάρια · ΚΥΑ 1689/2025, 21.α
Θα δεις δέκα μηνύματα: email, SMS και σελίδες. Όλα είναι επιθέσεις. Το ζητούμενο δεν είναι να μαντέψεις αν είναι ψεύτικο, αλλά να βρεις από τι το καταλαβαίνεις και να ξέρεις τι κάνεις. Γιατί στην πραγματικότητα, κανείς δεν σου λέει από πριν ότι ένα μήνυμα είναι phishing.
Πώς παίζεις
- Διάβασε το μήνυμα. Πρόσεξε αποστολέα, θέμα, σύνδεσμο και συνημμένο.
- Στο «Ποια είναι τα σημάδια;» τσέκαρε όσα σε κάνουν να υποψιαστείς. Κάποια είναι παγίδες: μοιάζουν σημαντικά αλλά δεν λένε τίποτα.
- Στο «Τι κάνεις;» διάλεξε μία ενέργεια και πάτα «Έλεγχος». Θα δεις τα σημάδια φωτισμένα πάνω στο μήνυμα και γιατί.
- Με το πληκτρολόγιο: Tab για το επόμενο στοιχείο, Space για να τσεκάρεις, ↑ ↓ για να αλλάξεις ενέργεια, Enter για «Έλεγχος» και «Επόμενο».
Περίπου 5 λεπτά. Όλα τα ονόματα και οι διευθύνσεις είναι κατασκευασμένα. Οι απαντήσεις σου δεν αποστέλλονται και δεν αποθηκεύονται.
Τα τέσσερα σημάδια που επαναλαμβάνονται
Αν θυμάσαι μόνο ένα πράγμα από το κουίζ, ας είναι αυτό: σχεδόν κάθε επίθεση συνδυάζει τα ίδια τέσσερα στοιχεία.
Αποστολέας που σχεδόν ταιριάζει. Ένα domain με μια λέξη παραπάνω (mycompany-group αντί για mycompany) ή με λέξεις όπως secure, login, verify. Κοίτα το κομμάτι ακριβώς πριν από την κατάληξη.
Βιασύνη. 2 ώρες, 12 ώρες, «σήμερα». Η προθεσμία υπάρχει για να μη ρωτήσεις κανέναν.
Φόβος ή κέρδος. Κλείσιμο λογαριασμού, πειθαρχικά, πρόστιμο, ή μια επιστροφή φόρου. Συχνά και τα δύο μαζί.
Μια ενέργεια που παρακάμπτει τη διαδικασία. Κωδικός σε σύνδεσμο, macros σε συνημμένο, .exe από email, πληρωμή χωρίς έγκριση.
Και κάτι που δεν είναι πια σημάδι: τα λάθη στα Ελληνικά. Με τα εργαλεία AI, τα μηνύματα phishing γράφονται άψογα.
Τι κάνεις πάντα
Δεν πατάς τον σύνδεσμο και δεν απαντάς στο μήνυμα. Το αναφέρεις με το κουμπί Report στο Outlook, ώστε το IT να το σβήσει και από τους υπόλοιπους. Αν χρειάζεται επιβεβαίωση, την κάνεις από κανάλι που ξέρεις: τηλέφωνο, Teams, ή τη διεύθυνση του site που γράφεις μόνος σου. Αν πάτησες ήδη, το λες αμέσως. Όσο πιο γρήγορα αναφερθεί, τόσο μικρότερη η ζημιά.
Πώς συνδέεται με την τεκμηρίωση της εκπαίδευσης
Η ΚΥΑ 1689/2025 ζητά περιοδική εκπαίδευση για όλο το προσωπικό με ελάχιστη θεματολογία επτά θεμάτων. Το κουίζ καλύπτει τα πέντε: email και phishing (αα), κωδικούς (αβ), MFA (αγ), ασφαλή περιήγηση (αδ) και αναφορά περιστατικού (αζ). Τα θέματα για τηλεργασία και οικιακό δίκτυο (αε) και για αντίγραφα ασφαλείας (αστ) θέλουν άλλο υλικό.
Το κουίζ είναι εργαλείο μάθησης, όχι τεκμήριο. Δεν κρατά ονόματα ούτε αποτελέσματα, άρα δεν αποδεικνύει ποιος εκπαιδεύτηκε. Μπορείς όμως να το χρησιμοποιήσεις σε μια συνεδρία με το προσωπικό και να την καταγράψεις στο μητρώο εκπαίδευσης. Για μετρήσιμο τεκμήριο, τρέξε προσομοιώσεις με τις ίδιες τεχνικές στο Attack simulation training (Credential Harvest, Malware Attachment, Link in Attachment, Link to Malware) και πέρασε τα συγκεντρωτικά αποτελέσματα στο βήμα 4 του εργαλείου Εκπαίδευση προσωπικού: είναι τεκμηριωμένη για τον ελεγκτή;. Εκεί η εξέλιξη από κύκλο σε κύκλο γίνεται το τεκμήριο αποτελεσματικότητας που ζητά η περίπτωση γ.
Η ίδια λογική καλύπτει και τα άλλα πλαίσια: το control A.6.3 του ISO/IEC 27001 για την ευαισθητοποίηση, το άρθρο 21 παρ. 2 στοιχ. ζ της Οδηγίας NIS2 για την κυβερνοϋγιεινή, και το άρθρο 32 παρ. 4 του GDPR, αφού ένα κλικ σε phishing είναι συχνά η αρχή μιας παραβίασης δεδομένων.
Επίσημες πηγές
Όλα τα ονόματα, οι διευθύνσεις και οι αριθμοί στο κουίζ είναι κατασκευασμένα. Τα domains τελειώνουν σε .example, που είναι δεσμευμένο για παραδείγματα και δεν ανήκει σε κανέναν. Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί τη Microsoft.
🛠️ Επόμενο βήμα: τεκμηρίωσε την εκπαίδευση του προσωπικού σου με φάκελο .pdf και μητρώο .xlsx.