Το χάκινγκ που δεν στέλνει ποτέ ειδοποίηση: τριμηνιαίος έλεγχος

Οι περισσότεροι έχουμε ένα νοητικό καμπανάκι για το «μου χάκαραν τον λογαριασμό»: ένα email επαναφοράς κωδικού πρόσβασης που δεν ζητήσαμε, ένα μήνυμα για σύνδεση από άγνωστη πόλη, έναν λογαριασμό που ξαφνικά κλειδώνει. Αυτό το καμπανάκι είχε νόημα όταν η κύρια απειλή ήταν κάποιος που μάντευε ή δοκίμαζε συστηματικά τον κωδικό πρόσβασής σας. Δεν κάνει σχεδόν τίποτα για τις μεθόδους πρόσβασης που εμφανίζονται σε πρόσφατα περιστατικά και έχουν σχεδιαστεί ειδικά για να μην το ενεργοποιούν.

Δύο παραδείγματα από τις τελευταίες εβδομάδες δείχνουν το μοτίβο. Η Malwarebytes κατέγραψε μια απάτη στο WhatsApp (δημοσιεύτηκε στις August 3, 2026), όπου τα θύματα καθοδηγούνται βήμα προς βήμα σε κάτι που μοιάζει με «ρύθμιση του WhatsApp Web» — μερικές φορές ακόμη και στο πραγματικό domain wa.me — και καταλήγουν να εισάγουν έναν κωδικό που συνδέει τη συσκευή του δράστη με τον λογαριασμό τους. Δεν πληκτρολογείται πουθενά κανένας κωδικός πρόσβασης, οπότε δεν αποστέλλεται email επαναφοράς κωδικού και δεν ενεργοποιείται καμία ειδοποίηση αποτυχημένης σύνδεσης. Η συσκευή του δράστη απλώς γίνεται άλλη μία αθόρυβη είσοδος στη λίστα συνδεδεμένων συσκευών του λογαριασμού, με πλήρη πρόσβαση ανάγνωσης και αποστολής, την οποία στη συνέχεια χρησιμοποιεί για να εκτελέσει την ίδια απάτη στις επαφές του θύματος. Ξεχωριστά, η Microsoft προειδοποίησε για μια εκστρατεία που αποκαλεί «CaptiveCrunch», η οποία παρεμβάλλεται σε ταξιδιώτες μέσω captive portals ξενοδοχειακών και συνεδριακών Wi‑Fi, ανακατευθύνοντάς τους σε πλαστές σελίδες σύνδεσης που υποκλέπτουν όχι μόνο κωδικούς πρόσβασης αλλά και κωδικούς συσκευών και διακριτικά OAuth — διαπιστευτήρια που παρέχουν πρόσβαση χωρίς να δημιουργούν ποτέ το είδος ειδοποίησης «νέα σύνδεση» που θα προκαλούσε μια αλλαγή κωδικού πρόσβασης.

Το κοινό στοιχείο: και οι δύο επιθέσεις στοχεύουν μηχανισμούς συνεδριών και εξουσιοδότησης — συνδεδεμένες συσκευές, εκχωρήσεις OAuth, κωδικούς συσκευών — και όχι τον ίδιο τον κωδικό πρόσβασης. Το ενσωματωμένο σύστημα ειδοποιήσεων του λογαριασμού σας έχει σχεδιαστεί για να παρακολουθεί την κύρια είσοδο. Αυτές οι μέθοδοι μπαίνουν από μια πλαϊνή πόρτα που δεν παρακολουθεί.

Τι να κάνετε στην πράξη

Δεν μπορείτε να περιμένετε μια ειδοποίηση που δεν πρόκειται να έρθει. Αντί γι’ αυτό, κάντε τον έλεγχο των δικών σας συνδεδεμένων συσκευών και εξουσιοδοτημένων εφαρμογών μια ρουτίνα που εκτελείτε οι ίδιοι, όπως θα ελέγχατε τις μπαταρίες των ανιχνευτών καπνού. Ακολουθεί ένας συγκεκριμένος έλεγχος, με τη σειρά:

1. Ελέγξτε τις συνδεδεμένες/ενεργές συσκευές στις εφαρμογές ανταλλαγής μηνυμάτων

• WhatsApp: Ρυθμίσεις → Συνδεδεμένες συσκευές. Οτιδήποτε δεν αναγνωρίζετε, πατήστε το και επιλέξτε «Αποσύνδεση».
• Telegram: Ρυθμίσεις → Συσκευές. Η ίδια λογική — τερματίστε κάθε συνεδρία που δεν ανήκει σε συσκευή την οποία κρατάτε αυτή τη στιγμή στα χέρια σας.
• Signal: Ρυθμίσεις → Συνδεδεμένες συσκευές, ο ίδιος έλεγχος.

