Από την Τετάρτη, χιλιάδες ιστότοποι σε όλο τον πλανήτη αντιμετωπίζουν σοβαρά προβλήματα. Ορισμένοι, ανάμεσά τους και 32 κυβερνητικές πλατφόρμες του Ηνωμένου Βασιλείου, τέθηκαν εκτός λειτουργίας, κυρίως για προληπτικούς λόγους. Κι αυτό διότι λίγο νωρίτερα, το προηγμένο μοντέλο τεχνητής νοημοσύνης (ΤΝ) της Anthropic είχε ανακαλύψει τυφλά σημεία (ευαλωτότητες) στη γλώσσα προγραμματισμού PHP, που χρησιμοποιείται περίπου από 7 στις 10 ιστοσελίδες παγκοσμίως.
Τα κενά στον κώδικα φέρονται να διέρρευσαν σε μέσα κοινωνικής δικτύωσης και διαδικτυακά φόρα, προκαλώντας ένα κύμα κυβερνοεπιθέσεων. Παρ’ ότι οι διαχειριστές του έσπευσαν να προσφέρουν μια νεότερη και ενημερωμένη έκδοση, υπάρχουν εκατοντάδες χιλιάδες συστήματα παγκοσμίως στα οποία δεν είναι δυνατή η αναβάθμιση, αλλά απαιτείται αντικατάσταση – κάτι που, προφανώς, συνεπάγεται περισσότερο χρόνο και κινδύνους.
Ταυτόχρονα, νέα έρευνα της αμερικανικής εταιρείας κυβερνοασφάλειας Frenos έδειξε ότι τα ανεπτυγμένα μοντέλα ΤΝ (frontier AI) έχουν τη δυνατότητα να πραγματοποιούν επιτυχημένες κυβερνοεπιθέσεις στο 90% των μηχανημάτων βιομηχανικού ελέγχου (Operating Technology ή ΟΤ) που υπάρχουν σε κρίσιμες υποδομές, όπως τα δίκτυα ηλεκτρισμού και υδροδότησης. Μάλιστα, το πρωί της περασμένης Δευτέρας, οι εργαζόμενοι σε περισσότερα από 500 σουπερμάρκετ της Γαλλίας αντίκρισαν μια εικόνα καταστροφής όταν έφτασαν στα καταστήματα.
Οι συνθήκες στους διαδρόμους θύμιζαν καύσωνα, χιλιάδες τρόφιμα είχαν χαλάσει και ορισμένα ψυγεία είχαν τυλιχθεί στις φλόγες. Οπως διαπιστώθηκε, το προηγούμενο βράδυ είχε πραγματοποιηθεί μια μεγάλης κλίμακας κυβερνοεπίθεση στα κεντρικά συστήματα εξ αποστάσεως ελέγχου που χρησιμοποιούν τα περισσότερα σουπερμάρκετ της χώρας. Πρόκειται για μηχανήματα ΟΤ της δανικής Danfoss, στα οποία ήταν ήδη γνωστό ότι υπήρχαν κενά ασφαλείας. Οι επιτήδειοι – που δεν έχουν ακόμη ταυτοποιηθεί – χάκαραν το σύστημα και ανέβασαν τη θερμοκρασία των ψυγείων στους 50 βαθμούς Κελσίου, με καταστροφικές συνέπειες και σημαντικές οικονομικές ζημίες.
Οι κίνδυνοι στην Ελλάδα
Σε αυτό το φόντο, είναι λογικό να τίθεται το ερώτημα πόσο προστατευμένες είναι οι ελληνικές επιχειρήσεις και υποδομές απέναντι σε ενδεχόμενη κυβερνοεπίθεση. «Ο τραπεζικός τομέας, οι τηλεπικοινωνίες και η ενέργεια εμφανίζουν παραδοσιακά υψηλότερη ωριμότητα στην κυβερνοασφάλεια, κυρίως λόγω της αυστηρότερης εποπτείας και των σημαντικών επενδύσεων που έχουν πραγματοποιήσει.
Αντίθετα, μεγαλύτερες προκλήσεις εντοπίζονται στην υγεία, στη δημόσια διοίκηση, στις μεταφορές και σε επιχειρήσεις που χρησιμοποιούν παλαιά βιομηχανικά συστήματα», υπογραμμίζει στα «ΝΕΑ» ο καθηγητής Ψηφιακών Συστημάτων στο Πανεπιστήμιο Πειραιώς (ΠΑΠΕΙ) Χρήστος Ξενάκης.
