Μια ιστοσελίδα-κλώνος τραπεζικού ιδρύματος, η υποκλοπή στοιχείων πρόσβασης και 55 συναλλαγές μέσα σε περίπου δύο ώρες συνθέτουν την εικόνα μιας ιδιαίτερα σοβαρής υπόθεσης ηλεκτρονικής απάτης στο Ρέθυμνο. Η υπόθεση, πέρα από την αστυνομική έρευνα για τον εντοπισμό των δραστών και τη διαδρομή των χρημάτων, ανοίγει μια ευρύτερη συζήτηση: πόσο έχουν εξελιχθεί οι ψηφιακές απάτες στην εποχή της Τεχνητής Νοημοσύνης και πόσο αποτελεσματικές είναι οι δικλείδες ασφαλείας όταν παρατηρείται συναλλακτική δραστηριότητα που αποκλίνει έντονα από το συνηθισμένο προφίλ ενός λογαριασμού;
Η υπόθεση που βρίσκεται στο επίκεντρο της έρευνας στο Ρέθυμνο αποτελεί χαρακτηριστικό παράδειγμα της μετάβασης από τις σχετικά εύκολα αναγνωρίσιμες ηλεκτρονικές απάτες του παρελθόντος σε ένα πολύ πιο σύνθετο περιβάλλον ψηφιακής εξαπάτησης.
Σύμφωνα με τα στοιχεία που έχουν γίνει γνωστά, εξουσιοδοτημένη υπάλληλος της Περιφερειακής Ενότητας Ρεθύμνης επιχείρησε να συνδεθεί στο ηλεκτρονικό περιβάλλον της τράπεζας μέσω διαδικτυακής αναζήτησης. Ο σύνδεσμος στον οποίο οδηγήθηκε φέρεται να παρέπεμπε, όχι στην αυθεντική τραπεζική ιστοσελίδα, αλλά σε έναν εξαιρετικά πειστικό ιστότοπο-κλώνο, στον οποίο καταχώρισε τα στοιχεία της χωρίς να αντιληφθεί την παγίδα.
Οι δράστες, σύμφωνα με τις ίδιες πληροφορίες, δεν αξιοποίησαν αμέσως τα στοιχεία που είχαν αποκτήσει. Περίμεναν αρκετές ημέρες και τελικά, μεταξύ περίπου 3 και 5 τα ξημερώματα, πραγματοποίησαν 55 διαδοχικές συναλλαγές, μεταφέροντας συνολικά περίπου 150.000 ευρώ από λογαριασμό της Περιφέρειας Κρήτης προς λογαριασμούς σε διαδικτυακές τράπεζες.
Το περιστατικό καταγγέλθηκε στις αρμόδιες αρχές και η υπόθεση διερευνάται από την Υποδιεύθυνση Δίωξης και Εξιχνίασης Εγκλημάτων Ρεθύμνου.
Μια απάτη που στηρίχθηκε στην «αντιγραφή της εμπιστοσύνης»
Η τεχνική που περιγράφεται παραπέμπει στο phishing, δηλαδή στο ηλεκτρονικό «ψάρεμα» στοιχείων μέσω πλαστής επικοινωνίας ή πλαστών διαδικτυακών περιβαλλόντων που μιμούνται αξιόπιστες υπηρεσίες.
Στην κλασική του μορφή, το phishing επιχειρεί να οδηγήσει το θύμα σε μια ιστοσελίδα που μοιάζει με εκείνη μιας τράπεζας, μιας κρατικής υπηρεσίας ή μιας μεγάλης εταιρείας. Ο χρήστης θεωρεί ότι επικοινωνεί με τον πραγματικό οργανισμό και καταχωρίζει οικειοθελώς username, password ή άλλα στοιχεία ασφαλείας, τα οποία στην πραγματικότητα παραδίδονται στους δράστες.
Σύμφωνα με τα στοιχεία που έχουν έρθει στη δημοσιότητα, η υπάλληλος ακολούθησε μια απολύτως συνηθισμένη διαδικασία: αναζήτησε μέσω της μηχανής αναζήτησης της Google τον σύνδεσμο που οδηγεί στο ψηφιακό περιβάλλον της τράπεζας, όπως κάνει, προφανώς, σε καθημερινή βάση για τις ανάγκες της υπηρεσίας. Ο σύνδεσμος στον οποίο κατέληξε, ωστόσο, δεν οδηγούσε στην πραγματική ιστοσελίδα του τραπεζικού ιδρύματος, αλλά σε μια εικονική, «κλωνοποιημένη» σελίδα, οπτικά πανομοιότυπη με το αυθεντικό περιβάλλον e-banking.
