Πριν από λίγες εβδομάδες, γράφοντας για την εξέλιξη του ransomware, έθετα ένα απλό ερώτημα: το ransomware εξελίσσεται, εξελισσόμαστε και εμείς;

Σήμερα θα ήθελα να πάω το ερώτημα ένα βήμα παραπέρα. Όσο περισσότερο παρακολουθούμε το σύγχρονο τοπίο των κυβερνοαπειλών, τόσο σαφέστερο γίνεται ότι δίνουμε δυσανάλογη σημασία στο όνομα του επιτιθέμενου και όχι αρκετή στο αποτέλεσμα που μπορεί να προκαλέσει μια επίθεση.

Qilin. Akira. Play. DragonForce. INC Ransom. The Gentlemen.

Ονόματα που πριν από λίγα χρόνια θα ήταν γνωστά κυρίως σε έναν στενό κύκλο ειδικών κυβερνοασφάλειας. Σήμερα αποτελούν μέρος ενός πολύ μεγαλύτερου, οργανωμένου και διαρκώς μεταβαλλόμενου οικοσυστήματος κυβερνοεγκλήματος.

Κάποιες ομάδες ενισχύονται. Άλλες αποδυναμώνονται ή εξαφανίζονται. Νέες εμφανίζονται. Συνεργασίες δημιουργούνται και διαλύονται. Εργαλεία, τεχνικές και υποδομές αλλάζουν χέρια.

Η ευρωπαϊκή εικόνα επιβεβαιώνει αυτή τη μεταβλητότητα. Στην έκθεση #ENISA Threat Landscape 2025, που καλύπτει την περίοδο από την 1η Ιουλίου 2024 έως τις 30 Ιουνίου 2025, καταγράφονται 82 διαφορετικές παραλλαγές ransomware σε βάρος οργανισμών κρατών μελών της Ένωσης. Η συχνότερα χρησιμοποιούμενη ήταν η Akira (11,6%), ακολουθούμενη από τη SafePay (10,1%) και την Qilin (7,5%). Καμία, δηλαδή, δεν ξεπερνά το 12%: πρόκειται για οικοσύστημα κατακερματισμένο, όχι συγκεντρωτικό.

Αξίζει εδώ να σημειωθεί κάτι που συχνά παραβλέπεται. Ο αριθμός των καταγεγραμμένων περιστατικών ransomware στην Ένωση εμφάνισε μείωση της τάξης του 11% σε σχέση με την προηγούμενη περίοδο αναφοράς. Αυτό δεν σημαίνει ότι ο κίνδυνος υποχώρησε. Σημαίνει ότι ο αριθμός των επιθέσεων είναι, από μόνος του, ο λιγότερο χρήσιμος δείκτης. Εκείνο που μετρά είναι ο αντίκτυπος και ο αντίκτυπος δεν μειώθηκε.

Αύριο, κάποια από τα ονόματα που γνωρίζουμε σήμερα μπορεί να έχουν εξαφανιστεί. Και άλλα, που σήμερα δεν γνωρίζουμε καν, μπορεί να έχουν πάρει τη θέση τους.

Αυτό ακριβώς είναι το σημείο. Η ταυτοποίηση των δραστών έχει βεβαίως τη σημασία της, για τη διεθνή συνεργασία, τη δίωξη και τα μέτρα που λαμβάνονται σε ευρωπαϊκό επίπεδο. Δεν μπορεί όμως να αποτελεί τη βάση της άμυνάς μας.

Δεν οικοδομούμε την ανθεκτικότητά μας γύρω από το ποιος μας επιτίθεται σήμερα. Την οικοδομούμε γύρω από αυτό που δεν έχουμε την πολυτέλεια να χάσουμε αύριο.

Η απειλή δεν έχει μία μόνο μορφή

Η δημόσια συζήτηση για την κυβερνοασφάλεια συχνά επικεντρώνεται στις πιο εντυπωσιακές επιθέσεις. Ένα περιστατικό ransomware. Μια μεγάλη διαρροή δεδομένων. Μια ιστοσελίδα που τίθεται εκτός λειτουργίας.

Στην πραγματικότητα, το σύγχρονο περιβάλλον είναι πολύ πιο σύνθετο. Το ransomware, οι παραβιάσεις και η κλοπή δεδομένων, το phishing, οι επιθέσεις άρνησης υπηρεσίας, η εκμετάλλευση ευπαθειών και οι επιθέσεις μέσω της εφοδιαστικής αλυσίδας έχουν διαφορετική αφετηρία και διαφορετικό στόχο. Οδηγούν όμως στο ίδιο αποτέλεσμα: διακοπή λειτουργίας, οικονομική ζημιά και απώλεια εμπιστοσύνης.