«Αυτή η εικόνα επιβεβαιώνεται σε ευρωπαϊκό επίπεδο και από τις αξιολογήσεις του ENISA (η Υπηρεσία Κυβερνοασφάλειας της ΕΕ). Στην Ελλάδα, ιδιαίτερη προσοχή απαιτείται επίσης στις μικρομεσαίες επιχειρήσεις, όπου συχνά οι διαθέσιμοι πόροι και η τεχνογνωσία είναι περιορισμένοι», προσθέτει ο ίδιος.
«Οι κυριότερες αδυναμίες είναι η χρήση παλαιού λογισμικού, η καθυστέρηση στην εγκατάσταση ενημερώσεων ασφαλείας, οι ανεπαρκείς έλεγχοι πρόσβασης, η ελλιπής εκπαίδευση του προσωπικού και η απουσία δοκιμασμένων σχεδίων αντιμετώπισης περιστατικών» υπερθεματίζει ο Διομήδης Σπινέλλης, καθηγητής στο Τμήμα Διοικητικής Επιστήμης και Τεχνολογίας του Οικονομικού Πανεπιστημίου Αθηνών (ΟΠΑ).
Οπως λέει από την πλευρά του στα «ΝΕΑ» ο γενικός διευθυντής της εταιρείας κυβερνοασφάλειας Odyssey Cybersecurity, Απόστολος Πανδρούλας, τα ελληνικά σουπερμάρκετ είναι εκτεθειμένα σε αντίστοιχους κινδύνους, καθώς χρησιμοποιούν παρόμοιες τεχνολογίες με τα γαλλικά για τα ψυγεία τους. «Οι περισσότεροι δεν έχουν κάνει τις απαραίτητες επενδύσεις. Δεν αντιλαμβάνονται τον κίνδυνο από κυβερνοεπιθέσεις και δεν θέτουν την ασφάλεια ως προτεραιότητα», επισημαίνει. Επιπλέον, αναφέρει ότι βιομηχανίες πρώτων υλών και φαρμακοβιομηχανίες βρίσκονται επίσης αρκετά πίσω σε αυτό το ζήτημα.
SOS για τις ενεργειακές υποδομές
O υποδιοικητής της Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ), Δημήτρης Ζαμπακόλας, υπογραμμίζει: «Ο κίνδυνος δεν περιορίζεται στα σουπερμάρκετ, αφού αντίστοιχες συσκευές ελέγχου φυσικών διεργασιών (OT) χρησιμοποιούνται στην παραγωγή, την ενέργεια, την ύδρευση και πολλές άλλες κρίσιμες υποδομές. Οι συσκευές αυτές έχουν μια ιδιαιτερότητα: το λογισμικό τους συνήθως δεν ενημερώνεται τακτικά, όπως ενός υπολογιστή ή κινητού, καθώς έχουν σχεδιαστεί για να λειτουργούν αδιάλειπτα επί σειρά ετών».
Πρόσφατη έρευνα της ολλανδικής Αρχής Κυβερνοασφάλειας και της εταιρείας Modat διαπίστωσε ότι χιλιάδες συστήματα ανανεώσιμων πηγών ενέργειας (ΑΠΕ) ανά την Ευρώπη αντιμετωπίζουν υψηλό κίνδυνο χακαρίσματος. Σύμφωνα με την έρευνα, υπάρχουν περισσότερα από 8.500 εκτεθειμένα συστήματα σε 35 χώρες, με την Ελλάδα να βρίσκεται στη δεύτερη θέση στα φωτοβολταϊκά, με 1.860 ελεγκτές ηλιακών πάρκων να είναι απευθείας συνδεδεμένοι στο Διαδίκτυο και επομένως να αντιμετωπίζουν μεγαλύτερο κίνδυνο. Στην πρώτη θέση βρίσκεται η Ισπανία, ενώ τα περισσότερα εκτεθειμένα αιολικά διαθέτει η Γερμανία.
