Από ψυγεία σούπερ μάρκετ και υπηρεσίες αιμοδοσίας έως το δίκτυο του Βερολίνου, κυβερνοεπιθέσεις πλήττουν κρίσιμες υποδομές. Ένας ethical hacker στο Euronews εξηγεί πώς εντοπίζει κενά ασφαλείας και γιατί ο άνθρωπος είναι ο μεγαλύτερος κίνδυνος.
Μετά τα ψυγεία σε σούπερ μάρκετ, στο στόχαστρο άγνωστων χάκερ βρέθηκαν τώρα και οι υπηρεσίες αιμοδοσίας. Λόγω της διακοπής της ψύξης, οι δωρεές αίματος έγιναν άχρηστες. Ένας ethical hacker εξηγεί σε συνέντευξή του στο Euronews πώς προσπαθούν να εντοπίζουν κενά ασφαλείας πριν προλάβουν οι εγκληματίες να προκαλέσουν ζημιές.
ΔΙΑΦΉΜΙΣΗ
ΔΙΑΦΉΜΙΣΗ
«Τις τελευταίες δύο εβδομάδες είχαμε μια εξαιρετικά μεγάλη συσσώρευση θεαματικών περιστατικών, όπως δεν είχαμε ζήσει ούτε μέσα σε έναν ολόκληρο χρόνο», εξηγεί ο ειδικός στην κυβερνοασφάλεια της Whitelisthackers, Μάρκο Ντι Φίλιπο. Είναι αυτό που αποκαλείται Ethical Hacker, δηλαδή «ηθικός χάκερ», και τον προσλαμβάνουν εταιρείες για να ελέγχει την ασφάλεια των πληροφοριακών τους συστημάτων.
Το τελευταίο διάστημα τον απασχόλησαν πολλές υποθέσεις. Ξεκινώντας από τις διαρροές της AfD, τις ευπάθειες στην Revolut και στη γλώσσα σεναρίων PHP, με την οποία είναι γραμμένες πολυάριθμες ιστοσελίδες, μέχρι τις επιθέσεις στα ψυγεία και τα ψυχροστάσια. Σύμφωνα με την έκθεση "Bundeslagebild Cybercrime 2025" της ομοσπονδιακής υπηρεσίας εγκληματολογίας της Γερμανίας, μόνο το 2025 προκλήθηκε οικονομική ζημιά 202,4 δισ. ευρώ.
Ένα κλικ άνοιξε στους χάκερ την πόρτα στο κρατικό δίκτυο του Βερολίνου
Για την κυβερνοεπίθεση στο κρατικό δίκτυο του Βερολίνου, τον Αύγουστο του 2026, ο Ντι Φίλιπο είπε ότι ήταν μια ιδιαίτερα προβληματική υπόθεση. Θα μπορούσε να είχε αποφευχθεί. Οι δράστες ζήτησαν λύτρα ύψους 30 Bitcoin, περίπου 2 εκατ. ευρώ, όμως η Γερουσία του Βερολίνου το αρνήθηκε κατηγορηματικά. Τελικά 1,4 εκατ. εμπιστευτικά αρχεία δημοσιεύθηκαν στο ντάρκνετ.
Αιτία ήταν μια αδυναμία στο ψηφιακό σύστημα. Η ομάδα ransomware «Rhysida», που βρισκόταν πίσω από την επίθεση, εκμεταλλεύτηκε την άγνοια ενός ανθρώπου. «Το θύμα παρασύρθηκε σε μια ιστοσελίδα και κλήθηκε εκεί να επιβεβαιώσει ότι είναι άνθρωπος. Αυτή η μέθοδος επίθεσης ονομάζεται ClickFix. Το ξέρουμε: πρέπει να πληκτρολογήσεις αριθμούς, να ενώσεις εικόνες ή να λύσεις μια πράξη για να επιβεβαιώσεις ότι δεν είσαι bot», εξηγεί ο Ντι Φίλιπο.
Στην ιστοσελίδα το θύμα κλήθηκε να πατήσει έναν συγκεκριμένο συνδυασμό πλήκτρων, να επικολλήσει μια εντολή και να πατήσει Enter. «Έτσι άνοιξε ουσιαστικά μόνο του την πόρτα στους επιτιθέμενους», σχολιάζει ο Ντι Φίλιπο. Σύμφωνα με τον ειδικό στην ασφάλεια πληροφοριακών συστημάτων, ήταν σαν να έγραφε κανείς ένα email με το εξής περιεχόμενο: ‘‘Θέλω να ληστέψω μια τράπεζα και θα περάσω σήμερα το βράδυ στις δέκα. Αφήστε παρακαλώ την πόρτα μισάνοιχτη, για να πάω κατευθείαν στο χρηματοκιβώτιο.’’
