Κυβερνοεπιθέσεις στα ψυγεία και στην Ελλάδα – Σήμα κινδύνου της ΕΑΚ προς τις επιχειρήσεις

Στην Ελλάδα έχει περάσει το πρόβλημα των κυβερνοεπιθέσεων σε συστήματα ψύξης καταστημάτων τροφίμων και σούπερ μάρκετ, μεταφέροντας τον ψηφιακό κίνδυνο στην καρδιά της λειτουργίας των επιχειρήσεων. Με νέα ανακοίνωσή της, στις 3 Νοεμβρίου, η Εθνική Αρχή Κυβερνοασφάλειας αναφέρεται ρητά σε επιθέσεις στη χώρα και υπενθυμίζει ότι είχε προειδοποιήσει για τα ευάλωτα συστήματα ήδη από τις 14 Οκτωβρίου. Η παρέμβαση έρχεται μετά τα περιστατικά σε ευρωπαϊκές αγορές, όπου η απομακρυσμένη παρέμβαση σε συστήματα ψύξης προκάλεσε προβλήματα στη λειτουργία καταστημάτων και απώλειες τροφίμων. Για τις επιχειρήσεις, το διακύβευμα ξεπερνά πλέον την προστασία δεδομένων: αφορά τον εξοπλισμό που διατηρεί τα προϊόντα στις απαιτούμενες συνθήκες και υποστηρίζει την καθημερινή λειτουργία τους. Η νέα ανακοίνωση της ΕΑΚ δεν προσδιορίζει τον αριθμό των ελληνικών καταστημάτων που επηρεάστηκαν, την έκταση των επιπτώσεων ή τους δράστες. Επιβεβαιώνει, όμως, ότι το θέμα έχει αποκτήσει και εγχώρια διάσταση, καθιστώντας επείγοντα τον έλεγχο των εγκαταστάσεων.

Τα 300 εκτεθειμένα συστήματα και η κρίσιμη διάκριση

Η ΕΑΚ υπενθυμίζει ότι στην ανακοίνωση της 14ης Οκτωβρίου είχε γνωστοποιήσει τον εντοπισμό περισσότερων από 300 εκτεθειμένων συστημάτων, κυρίως ελεγκτών εμπορικής ψύξης Danfoss, Copeland/Dixell και Carel, καλώντας τους αρμόδιους φορείς να αποσυνδέσουν από το δημόσιο διαδίκτυο τα συστήματα ελέγχου εξοπλισμού. Ο αριθμός αυτός δεν αφορά 300 επιβεβαιωμένες παραβιάσεις. Αποτυπώνει συστήματα που είχαν εντοπιστεί εκτεθειμένα και, συνεπώς, απαιτούσαν έλεγχο και προστασία. Η αρχική προειδοποίηση είχε εκδοθεί με αφορμή τις κυβερνοεπιθέσεις σε σούπερ μάρκετ και αλυσίδες τροφίμων στη Γαλλία. Η Αρχή είχε αναδείξει τον κίνδυνο από εξοπλισμό προσβάσιμο μέσω διαδικτύου, με παλιό λογισμικό και ανεπαρκή προστασία. cyber.gov.gr

Τι ζητά η Αρχή από τις επιχειρήσεις

Οι συστάσεις που επαναφέρει η ΕΑΚ εστιάζουν στον τρόπο πρόσβασης στον εξοπλισμό, στους κωδικούς και στην υποστήριξη των συστημάτων. Πρώτη προτεραιότητα είναι η αποσύνδεση των συστημάτων ελέγχου από το δημόσιο διαδίκτυο. Η απομακρυσμένη πρόσβαση πρέπει να γίνεται μόνο με ασφαλή σύνδεση VPN και πολυπαραγοντική ταυτοποίηση, ώστε η διαχείριση του εξοπλισμού να μην είναι απευθείας προσβάσιμη σε τρίτους.

Παράλληλα, ζητούνται:

– Αλλαγή των προεπιλεγμένων κωδικών πρόσβασης.

– Εγκατάσταση των ενημερώσεων ασφαλείας.

– Αντικατάσταση εξοπλισμού που δεν υποστηρίζεται πλέον από τον κατασκευαστή.

Η τελευταία σύσταση έχει ιδιαίτερη βαρύτητα για εγκαταστάσεις που παραμένουν λειτουργικές, αλλά δεν λαμβάνουν πλέον διορθώσεις ασφαλείας. Η συνέχιση της λειτουργίας τους δεν σημαίνει ότι διατηρούν και την αναγκαία προστασία απέναντι σε γνωστές ευπάθειες.

Μπλέτσας: Το αδιόρθωτο κενό μπορεί να γίνει φυσική ζημιά

Το μήνυμα της Αρχής είναι ότι η κυβερνοασφάλεια πρέπει να αποτελεί μέρος κάθε ψηφιακής διασύνδεσης, ιδιαίτερα όταν αυτή επιτρέπει τον έλεγχο φυσικού εξοπλισμού. «Ό,τι εντοπίζουμε εμείς, το εντοπίζει και ο επιτιθέμενος. Ένα γνωστό, αλλά αδιόρθωτο κενό μπορεί να γίνει φυσική ζημία μέσα σε μία νύχτα», επισημαίνει ο διοικητής της ΕΑΚ, Μιχάλης Μπλέτσας. Ο ίδιος υπογραμμίζει ότι η κυβερνοασφάλεια πρέπει να είναι δομικό συστατικό σε κάθε ψηφιακή διασύνδεση και ότι η ζημιά μπορεί να αποδειχθεί πολλαπλάσια σε κόστος από την πρόληψη. Η ΕΑΚ συνδέει επίσης την ανάγκη εφαρμογής των βασικών κανόνων κυβερνοϋγιεινής με την επιτάχυνση που φέρνει η τεχνητή νοημοσύνη, αναδεικνύοντας την προστασία των συνδεδεμένων συστημάτων ως προτεραιότητα για την ανθεκτικότητα της κοινωνίας.