2. Ελέγξτε τις ενεργές συνεδρίες και την πρόσβαση εφαρμογών τρίτων στους βασικούς λογαριασμούς σας

• Google: myaccount.google.com/security → «Οι συσκευές σας» και «Εφαρμογές τρίτων με πρόσβαση στον λογαριασμό». Ανακαλέστε την πρόσβαση σε οτιδήποτε άγνωστο και δώστε ιδιαίτερη προσοχή σε εφαρμογές στις οποίες παραχωρήσατε πρόσβαση πριν από μήνες ή χρόνια και τις ξεχάσατε — μια παλιά παραχώρηση πρόσβασης είναι εξίσου αξιοποιήσιμη από έναν επιτιθέμενο με μια καινούργια.
• Microsoft: account.microsoft.com/security → «Δραστηριότητα σύνδεσης» και «Δικαιώματα εφαρμογών».
• Apple ID: Ρυθμίσεις → [το όνομά σας] → ελέγξτε τη λίστα συσκευών στο κάτω μέρος.
• Facebook/Instagram: Ρυθμίσεις → «Πού έχετε συνδεθεί» / «Ενεργές συνεδρίες», καθώς και «Εφαρμογές και ιστότοποι» για συνδεδεμένη πρόσβαση τρίτων.

3. Να είστε καχύποπτοι με κάθε διαδικασία που σας ζητά να εισαγάγετε κωδικό αντί για κωδικό πρόσβασης

Οι νόμιμες διαδικασίες «σύνδεσης αυτής της συσκευής» χρησιμοποιούν πράγματι κωδικούς — αυτό από μόνο του δεν αποτελεί κόκκινη σημαία. Αυτό που θα πρέπει να σας σταματήσει είναι η αφορμή: αν εμφανιστεί ένα αίτημα εισαγωγής κωδικού εξαιτίας ενός μηνύματος από επαφή («ψήφισέ με», «δες αυτό»), ενός captive portal σε δημόσιο Wi‑Fi ή οποιουδήποτε συνδέσμου που δεν ξεκινήσατε εσείς, θεωρήστε το κακόβουλο μέχρι να αποδειχθεί το αντίθετο. Κλείστε το και μεταβείτε απευθείας στην εφαρμογή ή στον λογαριασμό, αντί να συνεχίσετε από τον σύνδεσμο.

4. Ελέγξτε αν το email σας έχει εμφανιστεί σε γνωστή παραβίαση δεδομένων

Το Have I Been Pwned (haveibeenpwned.com), το οποίο διαχειρίζεται ο ερευνητής ασφάλειας Troy Hunt, είναι μια δωρεάν, καθιερωμένη υπηρεσία για να ελέγχετε αν η διεύθυνση email σας εμφανίζεται σε γνωστές παραβιάσεις δεδομένων — είναι αρκετά αξιόπιστη ώστε εθνικές κυβερνήσεις να τη χρησιμοποιούν για τα δικά τους domains (το εθνικό κέντρο κυβερνοασφάλειας του Nepal έγινε η 47η κυβέρνηση που εντάχθηκε, σύμφωνα με δημοσιεύματα αυτής της εβδομάδας). Δεν θα εντοπίσει παραβίαση μέσω συνδεδεμένης συσκευής, αλλά είναι ένας γρήγορος, δωρεάν έλεγχος που αξίζει να κάνετε στις κύριες διευθύνσεις email σας και είναι η σωστή πρώτη κίνηση αν υποψιάζεστε οποιοδήποτε πρόβλημα λογαριασμού και δεν ξέρετε από πού να ξεκινήσετε.

5. Σε μη αξιόπιστα δίκτυα — ξενοδοχειακό Wi‑Fi, συνεδριακό Wi‑Fi, Wi‑Fi αεροδρομίου — αποφύγετε τη σύνδεση σε οτιδήποτε ευαίσθητο μέσω της ίδιας της σελίδας captive portal

Αν η σελίδα σύνδεσης στο Wi‑Fi ενός ξενοδοχείου ή χώρου σάς ζητήσει ενημέρωση λογισμικού, εμφανίσει ένα παράθυρο διαλόγου «ελέγχου ασφαλείας» ή ζητήσει σύνδεση Microsoft/Google πριν σας παραχωρήσει πρόσβαση στο διαδίκτυο, να είστε επιφυλακτικοί — συνδεθείτε πρώτα και, στη συνέχεια, κάντε τις πραγματικές σας συνδέσεις μέσω της σύνδεσης κινητής τηλεφωνίας του τηλεφώνου σας ή μέσω VPN, αντί μέσω οποιασδήποτε σελίδας σάς εμφανίσει το δίκτυο.

Βάλτε το στο ημερολόγιο

Ένας μόνο καθαρισμός διορθώνει το σημερινό πρόβλημα, όχι όμως και το πρόβλημα του επόμενου τριμήνου. Επιλέξτε μια επαναλαμβανόμενη υπενθύμιση — ανά τρίμηνο είναι ένας λογικός ρυθμός, ή συνδέστε την με κάτι που ήδη κάνετε τακτικά, όπως την αλλαγή εποχής ή έναν επαναλαμβανόμενο λογαριασμό — και επαναλάβετε τα βήματα 1 και 2 παραπάνω για τους δύο ή τρεις σημαντικότερους λογαριασμούς σας: το κύριο email σας, όποια εφαρμογή ανταλλαγής μηνυμάτων χρησιμοποιείτε περισσότερο και οποιονδήποτε λογαριασμό συνδέεται με τα οικονομικά σας. Χρειάζεται λιγότερο από δεκαπέντε λεπτά μόλις μάθετε πού βρίσκονται τα μενού, και είναι ο μόνος αξιόπιστος τρόπος να εντοπίσετε πρόσβαση που σχεδιάστηκε ειδικά για να μην σας ειδοποιεί.