Από αυτή την υπόθεση ο Ντι Φίλιπο αντλεί δύο συμπεράσματα. Αφενός, την έλλειψη προσοχής: «Πρώτον, υπήρξε ένας χρήστης που εκτέλεσε αυτή την εντολή, ο λεγόμενος παράγοντας άνθρωπος». Επιπλέον, ο χρήστης δεν θα έπρεπε καν να διαθέτει τα δικαιώματα για να μπορέσει να εκτελέσει μια τέτοια επίθεση. «Βλέπουμε κάθε μέρα τέτοια περιστατικά, στα οποία το μόνο που μπορείς να κάνεις είναι να κουνήσεις το κεφάλι», αξιολογεί ο Ντι Φίλιπο.
Ο άνθρωπος ως αδύναμος κρίκος της ψηφιακής ασφάλειας
Η πιθανότητα να πέσει κανείς θύμα μιας επίθεσης χάκερ είναι ένα προς δύο. Ωστόσο αυτή η επίγνωση εξακολουθεί να υποτιμάται, όπως σημειώνει ο ειδικός στην κυβερνοασφάλεια Μάρκο Ντι Φίλιπο από τη Whitelisthackers. Ο άνθρωπος φοβάται πολύ περισσότερο τη διάρρηξη ή την καταιγίδα. «Την ίδια στιγμή, η πιθανότητα να με χτυπήσει κεραυνός είναι μόλις 1 προς 200.000», λέει ο Ντι Φίλιπο.
Ο ειδικός στην κυβερνοασφάλεια εκφράζει τη λύπη του που η ασφάλεια σήμερα δεν αποτελεί προτεραιότητα. «Πωλούνται πολλά προϊόντα όπου στο επίκεντρο βρίσκεται η usability, η ευχρηστία», εξηγεί. Υπάρχουν για παράδειγμα smart homes, μέσω των οποίων μπορούν να ελεγχθούν από οπουδήποτε ο φωτισμός και η θέρμανση. Τα ψυγεία στα σούπερ μάρκετ είναι επίσης συνδεδεμένα στο διαδίκτυο, ώστε να ελέγχονται κεντρικά. Όλα γίνονται πιο εύκολα, αλλά όχι απαραίτητα πιο ασφαλή.
«Ακριβώς εκεί έχουμε σήμερα ένα έλλειμμα στην εκπαίδευσή μας. Και με το "εμείς" εννοώ όλους μας, δηλαδή όποιον δεν έμαθε ποτέ να αναγνωρίζει και τους κινδύνους», λέει ο Ντι Φίλιπο. Πρέπει, κατά την άποψή του, να ξεκινήσει κανείς από την εκπαίδευση. Όποιος δεν έχει ποτέ βρεθεί αντιμέτωπος με τον κίνδυνο μιας επίθεσης χάκερ, δεν θεωρεί τον εαυτό του πιθανό στόχο. Την ίδια ώρα, οι δυνατότητες να συνδεθεί κανείς σε ξένες συσκευές, για παράδειγμα, πληθαίνουν συνεχώς.
Γιατί η κυβερνοασφάλεια ξεκινά από την ενημέρωση
Σε ορισμένες περιπτώσεις αρκεί να πατήσει κανείς σε έναν σύνδεσμο σε SMS ή μήνυμα WhatsApp και στη συνέχεια να κληθεί να επιβεβαιώσει την ταυτότητά του, για να δώσει άθελά του στους επιτιθέμενους πρόσβαση στα προσωπικά του μηνύματα. Οι επιτιθέμενοι συνδέουν τη συσκευή με τη δική τους και αποκτούν έτσι πρόσβαση σε μηνύματα, πολυμέσα και επαφές. Για αυτή τη μέθοδο, γνωστή ως «Ghost Pairing», προειδοποίησε στις αρχές του χρόνου το Ομοσπονδιακό Γραφείο για την Ασφάλεια στην Πληροφορική της Γερμανίας, το BSI. Για να αποφευχθεί το ενδεχόμενο να διαβάζουν τρίτοι τα μηνύματα, το BSI συνιστά οι εισερχόμενες επικοινωνίες να «ελέγχονται κριτικά» και να ενεργοποιούνται μηχανισμοί όπως η πιστοποίηση δύο παραγόντων.
