Πριν από λίγες εβδομάδες, γράφοντας για την εξέλιξη του ransomware, έθετα ένα απλό ερώτημα: το ransomware εξελίσσεται, εξελισσόμαστε και εμείς;
Γράφει ο Επίτροπος Επικοινωνιών Μάριος Πιερή
Σήμερα θα ήθελα να πάω το ερώτημα ένα βήμα παραπέρα. Όσο περισσότερο παρακολουθούμε το σύγχρονο τοπίο των κυβερνοαπειλών, τόσο σαφέστερο γίνεται ότι δίνουμε δυσανάλογη σημασία στο όνομα του επιτιθέμενου και όχι αρκετή στο αποτέλεσμα που μπορεί να προκαλέσει μια επίθεση.
Qilin. Akira. Play. DragonForce. INC Ransom. The Gentlemen.
Ονόματα που πριν από λίγα χρόνια θα ήταν γνωστά κυρίως σε έναν στενό κύκλο ειδικών κυβερνοασφάλειας. Σήμερα αποτελούν μέρος ενός πολύ μεγαλύτερου, οργανωμένου και διαρκώς μεταβαλλόμενου οικοσυστήματος κυβερνοεγκλήματος.
Κάποιες ομάδες ενισχύονται. Άλλες αποδυναμώνονται ή εξαφανίζονται. Νέες εμφανίζονται. Συνεργασίες δημιουργούνται και διαλύονται. Εργαλεία, τεχνικές και υποδομές αλλάζουν χέρια.
Η ευρωπαϊκή εικόνα επιβεβαιώνει αυτή τη μεταβλητότητα. Στην έκθεση #ENISA Threat Landscape 2025, που καλύπτει την περίοδο από την 1η Ιουλίου 2024 έως τις 30 Ιουνίου 2025, καταγράφονται 82 διαφορετικές παραλλαγές ransomware σε βάρος οργανισμών κρατών μελών της Ένωσης. Η συχνότερα χρησιμοποιούμενη ήταν η Akira (11,6%), ακολουθούμενη από τη SafePay (10,1%) και την Qilin (7,5%). Καμία, δηλαδή, δεν ξεπερνά το 12%: πρόκειται για οικοσύστημα κατακερματισμένο, όχι συγκεντρωτικό.
Αξίζει εδώ να σημειωθεί κάτι που συχνά παραβλέπεται. Ο αριθμός των καταγεγραμμένων περιστατικών ransomware στην Ένωση εμφάνισε μείωση της τάξης του 11% σε σχέση με την προηγούμενη περίοδο αναφοράς. Αυτό δεν σημαίνει ότι ο κίνδυνος υποχώρησε. Σημαίνει ότι ο αριθμός των επιθέσεων είναι, από μόνος του, ο λιγότερο χρήσιμος δείκτης. Εκείνο που μετρά είναι ο αντίκτυπος και ο αντίκτυπος δεν μειώθηκε.
Αύριο, κάποια από τα ονόματα που γνωρίζουμε σήμερα μπορεί να έχουν εξαφανιστεί. Και άλλα, που σήμερα δεν γνωρίζουμε καν, μπορεί να έχουν πάρει τη θέση τους.
Αυτό ακριβώς είναι το σημείο. Η ταυτοποίηση των δραστών έχει βεβαίως τη σημασία της, για τη διεθνή συνεργασία, τη δίωξη και τα μέτρα που λαμβάνονται σε ευρωπαϊκό επίπεδο. Δεν μπορεί όμως να αποτελεί τη βάση της άμυνάς μας.
Δεν οικοδομούμε την ανθεκτικότητά μας γύρω από το ποιος μας επιτίθεται σήμερα. Την οικοδομούμε γύρω από αυτό που δεν έχουμε την πολυτέλεια να χάσουμε αύριο.
Η απειλή δεν έχει μία μόνο μορφή
Η δημόσια συζήτηση για την κυβερνοασφάλεια συχνά επικεντρώνεται στις πιο εντυπωσιακές επιθέσεις. Ένα περιστατικό ransomware. Μια μεγάλη διαρροή δεδομένων. Μια ιστοσελίδα που τίθεται εκτός λειτουργίας.
Στην πραγματικότητα, το σύγχρονο περιβάλλον είναι πολύ πιο σύνθετο. Το ransomware, οι παραβιάσεις και η κλοπή δεδομένων, το phishing, οι επιθέσεις άρνησης υπηρεσίας, η εκμετάλλευση ευπαθειών και οι επιθέσεις μέσω της εφοδιαστικής αλυσίδας έχουν διαφορετική αφετηρία και διαφορετικό στόχο. Οδηγούν όμως στο ίδιο αποτέλεσμα: διακοπή λειτουργίας, οικονομική ζημιά και απώλεια εμπιστοσύνης.