Η υπάλληλος εισήγαγε εκεί τα διαπιστευτήριά της χωρίς να αντιληφθεί το παραμικρό, καθώς η κατασκευή της ψεύτικης σελίδας, που φέρεται να έγινε με χρήση εργαλείων τεχνητής νοημοσύνης, ήταν τόσο πιστή στο πρωτότυπο που έμοιαζε με ακριβές αντίγραφο της Τράπεζας, μια σελίδα-καθρέφτης.
Η Εθνική Αρχή Κυβερνοασφάλειας έχει επανειλημμένα προειδοποιήσει ότι οι χρήστες πρέπει να εισέρχονται στις ηλεκτρονικές υπηρεσίες τραπεζών και οργανισμών μέσω της επίσημης ιστοσελίδας ή της επίσημης εφαρμογής και όχι μέσω συνδέσμων, μηνυμάτων ή ακόμη και αποτελεσμάτων μηχανών αναζήτησης.
Το συγκεκριμένο περιστατικό αποκτά επομένως ιδιαίτερη σημασία, επειδή δείχνει ότι ο κίνδυνος δεν περιορίζεται πλέον σε ένα εμφανώς ύποπτο email με ορθογραφικά λάθη. Μια πλαστή ιστοσελίδα μπορεί να διαθέτει λογότυπα, χρωματισμούς, γραμματοσειρές, φόρμες σύνδεσης και συνολικό σχεδιασμό που προσεγγίζουν σε πολύ μεγάλο βαθμό το αυθεντικό περιβάλλον.
Η απάτη ουσιαστικά δεν «αντιγράφει» απλώς μια ιστοσελίδα. Αντιγράφει την εικόνα αξιοπιστίας και εμπιστοσύνης που έχει δημιουργήσει ο πραγματικός οργανισμός στον χρήστη.
Τεχνητή Νοημοσύνη: Οι απάτες μπορούν να γίνουν πολύ πιο πειστικές
Στην περίπτωση της Περιφέρειας έχει αναφερθεί ότι η κατασκευή της πλαστής τραπεζικής ιστοσελίδας πραγματοποιήθηκε με τη συνδρομή Τεχνητής Νοημοσύνης. Η Αντιπεριφερειάρχης Ρεθύμνης Μαίρη Λιονή, σύμφωνα με το υλικό του ρεπορτάζ, αναφέρθηκε στην εξαιρετικά μεγάλη ομοιότητα της πλαστής ιστοσελίδας με το πραγματικό τραπεζικό περιβάλλον και στη σχεδιαζόμενη επικοινωνία με την Εθνική Αρχή Κυβερνοασφάλειας για την περαιτέρω διερεύνηση του περιστατικού και την ενίσχυση της προστασίας των υπηρεσιών.
Χρειάζεται, πάντως, μία σημαντική διάκριση: η υψηλή ποιότητα ενός πλαστού ιστοτόπου δεν αποδεικνύει από μόνη της τη χρήση Τεχνητής Νοημοσύνης (ΤΝ). Τεχνικά άρτια αντίγραφα ιστοσελίδων μπορούσαν να δημιουργηθούν και πριν από την εξάπλωση της ΤΝ. Το αν και με ποιον ακριβώς τρόπο χρησιμοποιήθηκε AI στη συγκεκριμένη επίθεση μπορεί να τεκμηριωθεί μόνο μέσα από την ψηφιακή εγκληματολογική διερεύνηση.
Το γενικό φαινόμενο, ωστόσο, είναι απολύτως τεκμηριωμένο.
Η Εθνική Αρχή Κυβερνοασφάλειας έχει προειδοποιήσει ότι κυβερνοεγκληματίες χρησιμοποιούν πλέον εργαλεία Τεχνητής Νοημοσύνης για τη δημιουργία αληθοφανών μηνυμάτων που προσομοιάζουν σε επικοινωνίες κρατικών αρχών ή τραπεζών, με στόχο την απόσπαση προσωπικών δεδομένων και διαπιστευτηρίων πρόσβασης.
Αντίστοιχα, η Europol επισημαίνει ότι η γενετική ΤΝ χρησιμοποιείται για την αναβάθμιση των επιθέσεων κοινωνικής μηχανικής, επιτρέποντας στους δράστες να προσαρμόζουν τα μηνύματα στο πολιτισμικό και προσωπικό προφίλ των θυμάτων και να αυτοματοποιούν σε μεγάλη κλίμακα διαδικασίες εξαπάτησης.