«Ο διαχωρισμός των δικτύων αποκτά ιδιαίτερη σημασία. Κρίσιμα συστήματα και υποδομές θα πρέπει να λειτουργούν σε περιβάλλον απομονωμένο από το Διαδίκτυο, καθώς ο απομακρυσμένος έλεγχος μέσω Διαδικτύου καθιστά τα συστήματα αυτά ιδιαιτέρως ευάλωτα. Οταν η απομακρυσμένη σύνδεση είναι πραγματικά απαραίτητη, θα πρέπει να πραγματοποιείται μόνο μέσω ασφαλών καναλιών, όπως ένα εικονικό ιδιωτικό δίκτυο (VPN), με ισχυρή ταυτοποίηση των χρηστών, πρόσβαση αυστηρά περιορισμένη σε όσους τη χρειάζονται και καταγραφή κάθε ενέργειας», επισημαίνει ο υποδιοικητής της ΕΑΚ.
«Εξίσου σημαντική είναι η συντήρηση του εξοπλισμού: όχι μόνο η τακτική εγκατάσταση των ενημερώσεων ασφαλείας, αλλά και η έγκαιρη ανανέωσή του, ώστε να μην παραμένουν σε λειτουργία συσκευές που έχουν φτάσει στο τέλος του κύκλου ζωής τους (End of Life) και δεν υποστηρίζονται πλέον από τον κατασκευαστή», συνεχίζει.
Εκτεθειμένος και ο δημόσιος τομέας
Τα συστήματα του Δημοσίου είναι επίσης αρκετά εκτεθειμένα σε κυβερνοεπιθέσεις. Ιδιαίτερη μέριμνα απαιτείται για τα νοσοκομεία, στα συστήματα των οποίων διατηρούνται ιατρικοί φάκελοι ασθενών, ενώ μια ενδεχόμενη βλάβη στα δίκτυά τους θα μπορούσε να οδηγήσει σε μια πραγματική ανθρωπιστική καταστροφή. «Δεν έχει ληφθεί μέριμνα για τα λειτουργικά μηχανήματα στην Ελλάδα ακόμα και στα νοσοκομεία», αναφέρει ο επικεφαλής της Odyssey Cybersecurity.
Από την ΕΑΚ κρούουν τον κώδωνα του κινδύνου και για τους οργανισμούς τοπικής αυτοδιοίκησης (ΟΤΑ), που από τα τέλη Νοεμβρίου θα υπάγονται στο εθνικό πλαίσιο εποπτείας της NIS2 (η Ευρωπαϊκή Οδηγία για την Κυβερνοασφάλεια).
«Η πρόκληση είναι ιδιαίτερα σημαντική για τους δήμους, καθώς μια κυβερνοεπίθεση μπορεί να διακόψει υπηρεσίες που επηρεάζουν άμεσα την καθημερινότητα των πολιτών», προειδοποιεί ο Δ. Ζαμπακόλας. «Πρόκειται για ουσιαστικές απαιτήσεις διαχείρισης κινδύνων, προστασίας συστημάτων και αναφοράς σημαντικών περιστατικών, όχι απλώς για μια γραφειοκρατική – τυπική διαδικασία. Τον Μάρτιο του 2026 προκηρύχθηκε από την ΕΔΥΤΕ ειδικό έργο ενίσχυσης της κυβερνοασφάλειας των ΟΤΑ που προβλέπει εξοπλισμό, αξιολογήσεις κινδύνου, τεχνικούς ελέγχους ασφαλείας, υπηρεσίες παρακολούθησης και εκπαίδευση».
«Οι οργανισμοί δεν πρέπει να διστάζουν να δηλώνουν ένα περιστατικό στην ΕΑΚ από φόβο για τις πιθανές συνέπειες. Η δήλωση δεν είναι ομολογία αποτυχίας, είναι πράξη υπευθυνότητας και συλλογικής άμυνας. Οσο περισσότερα περιστατικά δηλώνονται τόσο πληρέστερη είναι η εικόνα που έχει η Αρχή για το πραγματικό επίπεδο κυβερνοασφάλειας της χώρας και τόσο πιο πιθανό είναι να εντοπιστούν έγκαιρα οργανωμένες επιθέσεις και εκστρατείες που στοχεύουν ταυτόχρονα πολλούς οργανισμούς, σημειώνει επίσης.