Η ENISA χαρακτηρίζει το ransomware ως την απειλή με τον μεγαλύτερο αντίκτυπο στην Ευρωπαϊκή Ένωση. Ταυτόχρονα, στις περιπτώσεις όπου εντοπίστηκε ο αρχικός τρόπος διείσδυσης, περίπου το 60% συνδεόταν με phishing, συμπεριλαμβανομένων του κακόβουλου ηλεκτρονικού ταχυδρομείου, της τηλεφωνικής εξαπάτησης και της κακόβουλης διαφήμισης, ενώ η εκμετάλλευση ευπαθειών ακολουθούσε με 21,3%.
Αυτό μας υπενθυμίζει κάτι θεμελιώδες: μια μεγάλη κρίση μπορεί να αρχίσει από κάτι πολύ μικρό.
Ένα μήνυμα ηλεκτρονικού ταχυδρομείου. Έναν κωδικό πρόσβασης. Μια ευπάθεια που δεν διορθώθηκε εγκαίρως. Έναν εξωτερικό συνεργάτη. Ένα κλικ.
Γι’ αυτό και η κυβερνοασφάλεια δεν μπορεί πλέον να αντιμετωπίζεται μόνο ως προσπάθεια να κρατήσουμε τον επιτιθέμενο έξω. Πρέπει να αφορά εξίσου το τι θα συμβεί αν τελικά καταφέρει να μπει.
Η ερώτηση που πρέπει να θέτει κάθε οργανισμός - εδώ χρειάζεται μια αλλαγή νοοτροπίας. Αντί να αναρωτιόμαστε μόνο «ποιος μπορεί να μας επιτεθεί;», οφείλουμε να θέτουμε πολύ πιο δύσκολες ερωτήσεις.
Ποιες υπηρεσίες μας πρέπει να συνεχίσουν να λειτουργούν ό,τι κι αν συμβεί; Ποια δεδομένα είναι απολύτως κρίσιμα; Ποιες είναι οι σημαντικότερες εξαρτήσεις μας από τρίτους;
Αν αύριο το πρωί ένα βασικό σύστημα δεν λειτουργεί, ποιος αποφασίζει τι γίνεται πρώτα; Γνωρίζουν οι άνθρωποί μας τι πρέπει να κάνουν;
Έχουμε αντίγραφα ασφαλείας και, ακόμη σημαντικότερο, γνωρίζουμε ότι μπορούμε πράγματι να τα επαναφέρουμε;
Έχουμε σχέδιο αντιμετώπισης κρίσης ή απλώς ένα έγγραφο που δεν δοκιμάστηκε ποτέ; Και πόσο γρήγορα μπορούμε να επιστρέψουμε σε αποδεκτό επίπεδο λειτουργίας;
Αυτές δεν είναι τεχνικές ερωτήσεις. Είναι ερωτήσεις διοίκησης.
Η κυβερνοασφάλεια δεν είναι υπόθεση μόνο του τμήματος πληροφορικής.
Για πολλά χρόνια, η κυβερνοασφάλεια αντιμετωπιζόταν κυρίως ως τεχνικό ζήτημα. Κάτι που αφορούσε το τμήμα πληροφορικής, τα τείχη προστασίας, τα προγράμματα προστασίας από κακόβουλο λογισμικό, τους κωδικούς πρόσβασης και τους ειδικούς.
Αυτή η εποχή έχει τελειώσει.
Όταν μια κυβερνοεπίθεση μπορεί να σταματήσει την παροχή μιας υπηρεσίας, να επηρεάσει εργαζομένους, πελάτες ή πολίτες, να εκθέσει δεδομένα, να προκαλέσει οικονομική ζημιά και μέσα σε λίγες ώρες να μετατραπεί σε κρίση εμπιστοσύνης, τότε παύει να είναι αποκλειστικά τεχνικό θέμα. Γίνεται ζήτημα διοίκησης, εταιρικής διακυβέρνησης και ηγεσίας.
Η τεχνική ομάδα ασφαλώς θα αντιμετωπίσει το περιστατικό. Αλλά ποιος θα αποφασίσει ποιες λειτουργίες θα αποκατασταθούν πρώτες; Ποιος θα αξιολογήσει τον επιχειρησιακό αντίκτυπο; Ποιος θα επικοινωνήσει με εργαζομένους, συνεργάτες, πελάτες ή πολίτες;
Ποιος θα διαχειριστεί τις νομικές και κανονιστικές υποχρεώσεις; Και ποιος θα αναλάβει την ευθύνη για αποφάσεις που πρέπει να ληφθούν γρήγορα και υπό πίεση;
Γι’ αυτό η κυβερνοανθεκτικότητα πρέπει να ξεκινά από την κορυφή ενός οργανισμού και να διαπερνά ολόκληρη τη λειτουργία του.