Το ίδιο συμπέρασμα προκύπτει και από τη διεθνή επιστημονική βιβλιογραφία. Συστηματική μελέτη των Schmitt και Flechais στο Artificial Intelligence Review εντοπίζει τρεις βασικούς τρόπους με τους οποίους η Τεχνητή Νοημοσύνη ενισχύει την κοινωνική μηχανική: δημιουργία ρεαλιστικού περιεχομένου, προηγμένη εξατομίκευση των επιθέσεων και αυτοματοποίηση της υποδομής επίθεσης. Οι συγγραφείς αναφέρουν ρητά ως χαρακτηριστικό παράδειγμα τη δυνατότητα ταχύτερης δημιουργίας και προσαρμογής ιστοσελίδων phishing.
Οι 55 συναλλαγές και το μεγάλο ερώτημα
Το πλέον κρίσιμο σημείο της υπόθεσης δεν αφορά μόνο το πώς υποκλάπηκαν οι κωδικοί.
Αφορά και το τι συνέβη μετά.
Πενήντα πέντε συναλλαγές μέσα σε περίπου δύο ώρες, κατά τις πρώτες πρωινές ώρες και με συνολικό ύψος περίπου 150.000 ευρώ, δημιουργούν εύλογα ερωτήματα για το κατά πόσο η συγκεκριμένη συμπεριφορά του λογαριασμού παρουσίαζε απόκλιση από το συνήθη συναλλακτικό του προφίλ.
Το ερώτημα είναι ιδιαίτερα σημαντικό επειδή η ευρωπαϊκή νομοθεσία δεν περιορίζει την ασφάλεια των ηλεκτρονικών πληρωμών στην απλή χρήση ενός password.
Η Οδηγία PSD2 προβλέπει την εφαρμογή ισχυρής ταυτοποίησης πελάτη – Strong Customer Authentication (SCA) όταν ο χρήστης αποκτά ηλεκτρονική πρόσβαση στον λογαριασμό του ή εκκινεί ηλεκτρονική συναλλαγή. Για τις εξ αποστάσεως ηλεκτρονικές πληρωμές προβλέπεται επίσης δυναμική σύνδεση της αυθεντικοποίησης με συγκεκριμένο ποσό και συγκεκριμένο δικαιούχο.
Ακόμη πιο συγκεκριμένος είναι ο Κατ’ Εξουσιοδότηση Κανονισμός (ΕΕ) 2018/389. Το άρθρο 2 προβλέπει ότι οι πάροχοι υπηρεσιών πληρωμών πρέπει να διαθέτουν μηχανισμούς παρακολούθησης συναλλαγών που επιτρέπουν την ανίχνευση μη εξουσιοδοτημένων ή απατηλών πληρωμών. Οι μηχανισμοί αυτοί πρέπει να βασίζονται στην ανάλυση της συναλλακτικής συμπεριφοράς και να λαμβάνουν υπόψη παράγοντες κινδύνου, όπως το ποσό της συναλλαγής, γνωστά σενάρια απάτης και ενδεχόμενη μη φυσιολογική χρήση συσκευών ή λογισμικού.
Άρα, το ερώτημα «γιατί δεν μπλοκαρίστηκαν οι 55 συναλλαγές;» είναι εύλογο.
Δεν μπορεί, όμως, από μόνο του να οδηγήσει σε συμπέρασμα περί ευθύνης της τράπεζας.
Δεν γνωρίζουμε ακόμη πώς εγκρίθηκαν οι συναλλαγές
Για μια ασφαλή αξιολόγηση της υπόθεσης λείπουν ορισμένες κρίσιμες τεχνικές πληροφορίες.
Δεν έχει δημοσιοποιηθεί, για παράδειγμα, με ποιον ακριβώς μηχανισμό ολοκληρώθηκαν οι 55 πληρωμές, εάν ενεργοποιήθηκε Strong Customer Authentication, εάν χρησιμοποιήθηκαν ή υποκλάπηκαν επιπλέον κωδικοί μιας χρήσης, εάν υπήρχε δεύτερος εξουσιοδοτημένος χρήστης, ποια ήταν τα ημερήσια όρια του λογαριασμού και αν οι συναλλαγές αφορούσαν νέους ή ήδη καταχωρισμένους δικαιούχους.
Δεν γνωρίζουμε επίσης εάν ενεργοποιήθηκαν τραπεζικές ειδοποιήσεις κινδύνου, εάν κάποιο σύστημα fraud detection χαρακτήρισε τις συναλλαγές υψηλού κινδύνου ή εάν εφαρμόστηκαν εξαιρέσεις από την ισχυρή ταυτοποίηση.
Υπάρχει μάλιστα μια κρίσιμη νομικοτεχνική λεπτομέρεια: σύμφωνα με διευκρίνιση της European Banking Authority, ο γενικός μηχανισμός παρακολούθησης συναλλαγών του άρθρου 2 του Κανονισμού 2018/389 δεν απαιτεί σε όλες τις περιπτώσεις κατ’ ανάγκη παρακολούθηση σε πραγματικό χρόνο πριν από την εκτέλεση της συναλλαγής. Real-time risk analysis απαιτείται ειδικά όταν χρησιμοποιούνται ορισμένες εξαιρέσεις χαμηλού κινδύνου από την ισχυρή ταυτοποίηση.