Δεν υπάρχει 100% ασφάλεια
«Η αποτελεσματικότητα της εποπτείας θα εξαρτηθεί από τη διαθεσιμότητα εξειδικευμένου προσωπικού, την τεχνική υποδομή και την ικανότητα διενέργειας ουσιαστικών ελέγχων. Απαιτείται συνεχής ενίσχυση των επιχειρησιακών της δυνατοτήτων και συνεργασία με την επιστημονική κοινότητα και την αγορά. Η επιτυχία δεν θα κριθεί μόνο από τον αριθμό των επιχειρήσεων που θα εγγραφούν στο σχετικό μητρώο, αλλά κυρίως από το επίπεδο ασφάλειας που θα επιτευχθεί στην πράξη», επισημαίνει ο Χρ. Ξενάκης.
«Εκτιμώ ότι οι μεγαλύτεροι και πιο οργανωμένοι φορείς μπορούν να επιτύχουν ικανοποιητικό επίπεδο συμμόρφωσης μέσα στα επόμενα ένα έως δύο χρόνια. Για μικρότερους ή λιγότερο ώριμους οργανισμούς, η διαδικασία ενδέχεται να απαιτήσει περισσότερο χρόνο. Ο ρεαλιστικός στόχος είναι μέσα στην επόμενη τριετία να έχει διαμορφωθεί ένα ουσιαστικά υψηλότερο επίπεδο κυβερνοανθεκτικότητας στη χώρα», προσθέτει ο καθηγητής του ΠΑΠΕΙ.
Ωστόσο, όλοι τονίζουν ότι η κυβερνοασφάλεια δεν είναι μια διαδικασία με οριστικό τέλος. «Δεν είναι ένας στόχος που επιτυγχάνεται οριστικά, αλλά μια συνεχής διαδικασία προσαρμογής σε νέες τεχνολογίες και νέες απειλές» υπογραμμίζει ο Δ. Σπινέλλης. «Οσα μέτρα και αν λάβει ένας οργανισμός, ποτέ δεν μπορεί να θεωρείται 100% ασφαλής. Ο στόχος δεν είναι να εξασφαλίσουμε μηδενικό κίνδυνο, αλλά να περιορίζουμε την πιθανότητα μιας επίθεσης και, κυρίως, τις συνέπειές της όταν αυτή συμβεί», λέει και ο Δ. Ζαμπακόλας.
Agentic AI
Πράγματι, καθώς νέες τεχνολογίες μπαίνουν στην ζωή μας, το επίπεδο των κυβερνοεπιθέσεων γίνεται ολοένα και υψηλότερο. «Η ΤΝ επιτρέπει στους επιτιθέμενους να αυτοματοποιούν εργασίες και να δημιουργούν πιο πειστικές απόπειρες εξαπάτησης. Σε πολλές περιπτώσεις, μάλιστα, χρησιμοποιούνται πλέον αυτόνομοι πράκτορες (Agentic AI), εξέλιξη που έχει μειώσει δραματικά τον χρόνο προετοιμασίας: ό,τι παλαιότερα απαιτούσε μήνες σχεδιασμού, σήμερα μπορεί να οργανωθεί μέσα σε λίγες ώρες», υπογραμμίζει ο υποδιοικητής της ΕΑΚ. «Η ίδια τεχνολογία, βεβαίως, μπορεί να ενισχύσει και την άμυνα, βοηθώντας στην ταχύτερη ανίχνευση και ανάλυση απειλών, για αυτό και είναι επιτακτική η όσο το δυνατόν ταχύτερη ενσωμάτωσή της».
Ο Απόστολος Πανδρούλας διαπιστώνει ότι το τελευταίο διάστημα παρατηρείται αύξηση ειδικά στα συστήματα Internet of Things (IoT), δηλαδή σε συσκευές που είναι συνδεδεμένες στο Διαδίκτυο, αλλά και στα συστήματα βιομηχανικών λειτουργιών (OT).
Ο Γιάννης Ιωαννίδης, καθηγητής στο τμήμα Πληροφορικής και Τηλεπικοινωνιών του ΕΚΠΑ, υπογραμμίζει ότι σήμερα, οι επιθέσεις γίνονται συχνά με υβριδικό τρόπο, δηλαδή τόσο στον ψηφιακό όσο και στον φυσικό κόσμο. Σημειώνει, δε, ότι καταγράφεται αύξηση στις κυβερνοεπιθέσεις με γεωπολιτικό κίνητρο. «Υπάρχουν χώρες που έχουν στρατιές ολόκληρες για την πραγματοποίηση κυβερνοεπιθέσεων» λέει και επισημαίνει ότι έχουν καταγραφεί και στην Ελλάδα αρκετά περιστατικά επιθέσεων από μη φιλικά διακείμενα γειτονικά κράτη.