Στην Κύπρο, αυτό δεν είναι πλέον σύσταση - είναι νόμος
Η NIS2 δεν αποτελεί για την Κύπρο μελλοντική υποχρέωση. Μεταφέρθηκε στο εθνικό μας δίκαιο με τον Ν.60(Ι)/2025, ο οποίος τροποποίησε εκτενώς τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο Ν.89(Ι)/2020. Αρμόδια αρχή είναι η Αρχή Ψηφιακής Ασφάλειας.
Τι σημαίνει αυτό πρακτικά;
Πρώτον, η ευθύνη της διοίκησης δεν είναι πλέον ζήτημα καλής πρακτικής. Ο νόμος θεσπίζει ρητή υποχρέωση των οργάνων διοίκησης να εγκρίνουν τα μέτρα διαχείρισης κινδύνου, να εποπτεύουν την εφαρμογή τους και να εκπαιδεύονται τα ίδια. Σε περιπτώσεις επίμονης μη συμμόρφωσης, προβλέπεται ακόμη και προσωρινή απαγόρευση άσκησης διευθυντικών καθηκόντων.
Δεύτερον, οι προθεσμίες κοινοποίησης περιστατικών είναι σύντομες: έγκαιρη προειδοποίηση εντός έξι ωρών από τη στιγμή που η οντότητα αντιληφθεί σημαντικό περιστατικό, κοινοποίηση με αρχική αξιολόγηση εντός 72 ωρών και τελική έκθεση εντός ενός μηνός. Έξι ώρες δεν είναι χρόνος για να αρχίσει κανείς να αναζητά ποιος αποφασίζει.
Τρίτον, οι κυρώσεις άλλαξαν τάξη μεγέθους: έως 10 εκατ. ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες και έως 7 εκατ. ευρώ ή 1,4% για τις σημαντικές.
Και τέταρτον, ίσως το σημαντικότερο, το πεδίο εφαρμογής διευρύνθηκε ουσιωδώς. Τομείς που μέχρι πρότινος δεν θεωρούσαν τους εαυτούς τους «κρίσιμες υποδομές» εμπίπτουν σήμερα: ταχυδρομικές υπηρεσίες και ταχυμεταφορές, διαχείριση αποβλήτων, τρόφιμα, μεταποίηση, έρευνα, δημόσια διοίκηση, πάροχοι ψηφιακών υπηρεσιών.
Το πρώτο βήμα, επομένως, για πολλούς οργανισμούς είναι απλό αλλά κρίσιμο: να διαπιστώσουν αν εμπίπτουν.
Από τη συμμόρφωση στην πραγματική ετοιμότητα
Η NIS2 αποτελεί σημαντικό βήμα ακριβώς επειδή μεταφέρει το βάρος πέρα από τη στενή τεχνική συμμόρφωση. Η διαχείριση κινδύνου, η επιχειρησιακή συνέχεια, η αντιμετώπιση περιστατικών, η ασφάλεια της εφοδιαστικής αλυσίδας, η εκπαίδευση και η ευθύνη της διοίκησης δεν μπορούν πλέον να αντιμετωπίζονται ως μεμονωμένες υποχρεώσεις σε έναν κατάλογο ελέγχου. Πρέπει να αποτελούν στοιχεία της ίδιας κουλτούρας.
Και εδώ βρίσκεται ίσως η μεγαλύτερη πρόκληση. Η συμμόρφωση τεκμηριώνεται με έγγραφα. Η ανθεκτικότητα δοκιμάζεται μόνο όταν κάτι πάει στραβά.
Δεν πρόκειται για αντίπαλες έννοιες. Η συμμόρφωση είναι το ελάχιστο κατώφλι που θέτει ο νομοθέτης· δεν είναι η οροφή που θέτει ο κίνδυνος. Ένας οργανισμός μπορεί να διαθέτει πολιτικές, διαδικασίες και τεχνολογικά εργαλεία και εντούτοις να μην είναι πραγματικά έτοιμος.
Η ετοιμότητα απαιτεί κάτι περισσότερο: ασκήσεις, δοκιμές, σαφείς ρόλους, εκπαίδευση των ανθρώπων, γνώση των εξαρτήσεων, εναλλακτικά σενάρια και πάνω απ’ όλα, τη δυνατότητα λήψης αποφάσεων όταν δεν διαθέτουμε όλες τις πληροφορίες που θα θέλαμε.