Επομένως, μόνο από τα πραγματικά ηλεκτρονικά αρχεία –τα λεγόμενα logs– της τράπεζας και του οργανισμού μπορεί να διαπιστωθεί τι ακριβώς συνέβη.
Το κρίσιμο ερώτημα: πού ήταν οι δικλείδες ασφαλείας της τράπεζας
Το ερώτημα που κυριάρχησε στη δημόσια συζήτηση μετά την αποκάλυψη του περιστατικού αφορά την απουσία μηχανισμών έγκαιρης προειδοποίησης από την πλευρά του τραπεζικού ιδρύματος. Πενήντα πέντε συναλλαγές μέσα σε δύο ώρες, τα ξημερώματα Κυριακής, από λογαριασμό δημόσιου φορέα που υπό κανονικές συνθήκες δεν θα πραγματοποιούσε καμία κίνηση εκείνη την ώρα, συνιστούν μια συμπεριφορά που αποκλίνει τόσο ακραία από το συνήθες προφίλ συναλλαγών του λογαριασμού, ώστε θα αναμενόταν να ενεργοποιήσει αυτόματα κάποιο σύστημα ανίχνευσης απάτης (fraud detection).
Τα σύγχρονα συστήματα που χρησιμοποιούν οι τράπεζες βασίζονται σε αλγορίθμους που αναλύουν παράγοντες όπως η ώρα της συναλλαγής, η συχνότητα, ο αριθμός των διαδοχικών μεταφορών, το ύψος του ποσού και η απόκλιση από το ιστορικό προφίλ του λογαριασμού. Όταν πολλαπλοί δείκτες κινδύνου εμφανίζονται ταυτόχρονα –όπως συνέβη σε αυτή την περίπτωση– το αναμενόμενο θα ήταν είτε η αυτόματη προσωρινή αναστολή των συναλλαγών, είτε η απαίτηση πρόσθετης ταυτοποίησης ή έγκρισης από δεύτερο εξουσιοδοτημένο πρόσωπο, πρακτική που άλλωστε συνηθίζεται σε λογαριασμούς φορέων του δημοσίου ακριβώς για λόγους διασταυρωμένου ελέγχου. Το γεγονός ότι κανένας τέτοιος μηχανισμός δεν ενεργοποιήθηκε εγκαίρως αποτελεί, όπως επισημαίνεται και σε σχολιασμό του περιστατικού, ερώτημα που αφορά όχι μόνο την τράπεζα αλλά και το ευρύτερο πλαίσιο εποπτείας τέτοιων λογαριασμών.
Τι δείχνουν τα στοιχεία της Τράπεζας της Ελλάδος
Η απάτη στις ηλεκτρονικές μεταφορές χρημάτων δεν αποτελεί περιθωριακό φαινόμενο.
Σύμφωνα με την Έκθεση Χρηματοπιστωτικής Σταθερότητας της Τράπεζας της Ελλάδος του Οκτωβρίου 2025, το 2024 καταγράφηκαν 5.032 περιστατικά απάτης σε μεταφορές πιστώσεων συνολικής αξίας 12 εκατ. ευρώ, έναντι 11.214 περιστατικών αξίας 25 εκατ. ευρώ το 2023.
Η σημαντική μείωση αποδόθηκε μεταξύ άλλων στην ενίσχυση των μέτρων πρόληψης από τους παρόχους υπηρεσιών πληρωμών και στη μεγαλύτερη εξοικείωση των χρηστών με τις ασφαλείς διαδικασίες συναλλαγών.
Ιδιαίτερο ενδιαφέρον παρουσιάζει, όμως, ο τρόπος πραγματοποίησης των απατών: το 43% των περιπτώσεων αφορούσε εντολή πληρωμής που πραγματοποίησε ο ίδιος ο απατεώνας αφού απέκτησε παράνομα ευαίσθητα στοιχεία του πληρωτή, ενώ στο 57% ο δράστης χειραγώγησε τον ίδιο τον πληρωτή ώστε εκείνος να πραγματοποιήσει την πληρωμή προς έναν φαινομενικά νόμιμο δικαιούχο.
Η διάκριση αυτή είναι ουσιώδης. Άλλο είναι η απάτη στην οποία ο πολίτης πείθεται να μεταφέρει ο ίδιος χρήματα και άλλο η υποκλοπή διαπιστευτηρίων που επιτρέπει στον εγκληματία να αποκτήσει πρόσβαση και να επιχειρήσει ο ίδιος συναλλαγές.