Άλλες χώρες, όπως για παράδειγμα η Ινδία, επενδύουν, πέρα από την ανάπτυξη της τεχνολογίας, και πολύ στην ενημέρωση. «Όταν ταξιδεύω με το μετρό στην Ινδία, βλέπω παντού αφίσες: κυβερνοεγκληματίες ή ζημιές από κυβερνοεπιθέσεις, με μια γραμμή βοήθειας όπου μπορώ να καλέσω», λέει ο Ντι Φίλιπο. Στη Γερμανία, αντίθετα, ο πολίτης αποθαρρύνεται συχνά ήδη στην αστυνομία και πρέπει να ψάξει ο ίδιος ποια υπηρεσία είναι αρμόδια.
«Κάθε μέρα προκύπτουν νέα σημεία εκκίνησης και ιδέες για επιθέσεις», προειδοποιεί ο Ντι Φίλιπο για την ταχύτητα των εξελίξεων. «Στα ψυγεία, οι χάκερ εντόπισαν μία φορά αυτή την ευπάθεια και τώρα αρκεί να δουν ποιος έχει σε λειτουργία ένα τέτοιο μοντέλο. Αντίστοιχα εξαπλώνονται οι επιθέσεις». Η ανακάλυψη ενός κενού ασφαλείας μπορεί, όπως λέει, να προκαλέσει φαινόμενο χιονοστιβάδας.
Σε περίπου 80 έως 95 τοις εκατό των επιθέσεων, σύμφωνα με τον Ντι Φίλιπο, συμμετέχει πάντα με κάποιον τρόπο ο άνθρωπος, ώστε να μπορέσει να αξιοποιηθεί ένα κενό ασφαλείας, όπως στην επίθεση στα κρατικά δίκτυα του Βερολίνου. «Πρέπει λοιπόν να δώσουμε πολύ μεγάλη βαρύτητα στην εκπαίδευση και την awareness (σημείωση της σύνταξης: «Bewusstsein»), ώστε να γίνουμε τελικά ανθεκτικοί στις κυβερνοεπιθέσεις. Ο παράγοντας άνθρωπος πρέπει να συμπεριληφθεί, με την τεχνολογία μόνο δεν τα καταφέρνουμε», τονίζει.
Χάκινγκ για να σταματήσουν οι χάκερ
Στη δουλειά του καλείται να μπει στη θέση των εγκληματιών χάκερ. «Στην ουσία προσπαθούμε να επιτεθούμε σε υποδομές ή να βρούμε σφάλματα σε υποδομές, σε λογισμικό ή σε συσκευές που βασίζονται στην πληροφορική. Με μέσα που χρησιμοποιούν και οι πραγματικοί κυβερνοεγκληματίες», λέει ο Ντι Φίλιπο. «Μόνο που ο δικός μας στόχος είναι να βρούμε τα λάθη πριν το κάνουν οι πραγματικοί επιτιθέμενοι και εκμεταλλευτούν αυτά τα κενά».
Η σημαντική διαφορά είναι ότι οι Ethical Hacker προσλαμβάνονται από πελάτες, για παράδειγμα μεγάλες εταιρείες, και δεν θέλουν να προκαλέσουν ζημιά στις υποδομές τους. «Στη δική μας εταιρεία δεν υπήρξε ποτέ κανείς με ποινικό παρελθόν», υπογραμμίζει ο Ντι Φίλιπο. Με ένα ποινικό μητρώο οι Ethical Hacker οφείλουν να αποκαλύπτουν το παρελθόν τους και να το αποδεικνύουν.
«Βρίσκουμε πάντα μια ευπάθεια», εξήγησε στη συνέντευξή του στο Euronews για τη δουλειά του. Στις εταιρείες η ομάδα του παραδίδει στο τέλος μια έκθεση έως και 400 σελίδων, όπου εντοπίζονται τα κενά στην ψηφιακή τους υποδομή και περιγράφεται πώς βρέθηκαν.
Μόλις εντοπιστεί ένα κενό, ενημερώνονται οι κατασκευαστές των τελικών συσκευών ή των συστημάτων και μπορούν σε συνεργασία με την εταιρεία να εργαστούν για να το κλείσουν. Σε μεμονωμένες περιπτώσεις, αυτά τα κενά ασφαλείας, για παράδειγμα στο iPhone, αξίζουν αρκετά εκατομμύρια ευρώ. «Περιμένουμε τότε μέχρι να κλείσει το κενό. Στη συνέχεια κάθε ευπάθεια δημοσιοποιείται μέσω ενός λεγόμενου CVE», προσθέτει ο Ντι Φίλιπο.