Η ανθρώπινη διάσταση
Υπάρχει και ένας παράγοντας που καμία τεχνολογία δεν μπορεί να αντικαταστήσει: ο άνθρωπος.
Το γεγονός ότι το phishing εξακολουθεί να αποτελεί τον κυριότερο παρατηρούμενο τρόπο αρχικής πρόσβασης στις επιθέσεις που ανέλυσε η ENISA δεν πρέπει να μας οδηγήσει στο εύκολο συμπέρασμα ότι «ο άνθρωπος είναι ο αδύναμος κρίκος».
Το βλέπω διαφορετικά. Ο άνθρωπος μπορεί να γίνει η πρώτη γραμμή άμυνας, αρκεί να του δώσουμε τις γνώσεις, τα εργαλεία και την αυτοπεποίθηση να αναγνωρίσει κάτι ύποπτο και να το αναφέρει χωρίς φόβο και χωρίς καθυστέρηση.
Η κουλτούρα κυβερνοασφάλειας δεν οικοδομείται με ένα ετήσιο σεμινάριο ούτε με ένα μήνυμα που υπενθυμίζει στους εργαζομένους να αλλάξουν τον κωδικό τους. Οικοδομείται καθημερινά.
Από την κυβερνοασφάλεια στην κυβερνοανθεκτικότητα
Η μεγαλύτερη αλλαγή που χρειάζεται είναι τελικά και η ευκολότερη να διατυπωθεί. Πρέπει να σταματήσουμε να θεωρούμε επιτυχία αποκλειστικά το ότι δεν δεχθήκαμε επίθεση.
Σε ένα περιβάλλον όπου οι επιτιθέμενοι μεταβάλλονται, τα εργαλεία τους εξελίσσονται και οι ψηφιακές μας εξαρτήσεις αυξάνονται, κανένας υπεύθυνος οργανισμός δεν μπορεί να βασίζει τη στρατηγική του στην υπόθεση ότι τίποτε δεν θα συμβεί.
Η πρόληψη παραμένει απαραίτητη. Δίπλα της όμως πρέπει να υπάρχει η ικανότητα ανίχνευσης, αντίδρασης, συνέχισης των κρίσιμων λειτουργιών και γρήγορης ανάκαμψης. Αυτό είναι κυβερνοανθεκτικότητα.
Και γι’ αυτό δεν αφορά μόνο τις μεγάλες επιχειρήσεις ή το κράτος. Αφορά κάθε οργανισμό που εξαρτάται από δεδομένα, ψηφιακές υπηρεσίες, δίκτυα, προμηθευτές και ανθρώπους για να λειτουργήσει. Με άλλα λόγια, σήμερα αφορά σχεδόν όλους.
Το πραγματικό ερώτημα
Δεν γνωρίζουμε ποιο θα είναι το όνομα της επόμενης ομάδας που θα απασχολήσει τη διεθνή κοινότητα κυβερνοασφάλειας. Δεν γνωρίζουμε ποια τεχνική θα χρησιμοποιήσει. Ούτε χρειάζεται να τα γνωρίζουμε όλα αυτά για να αρχίσουμε να προετοιμαζόμαστε.
Αυτό που χρειάζεται να γνωρίζουμε είναι ποιες υπηρεσίες δεν έχουμε την πολυτέλεια να χάσουμε, ποια δεδομένα πρέπει να προστατεύσουμε, ποιοι άνθρωποι πρέπει να είναι έτοιμοι και πόσο γρήγορα μπορούμε να επανέλθουμε όταν κάτι πάει στραβά.
Η τεχνολογία θα συνεχίσει να εξελίσσεται. Οι απειλές επίσης. Το ίδιο πρέπει να κάνουμε και εμείς.
Η πραγματική κυβερνοανθεκτικότητα δεν μετριέται από το αν θα δεχθούμε ποτέ επίθεση. Μετριέται από το πόσο έτοιμοι θα είμαστε όταν αυτή έρθει.
Και ίσως, τελικά, αυτό να είναι το σημαντικότερο ερώτημα:
Όχι μόνο ποιος θα επιτεθεί. Αλλά αν εμείς θα είμαστε έτοιμοι.
Πηγές: ENISA Threat Landscape 2025 (περίοδος αναφοράς 1 Ιουλίου 2024 – 30 Ιουνίου 2025) και σχετικό δελτίο Τύπου της ENISA· Οδηγία (ΕΕ) 2022/2555 (NIS2), ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος Ν.89(Ι)/2020, όπως τροποποιήθηκε από τον Ν.60(Ι)/2025.