Η κρίσιμη διετία
Η NIS2 είναι η Οδηγία της ΕΕ που θέτει το πλαίσιο για την ασφάλεια των δικτύων και των πληροφοριακών συστημάτων στην Ευρώπη. Εχει ψηφιστεί από το 2022 και απαιτεί από τα κράτη-μέλη να ενισχύσουν τις ικανότητές τους στον τομέα της κυβερνοασφάλειας, εισάγοντας παράλληλα μέτρα διαχείρισης κινδύνων και απαιτήσεις υποβολής εκθέσεων για περιστατικά, ενώ παράλληλα θεσπίζει κανόνες για τη συνεργασία, την ανταλλαγή πληροφοριών, την εποπτεία και την επιβολή των μέτρων. Η Ελλάδα ήταν η έβδομη χώρα στην ΕΕ που ενσωμάτωσε την Οδηγία στην εθνική νομοθεσία, με τον ν. 5160/2024.
Tομείς υψηλής κρισιμότητας
Η NIS2 ορίζει 11 τομείς της οικονομίας που χαρακτηρίζονται υψηλής κρισιμότητας και ακόμα 7 που επίσης θεωρούνται κρίσιμοι, αλλά σε μικρότερο βαθμό. Στην κατηγορία των τομέων υψηλής κρισιμότητας συμπεριλαμβάνονται οι εξής: ενέργεια, μεταφορές, τράπεζες, χρηματοπιστωτικές αγορές, υγεία, δίκτυο πόσιμου νερού, λύματα, ψηφιακές υποδομές (data centers κ.λπ.), υπηρεσίες πληροφορικής και κυβερνοασφάλειας, δημόσια διοίκηση και ο τομέας του Διαστήματος.
Στη δεύτερη κατηγορία κρισιμότητας βρίσκουμε τις ταχυδρομικές υπηρεσίες και ταχυμεταφορές, τη διαχείριση αποβλήτων, τα χημικά προϊόντα, τα τρόφιμα, τις κατασκευές και τη μεταποίηση, τους ψηφιακούς παρόχους (π.χ. πλατφόρμες κοινωνικής δικτύωσης) και τον τομέα της έρευνας.
Υπεύθυνη για την εποπτεία της εφαρμογής της NIS2 στην Ελλάδα είναι η ΕΑΚ, που δημιουργήθηκε μόλις το 2024. «Η NIS2 και οι χρηματοδοτήσεις δημιουργούν το πλαίσιο, αλλά το αποτέλεσμα θα κριθεί στην εφαρμογή. Το ζητούμενο για όλους – επιχειρήσεις, δημόσια διοίκηση και δήμους – είναι κοινό: να προλαμβάνουν όσο μπορούν, να αντιδρούν έγκαιρα και να ανακάμπτουν με ασφάλεια» υπογραμμίζει ο υποδιοικητής της Αρχής. Η ΕΑΚ διαθέτει στην ιστοσελίδα της πλατφόρμα για την εγγραφή των επιχειρήσεων που αφορά η NIS2 στο αντίστοιχο μητρώο, αλλά και πλατφόρμα για τη δήλωση περιστατικών κυβερνοασφάλειας.
Η αλήθεια, ωστόσο, είναι ότι μέχρι την επαρκή εφαρμογή της NIS2 υπάρχει μεγάλη απόσταση που πρέπει να διανυθεί. «Θα χρειαστούν περίπου 2-3 χρόνια για να υπάρχει επαρκής κάλυψη βάσει της NIS2. Η ΕΑΚ πιέζει ώστε να γίνει το συντομότερο δυνατόν, όμως το σημαντικότερο είναι να το αντιληφθούν τα μέλη των διοικητικών συμβουλίων των εταιρειών που αφορά η Οδηγία», λέει ο Απόστολος Πανδρούλας. Προσθέτει, δε, ότι η τεχνολογία είναι ώριμη και το οικοσύστημα των εταιρειών που δραστηριοποιούνται στην Ελλάδα έχουν τη δυνατότητα να δώσουν τις απαιτούμενες λύσεις.