Ένα CVE παραπέμπει στον κατάλογο Common Vulnerabilities and Exposures (στα γερμανικά: gemeinsame Schwachstellen und Gefährdungen). Πρόκειται για έναν κατάλογο ευπαθειών ασφαλείας που είναι δημόσια προσβάσιμος. Και το ίδιο το BSI ενημερώνει για αδυναμίες και για πιο εκτενή συλλογή παραπέμπει επίσημα στη διεθνή βάση δεδομένων National Vulnerability Database (NVD).
Όταν η έλλειψη κρυπτογράφησης μπορεί να κοστίσει δισ. ευρώ
Οι ιστορίες που μπορεί να διηγηθεί ο Ντι Φίλιπο μοιάζουν με σενάριο σειράς του Netflix. Πριν από σχεδόν μία δεκαετία υπήρξε μια υπόθεση στην οποία κυβερνοεγκληματίες κατάφεραν σχετικά εύκολα να αποσπάσουν 1,2 δισ. ευρώ από μια τράπεζα. «Και αυτό επειδή τότε η τράπεζα δεν διέθετε κανένα μέτρο ασφαλείας για τη διασύνδεση των εγκαταστάσεών της», λέει ο ειδικός στην κυβερνοασφάλεια.
Λέγεται ότι η τράπεζα είχε ένα κατάστημα στη μία πλευρά του δρόμου και ακριβώς απέναντι ένα ακόμη γραφείο που ανήκε σε αυτήν. «Συνέδεσαν αυτόν τον χώρο με μια ζεύξη κατευθυνόμενης ασύρματης μετάδοσης, η οποία δεν ήταν κρυπτογραφημένη. Έτσι οι επιτιθέμενοι, χωρίς καμία δεξιότητα στο hacking, μπορούσαν να συνδεθούν πολύ εύκολα εκεί και ουσιαστικά να κινούνται ελεύθερα ψηφιακά μέσα στην τράπεζα, αποσπώντας σιωπηλά και αθόρυβα αυτά τα χρήματα».
Και στα ψυγεία στα σούπερ μάρκετ, σε ορισμένες περιπτώσεις, έλειπε τελικά η προστασία μέσω κρυπτογράφησης. Οι ειδικοί συνιστούν τουλάχιστον τη χρήση VPN ή ενός firewall. Για τις τράπεζες ισχύουν πλέον αυστηρότερα πρότυπα ασφαλείας. Πριν από περίπου έναν χρόνο, η ομοσπονδιακή κυβέρνηση της Γερμανίας ενέκρινε επίσης την οδηγία NIS-2. Υποχρεώνει σαφώς περισσότερες εταιρείες και κλάδους από ό,τι μέχρι τώρα να εφαρμόζουν δεσμευτικά μέτρα κυβερνοασφάλειας, ιδίως σε προληπτικό επίπεδο.
Η εταιρεία Whitelisthackers ποντάρει επίσης στην ενίσχυση της ψηφιακής παιδείας και για αυτό δημιούργησε τον διαγωνισμό «Ο καλύτερος χάκερ της Γερμανίας». Στόχος είναι να εντοπιστούν ταλέντα και με τη βοήθεια ethical hackers να γίνει ο ψηφιακός κόσμος πιο ασφαλής. Ο νικητής κερδίζει τη συμμετοχή σε διεθνή λεγόμενα hackathons, δηλαδή μαραθώνιους χάκινγκ.
Οι υπηρεσίες χάκινγκ γνωρίζουν άνθηση, και στις δύο πλευρές. Στο ντάρκνετ έχει πλέον διαδοθεί ευρέως μεταξύ των εγκληματιών το λεγόμενο Cybercrime-as-a-Service, με το ακρωνύμιο CaaS, ενώ και η νόμιμη αγορά υπηρεσιών ασφαλείας μεγαλώνει. Η Whitelisthackers επεξεργάζεται κάθε χρόνο τις εντολές περίπου 250 πελατών. Μετά τα θεαματικά, σε ορισμένες περιπτώσεις παγκόσμια, περιστατικά, όλο και περισσότερες εταιρείες ενδιαφέρονται να βελτιώσουν τη δική τους υποδομή ασφάλειας.