Η ασφάλεια δεν μπορεί να βασίζεται μόνο στην προσοχή του υπαλλήλου
Το μεγαλύτερο μάθημα της συγκεκριμένης υπόθεσης είναι ίσως ότι η κυβερνοασφάλεια δεν μπορεί να αντιμετωπίζεται αποκλειστικά ως θέμα «προσοχής του χρήστη».
Ακόμη και ο έμπειρος χρήστης μπορεί να εξαπατηθεί.
Η σύγχρονη προσέγγιση της κυβερνοασφάλειας βασίζεται στην αρχή defence in depth – άμυνα σε βάθος: εάν αποτύχει το πρώτο επίπεδο προστασίας, πρέπει να υπάρχει δεύτερο· εάν παρακαμφθεί και αυτό, ένα τρίτο επίπεδο πρέπει να περιορίζει τη ζημιά.
Σε έναν δημόσιο οργανισμό που διαχειρίζεται σημαντικά χρηματικά ποσά αυτό μπορεί να σημαίνει, μεταξύ άλλων, πρόσβαση στο e-banking μόνο από καθορισμένες συσκευές, χρήση αποθηκευμένης και επαληθευμένης διεύθυνσης της τράπεζας αντί μηχανής αναζήτησης, ισχυρή πολυπαραγοντική αυθεντικοποίηση, αυστηρά ημερήσια και ανά συναλλαγή όρια, περιορισμό των δικαιούχων στους οποίους μπορούν να πραγματοποιούνται άμεσα πληρωμές και πρόσθετη έγκριση για ασυνήθιστες ή μεγάλης αξίας εντολές.
Ιδιαίτερα αποτελεσματική μπορεί να είναι η αρχή των δύο προσώπων – four-eyes principle, κατά την οποία ο χρήστης που εισάγει μια πληρωμή δεν είναι ο ίδιος με εκείνον που την εγκρίνει οριστικά.
Παράλληλα, τα συστήματα μπορούν να αξιολογούν τη συναλλακτική ταχύτητα (transaction velocity). Πενήντα πέντε μεταφορές σε δύο ώρες, εφόσον μια τέτοια συμπεριφορά δεν αποτελεί συνήθη πρακτική του συγκεκριμένου λογαριασμού, μπορούν να αποτελέσουν ισχυρό σήμα αυξημένου κινδύνου και να δικαιολογήσουν πρόσθετη επαλήθευση.
Η εκπαίδευση πρέπει να αλλάξει μαζί με τις απάτες
Το παραδοσιακό μήνυμα «μην ανοίγετε ύποπτα email» δεν επαρκεί πλέον.
Ο εργαζόμενος πρέπει να γνωρίζει ότι ακόμη και ένα άψογα γραμμένο μήνυμα, μια τηλεφωνική συνομιλία με εξαιρετικά πειστικό συνομιλητή ή μια ιστοσελίδα χωρίς εμφανή λάθη μπορεί να αποτελεί προϊόν οργανωμένης απάτης.
Η ENISA επισημαίνει ότι το phishing αποτελεί έναν από τους σημαντικότερους μηχανισμούς αρχικής πρόσβασης σε οργανισμούς, ενώ η χρήση Τεχνητής Νοημοσύνης και αυτοματοποίησης επιτρέπει στους επιτιθέμενους να αναλύουν τη συμπεριφορά των χρηστών και να πραγματοποιούν περισσότερο στοχευμένες επιθέσεις.
Για τους οργανισμούς αυτό σημαίνει ότι η εκπαίδευση προσωπικού πρέπει να είναι συνεχής και να περιλαμβάνει πραγματικά σενάρια phishing, προσομοιώσεις περιστατικών, σαφή πρωτόκολλα επικοινωνίας με την τράπεζα και συγκεκριμένη διαδικασία άμεσης αντίδρασης όταν υπάρχει υποψία παραβίασης.
Η Κρήτη αντιμέτωπη με διαφορετικές μορφές της ίδιας απειλής
Η υπόθεση του Ρεθύμνου δεν εμφανίζεται απομονωμένη.
Στο ίδιο χρονικό διάστημα έχουν αναφερθεί και άλλες σοβαρές περιπτώσεις στο Ηράκλειο. Σε μία από αυτές, 48χρονη φέρεται να πείστηκε από άτομα που παρουσιάστηκαν ως επενδυτικοί σύμβουλοι να καταθέσει συνολικά περίπου 60.000 ευρώ σε λογαριασμούς που συνδέονταν με τράπεζα στη Μάλτα. Όταν επιχείρησε να λάβει μέρος των υποτιθέμενων κερδών, της ζητήθηκε νέα καταβολή χρημάτων ως δήθεν «φόρος», γεγονός που την οδήγησε να αντιληφθεί την απάτη.