Πώς τα ψυγεία έγιναν ψηφιακός στόχος

Η απομακρυσμένη παρακολούθηση επιτρέπει στους τεχνικούς να ελέγχουν τη λειτουργία των εγκαταστάσεων και να παρεμβαίνουν χωρίς να βρίσκονται σε κάθε κατάστημα. Η δυνατότητα αυτή, όμως, δημιουργεί και ένα σημείο εισόδου όταν δεν συνοδεύεται από επαρκή προστασία. Μια μη εξουσιοδοτημένη παρέμβαση μπορεί να επηρεάσει ρυθμίσεις θερμοκρασίας ή λειτουργίες απόψυξης. Στην περίπτωση των τροφίμων, οι συνέπειες μπορούν να μεταφερθούν γρήγορα στα αποθέματα, προκαλώντας ανάγκη ελέγχου και απόσυρσης προϊόντων, οικονομικές απώλειες και προβλήματα στην εξυπηρέτηση. Το νέο κύμα ευρωπαϊκών περιστατικών στις αρχές Νοεμβρίου ακολούθησε τις επιθέσεις στη Γαλλία. Η ερευνητική ομάδα της Censys κατέγραψε αναφορές από Βέλγιο, Εσθονία, Ιρλανδία, Λουξεμβούργο, Ολλανδία και Σουηδία. Παρά τις ομοιότητες, δεν έχει επιβεβαιωθεί ότι όλα τα περιστατικά προέρχονται από τον ίδιο δράστη. censys.com

Ο έλεγχος περνά και στους προμηθευτές

Η προστασία των εγκαταστάσεων αφορά και τη σχέση της επιχείρησης με τους προμηθευτές και τους τεχνικούς συνεργάτες της: ποιος έχει πρόσβαση στον εξοπλισμό, πώς ταυτοποιείται και ποιος αναλαμβάνει την εγκατάσταση των ενημερώσεων. Ο Vladimir Dashchenko, Principal Security Researcher της Kaspersky, επισημαίνει ότι σε ορισμένα συνδεδεμένα συστήματα ψύξης απουσιάζουν ακόμη και βασικά μέτρα προστασίας, όπως ισχυροί κωδικοί και έλεγχος ταυτότητας δύο παραγόντων. Υπογραμμίζει την ανάγκη οι επιχειρήσεις να αξιολογούν τις πρακτικές κυβερνοασφάλειας των προμηθευτών τους, με έμφαση στη διαχείριση των ενημερώσεων και στην προστασία της απομακρυσμένης πρόσβασης. Αντίστοιχα, οι κατασκευαστές χρειάζεται να ενσωματώνουν την ασφάλεια ήδη από τον σχεδιασμό των προϊόντων.

Ξεχωριστή η προειδοποίηση για την PHP

Στο ευρύτερο πλαίσιο προστασίας των επιχειρησιακών συστημάτων παραμένει ενεργή και η προειδοποίηση της ΕΑΚ και της ομάδας EL-CSIRT για τις κρίσιμες ευπάθειες CVE-2026-109618 και CVE-2026-109619 στην PHP, με βαθμολογία σοβαρότητας 9,2 η καθεμία. Η εκμετάλλευσή τους μπορεί να επιτρέψει απομακρυσμένη εκτέλεση αυθαίρετου κώδικα χωρίς προηγούμενη ταυτοποίηση. Δεν έχει, ωστόσο, τεκμηριωθεί ότι οι συγκεκριμένες ευπάθειες αποτελούν την αιτία των επιθέσεων στα συστήματα ψύξης. Για τις εγκαταστάσεις που επηρεάζονται, η ΕΑΚ ζητά εφαρμογή των διορθώσεων ασφαλείας και έλεγχο για ενδείξεις προηγούμενης παραβίασης. Η αναβάθμιση μόνο μιας εφαρμογής δεν αρκεί εάν η υποκείμενη εγκατάσταση PHP παραμένει ευάλωτη. cyber.gov.gr

Η αναφορά των περιστατικών

Στη νέα ανακοίνωσή της, η ΕΑΚ υπενθυμίζει ότι οι φορείς που υπάγονται στον ν. 5160/2024 για τη NIS2 οφείλουν να αναφέρουν κάθε σημαντικό περιστατικό κυβερνοεπίθεσης εντός 24 ωρών, μέσω της πλατφόρμας αναφοράς συμβάντων και στη διεύθυνση [email protected]. Για τις επιχειρήσεις τροφίμων, η άμεση προτεραιότητα είναι να εντοπίσουν ποια συστήματα είναι εκτεθειμένα, να προστατεύσουν την πρόσβαση και να επιβεβαιώσουν ότι ο εξοπλισμός τους εξακολουθεί να υποστηρίζεται. Η δυνατότητα ελέγχου ενός ψυγείου από απόσταση είναι χρήσιμη υπηρεσία· χωρίς την κατάλληλη ασφάλεια, μπορεί να μετατραπεί σε κίνδυνο για τη λειτουργία ολόκληρου του καταστήματος.