Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) καλεί τους φορείς κρίσιμων υποδομών να αποσυνδέσουν άμεσα από το δημόσιο διαδίκτυο κάθε σύστημα ελέγχου εξοπλισμού. Η σύσταση προκύπτει ως επακόλουθο των δύο πρόσφατων σοβαρών περιστατικών στην Ευρώπη.
Στις 6 Οκτωβρίου, Ολλανδοί ερευνητές ανακοίνωσαν ότι εντόπισαν 8.547 εκτεθειμένα συστήματα αιολικών και φωτοβολταϊκών πάρκων σε 35 χώρες. Σε περίπου 181 από αυτά, ένας επιτιθέμενος θα μπορούσε να αποκτήσει πλήρη έλεγχο. Πέντε ημέρες αργότερα, στη Γαλλία, επιτιθέμενοι απέκτησαν τον έλεγχο συστημάτων ψύξης σε περίπου 700 σούπερ μάρκετ ανεβάζοντας τις θερμοκρασίες έως και τους 50°C, με αποτέλεσμα κατεστραμμένα τρόφιμα και σε ορισμένα καταστήματα, πυρκαγιές.
Και τα δύο περιστατικά έχουν την ίδια ρίζα (εκτεθειμένοι βιομηχανικοί ελεγκτές στο διαδίκτυο) με τη στόχευση ελεγκτών Siemens S7, για την οποία η ΕΑΚ είχε προειδοποιήσει ήδη από τον Αύγουστο. Πρόκειται για συσκευές προσβάσιμες από το διαδίκτυο, με παλιό λογισμικό και ανεπαρκή προστασία.
Στην Ελλάδα, η ΕΑΚ εντοπίζει σήμερα πάνω από 300 ανάλογα εκτεθειμένα συστήματα, κυρίως ελεγκτές εμπορικής ψύξης (Danfoss, Copeland/Dixell, Carel) και ενημερώνει απευθείας τους φορείς που τα διαχειρίζονται όπου αυτό είναι δυνατόν από τους κανονισμούς προστασίας δεδομένων.
Σε κάθε περίπτωση η ΕΑΚ συστήνει:
- Αποσύνδεση των συστημάτων ελέγχου από το δημόσιο διαδίκτυο και απομακρυσμένη πρόσβαση μόνο με ασφαλή σύνδεση (VPN) και πολυπαραγοντική αυθεντικοποίηση
- Αλλαγή των προεπιλεγμένων κωδικών και εγκατάσταση των ενημερώσεων ασφαλείας
- Αντικατάσταση του εξοπλισμού που δεν υποστηρίζεται πλέον από τον κατασκευαστή
«Ό,τι εντοπίζουμε εμείς, το εντοπίζει και ο επιτιθέμενος. Η Γαλλία έδειξε ότι ένα γνωστό, αλλά αδιόρθωτο κενό μπορεί να γίνει φυσική ζημία μέσα σε μία νύχτα», επισημαίνει ο Διοικητής της ΕΑΚ, Μιχάλης Μπλέτσας. Η επιτάχυνση που φέρνει η τεχνητή νοημοσύνη κάνει την εφαρμογή των βασικών κανόνων κυβερνοϋγιεινής απόλυτη προτεραιότητα για την ανθεκτικότητα της κοινωνίας.
Οι φορείς που υπάγονται στον ν. 5160/2024 (NIS2) οφείλουν να αναφέρουν κάθε σημαντικό περιστατικό εντός 24 ωρών στα:
https://cyber.gov.gr/kyvernoepitheseis/anafora-symvanton/
incident[@]cyber.gov.gr