Σε άλλο περιστατικό στο Ηράκλειο αναφέρθηκε μη εξουσιοδοτημένη πρόσβαση στον επαγγελματικό τραπεζικό λογαριασμό επιχειρηματία και πραγματοποίηση διαδοχικών συναλλαγών μέσα σε μικρό χρονικό διάστημα.
Τα περιστατικά είναι διαφορετικά μεταξύ τους, αλλά αναδεικνύουν το ίδιο βασικό στοιχείο: το οικονομικό έγκλημα μετακινείται όλο και περισσότερο στο ψηφιακό περιβάλλον και δεν στηρίζεται αποκλειστικά στην τεχνική παραβίαση συστημάτων αλλά στην εκμετάλλευση της ανθρώπινης εμπιστοσύνης.
Τι πρέπει να γίνει αμέσως όταν υπάρχει υποψία υποκλοπής
Η ταχύτητα αντίδρασης είναι καθοριστική.
Η Διεύθυνση Δίωξης Κυβερνοεγκλήματος συνιστά, όταν υπάρχει υποψία ότι έχουν υποκλαπεί στοιχεία internet banking, OTP ή άλλα διαπιστευτήρια μέσω phishing, άμεση επικοινωνία με την τράπεζα, ώστε να μπλοκαριστούν εγκαίρως λογαριασμοί ή κάρτες και να περιοριστεί η πιθανότητα απώλειας χρημάτων.
Σε επίπεδο οργανισμού πρέπει παράλληλα να διατηρηθούν όλα τα ψηφιακά πειστήρια: ιστορικό browser, διευθύνσεις URL, emails, SMS, logs, IP addresses, ειδοποιήσεις τραπέζης και timestamps. Η βιαστική διαγραφή δεδομένων ή η επαναφορά συσκευών μπορεί να καταστρέψει στοιχεία πολύτιμα για την ψηφιακή εγκληματολογική διερεύνηση.
Η ουσία της υπόθεσης: όταν αποτύχει ο άνθρωπος, πρέπει να λειτουργεί το σύστημα
Η υπόθεση των περίπου 150.000 ευρώ στην Περιφερειακή Ενότητα Ρεθύμνης δεν πρέπει να αντιμετωπιστεί μόνο ως μία ακόμη περίπτωση phishing.
Αποτελεί ένα stress test για ολόκληρη την αλυσίδα ψηφιακής ασφάλειας.
Πώς οδηγήθηκε ο χρήστης στον πλαστό ιστότοπο; Ποια δεδομένα υποκλάπηκαν; Με ποιον τρόπο οι δράστες απέκτησαν δυνατότητα πραγματοποίησης πληρωμών; Τι είδους αυθεντικοποίηση εφαρμόστηκε; Υπήρχαν όρια συναλλαγών; Απαιτούνταν δεύτερη έγκριση; Ενεργοποιήθηκαν ειδοποιήσεις; Εντόπισε το σύστημα ότι πραγματοποιούνταν δεκάδες συναλλαγές σε ασυνήθιστη ώρα; Και εάν το εντόπισε, ποια ήταν η αντίδραση;
Οι απαντήσεις δεν μπορούν να δοθούν με υποθέσεις. Θα προκύψουν από την αστυνομική, τεχνική και ενδεχομένως τραπεζική διερεύνηση.
Ένα συμπέρασμα, όμως, είναι ήδη ασφαλές: στην εποχή της γενετικής Τεχνητής Νοημοσύνης, η διάκριση μεταξύ αληθινού και πλαστού γίνεται δυσκολότερη και η κυβερνοασφάλεια δεν μπορεί να στηρίζεται στην υπόθεση ότι ο χρήστης δεν θα κάνει ποτέ λάθος.
Τα ασφαλή συστήματα σχεδιάζονται με την παραδοχή ότι κάποια στιγμή ένας κωδικός μπορεί να υποκλαπεί, ένας εργαζόμενος μπορεί να εξαπατηθεί ή ένα επίπεδο προστασίας μπορεί να παρακαμφθεί.
Το κρίσιμο ερώτημα τότε δεν είναι μόνο «πώς μπήκαν οι δράστες;».
Είναι και «πόσο μακριά μπόρεσαν να φτάσουν αφού μπήκαν – και γιατί;»
Ακριβώς εκεί βρίσκεται το πραγματικό στοίχημα της σύγχρονης κυβερνοασφάλειας.
Το εθνικό πλαίσιο: η τεχνητή νοημοσύνη ως νέο όπλο των απατεώνων
Το περιστατικό στο Ρέθυμνο δεν είναι αποκομμένο από μια ευρύτερη τάση που καταγράφεται πανελλαδικά. Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) έχει εκδώσει, τους τελευταίους μήνες, επανειλημμένες ανακοινώσεις για αυξημένη ροή ηλεκτρονικών απατών, προειδοποιώντας για ολοένα πιο εξεζητημένα μηνύματα ηλεκτρονικού «ψαρέματος» (phishing) μέσω email, SMS ή Viber, καθώς και για πλαστούς ιστότοπους που μιμούνται δημόσιους φορείς (όπως το gov.gr) και τραπεζικά ιδρύματα, συχνά μέσω παραπλανητικών διευθύνσεων (π.χ. domains που μοιάζουν οπτικά με τα γνήσια αλλά διαφέρουν σε μία λεπτομέρεια).
Η Αρχή συστήνει στους πολίτες και τους φορείς μια σειρά βασικών κανόνων προφύλαξης: να μην κοινοποιούν ποτέ προσωπικούς ή τραπεζικούς κωδικούς σε τρίτους ή μέσω συνδέσμων που λαμβάνουν από email, SMS ή μηνύματα σε εφαρμογές· να ελέγχουν προσεκτικά τη διεύθυνση κάθε ιστοσελίδας πριν εισάγουν διαπιστευτήρια, αναζητώντας ορθογραφικά λάθη ή ασυνήθιστες καταλήξεις· να ενεργοποιούν, όπου είναι διαθέσιμος, τον διπλό παράγοντα ταυτοποίησης (2FA)· και να αποφεύγουν να «κλικάρουν» συνδέσμους από αναξιόπιστη ή άγνωστη πηγή, προτιμώντας πάντα την απευθείας πληκτρολόγηση της διεύθυνσης της τράπεζας ή τη χρήση της επίσημης εφαρμογής της. Κάθε ύποπτη δραστηριότητα συνιστάται να αναφέρεται άμεσα στην ΕΑΚ.
Αυτό που διαφοροποιεί τη σημερινή γενιά επιθέσεων από τις παλαιότερες, προφανέστερες απόπειρες phishing είναι ακριβώς η συνεισφορά της τεχνητής νοημοσύνης: εργαλεία που μέχρι πρότινος απαιτούσαν τεχνική εξειδίκευση για να παράγουν μια πειστική απομίμηση ιστοσελίδας είναι πλέον προσβάσιμα και σε λιγότερο έμπειρους δράστες, οι οποίοι μπορούν να αναπαράγουν με μεγάλη ακρίβεια τόσο τον οπτικό σχεδιασμό όσο και τη γλώσσα, τη δομή και ακόμη και μικρές λειτουργικές λεπτομέρειες ενός γνήσιου ψηφιακού περιβάλλοντος τράπεζας. Η εξέλιξη αυτή μεταθέτει σταδιακά το βάρος της άμυνας από την επαγρύπνηση του μεμονωμένου χρήστη —η οποία, όπως δείχνει και η υπόθεση του Ρεθύμνου, μπορεί να αστοχήσει ακόμη και σε έμπειρα στελέχη— προς πιο συστημικές λύσεις: πολυεπίπεδη ταυτοποίηση, όρια και ειδοποιήσεις ασυνήθιστης δραστηριότητας, και αυστηρότερους ελέγχους στις συναλλαγές δημόσιων και επιχειρηματικών λογαριασμών.
Τι σημαίνει η υπόθεση για τους φορείς του δημοσίου
Η υπόθεση της Περιφέρειας Κρήτης αναδεικνύει ένα ζήτημα που υπερβαίνει το μεμονωμένο περιστατικό: τον βαθμό στον οποίο δημόσιοι φορείς, που διαχειρίζονται σημαντικά κονδύλια μέσω ηλεκτρονικής τραπεζικής, διαθέτουν επαρκείς εσωτερικές διαδικασίες ασφαλείας πέραν αυτών που παρέχει η ίδια η τράπεζα. Πρακτικές όπως ο διαχωρισμός καθηκόντων (η έγκριση μιας συναλλαγής να απαιτεί δύο διαφορετικά, ανεξάρτητα άτομα), τα ημερήσια ή εβδομαδιαία όρια συναλλαγών, οι αυτόματες ειδοποιήσεις προς πολλαπλούς αποδέκτες για κάθε κίνηση πέραν συγκεκριμένου ποσού, καθώς και η τακτική εκπαίδευση του προσωπικού στην αναγνώριση απόπειρων phishing, αποτελούν συμπληρωματικές γραμμές άμυνας που μπορούν να λειτουργήσουν ακόμη και όταν η πρώτη γραμμή -η επαγρύπνηση του χρήστη- παραβιαστεί.
Η προγραμματισμένη συνεργασία της Περιφέρειας Κρήτης με την Εθνική Αρχή Κυβερνοασφάλειας φαίνεται να κινείται προς αυτή την κατεύθυνση, με στόχο να αντληθούν τα διδάγματα του συγκεκριμένου περιστατικού και να διαμορφωθεί ένα πιο ανθεκτικό πλαίσιο προστασίας για το μέλλον.
Πηγές – Θεσμική και επιστημονική τεκμηρίωση
- Εθνική Αρχή Κυβερνοασφάλειας (2025), «Ενημέρωση για αυξημένη ροή ηλεκτρονικών απατών» – αναφορά στη χρήση Τεχνητής Νοημοσύνης για τη δημιουργία αληθοφανών μηνυμάτων που μιμούνται δημόσιους φορείς και τράπεζες.
https://cyber.gov.gr/enimerosi-gia-ayximeni-roi-ilektronikon-apaton/ - Εθνική Αρχή Κυβερνοασφάλειας (2026), οδηγίες προστασίας από phishing – σύσταση πρόσβασης μόνο μέσω των επίσημων ψηφιακών καναλιών και αποφυγής ύποπτων συνδέσμων.
https://cyber.gov.gr/aformi-gia-ilektronikes-apates-ta-kratika-epidomata-mathete-pos-na-prostateyeste/ - European Banking Authority – Q&A 2018_4090, σχετικά με τη σχέση μεταξύ transaction monitoring και real-time risk monitoring στο πλαίσιο της PSD2.
https://eba.europa.eu/single-rule-book-qa/qna/view/publicId/2018_4090 - Κατ’ Εξουσιοδότηση Κανονισμός (ΕΕ) 2018/389, ιδίως το άρθρο 2 για τους μηχανισμούς παρακολούθησης και ανίχνευσης μη εξουσιοδοτημένων ή απατηλών συναλλαγών.
https://eur-lex.europa.eu/eli/reg_del/2018/389/2023-09-12/eng - Οδηγία (ΕΕ) 2015/2366 – PSD2, ιδίως το άρθρο 97 για την Strong Customer Authentication και τη δυναμική σύνδεση της αυθεντικοποίησης με το ποσό και τον δικαιούχο της συναλλαγής.
https://eur-lex.europa.eu/eli/dir/2015/2366/2025-01-17/eng - Τράπεζα της Ελλάδος (2025). Financial Stability Review, October 2025. Περιλαμβάνει στοιχεία για απάτες στις μεταφορές πιστώσεων και τους μηχανισμούς εξαπάτησης. Η ίδια η έκδοση αναγράφει το ακόλουθο DOI.
DOI: https://doi.org/10.52903/finsta.en202510
PDF: https://www.bankofgreece.gr/Publications/FINANCIAL_STABILITY_REVIEW_OCT_2025_%CE%95%CE%9D.pdf - Europol, αξιολόγηση της σύγχρονης κυβερνοεγκληματικότητας και της αυξανόμενης αξιοποίησης Generative AI σε social engineering, phishing και deepfakes.
https://www.europol.europa.eu/media-press/newsroom/news/steal-deal-repeat-cybercriminals-cash-in-your-data - ENISA, ενημέρωση για την επίδραση της Τεχνητής Νοημοσύνης και άλλων αναδυόμενων τεχνολογιών στη διευκόλυνση περισσότερο στοχευμένων phishing attacks.
https://www.enisa.europa.eu/news/emerging-technologies-make-it-easier-to-phish - Schmitt, M., & Flechais, I. (2024). “Digital deception: generative artificial intelligence in social engineering and phishing”. Artificial Intelligence Review, 57, 324. Η δημοσίευση είναι Open Access και το DOI επιβεβαιώνεται από τη Springer.
DOI: https://doi.org/10.1007/s10462-024-10973-2 - Gallagher, S., Gelman, B., Taoufiq, S., Vörös, T., Lee, Y., Kyadige, A., & Bergeron, S. (2024). “Phishing and Social Engineering in the Age of LLMs”. In Large Language Models in Cybersecurity: Threats, Exposure and Mitigation. Springer, pp. 81–86. Open Access. Το DOI επιβεβαιώνεται από τη Springer.
DOI: https://doi.org/10.1007/978-3-031-54827-7_8
Πλήρες PDF του βιβλίου: https://arodes.hes-so.ch/record/15929/files/Kucharavy_2024_Large_Language_Models_Cybersecurity.pdf - Best infographic from Greece: Identity Theft Online Infographic: Κλοπή Ταυτότητας στο Διαδίκτυο – Identity Theft Online | SaferInternet4kids