Η ENISA χαρακτηρίζει το ransomware ως την απειλή με τον μεγαλύτερο αντίκτυπο στην Ευρωπαϊκή Ένωση. Ταυτόχρονα, στις περιπτώσεις όπου εντοπίστηκε ο αρχικός τρόπος διείσδυσης, περίπου το 60% συνδεόταν με phishing, συμπεριλαμβανομένων του κακόβουλου ηλεκτρονικού ταχυδρομείου, της τηλεφωνικής εξαπάτησης και της κακόβουλης διαφήμισης, ενώ η εκμετάλλευση ευπαθειών ακολουθούσε με 21,3%.

Αυτό μας υπενθυμίζει κάτι θεμελιώδες: μια μεγάλη κρίση μπορεί να αρχίσει από κάτι πολύ μικρό.

Ένα μήνυμα ηλεκτρονικού ταχυδρομείου. Έναν κωδικό πρόσβασης. Μια ευπάθεια που δεν διορθώθηκε εγκαίρως. Έναν εξωτερικό συνεργάτη. Ένα κλικ.

Γι’ αυτό και η κυβερνοασφάλεια δεν μπορεί πλέον να αντιμετωπίζεται μόνο ως προσπάθεια να κρατήσουμε τον επιτιθέμενο έξω. Πρέπει να αφορά εξίσου το τι θα συμβεί αν τελικά καταφέρει να μπει.

Η ερώτηση που πρέπει να θέτει κάθε οργανισμός - εδώ χρειάζεται μια αλλαγή νοοτροπίας. Αντί να αναρωτιόμαστε μόνο «ποιος μπορεί να μας επιτεθεί;», οφείλουμε να θέτουμε πολύ πιο δύσκολες ερωτήσεις.

Ποιες υπηρεσίες μας πρέπει να συνεχίσουν να λειτουργούν ό,τι κι αν συμβεί; Ποια δεδομένα είναι απολύτως κρίσιμα; Ποιες είναι οι σημαντικότερες εξαρτήσεις μας από τρίτους;

Αν αύριο το πρωί ένα βασικό σύστημα δεν λειτουργεί, ποιος αποφασίζει τι γίνεται πρώτα; Γνωρίζουν οι άνθρωποί μας τι πρέπει να κάνουν;

Έχουμε αντίγραφα ασφαλείας και, ακόμη σημαντικότερο, γνωρίζουμε ότι μπορούμε πράγματι να τα επαναφέρουμε;

Έχουμε σχέδιο αντιμετώπισης κρίσης ή απλώς ένα έγγραφο που δεν δοκιμάστηκε ποτέ; Και πόσο γρήγορα μπορούμε να επιστρέψουμε σε αποδεκτό επίπεδο λειτουργίας;

Αυτές δεν είναι τεχνικές ερωτήσεις. Είναι ερωτήσεις διοίκησης.

Η κυβερνοασφάλεια δεν είναι υπόθεση μόνο του τμήματος πληροφορικής.

Για πολλά χρόνια, η κυβερνοασφάλεια αντιμετωπιζόταν κυρίως ως τεχνικό ζήτημα. Κάτι που αφορούσε το τμήμα πληροφορικής, τα τείχη προστασίας, τα προγράμματα προστασίας από κακόβουλο λογισμικό, τους κωδικούς πρόσβασης και τους ειδικούς.

Αυτή η εποχή έχει τελειώσει.

Όταν μια κυβερνοεπίθεση μπορεί να σταματήσει την παροχή μιας υπηρεσίας, να επηρεάσει εργαζομένους, πελάτες ή πολίτες, να εκθέσει δεδομένα, να προκαλέσει οικονομική ζημιά και μέσα σε λίγες ώρες να μετατραπεί σε κρίση εμπιστοσύνης, τότε παύει να είναι αποκλειστικά τεχνικό θέμα. Γίνεται ζήτημα διοίκησης, εταιρικής διακυβέρνησης και ηγεσίας.

Η τεχνική ομάδα ασφαλώς θα αντιμετωπίσει το περιστατικό. Αλλά ποιος θα αποφασίσει ποιες λειτουργίες θα αποκατασταθούν πρώτες; Ποιος θα αξιολογήσει τον επιχειρησιακό αντίκτυπο; Ποιος θα επικοινωνήσει με εργαζομένους, συνεργάτες, πελάτες ή πολίτες;

Ποιος θα διαχειριστεί τις νομικές και κανονιστικές υποχρεώσεις; Και ποιος θα αναλάβει την ευθύνη για αποφάσεις που πρέπει να ληφθούν γρήγορα και υπό πίεση;

Γι’ αυτό η κυβερνοανθεκτικότητα πρέπει να ξεκινά από την κορυφή ενός οργανισμού και να διαπερνά ολόκληρη τη λειτουργία του.

Στην Κύπρο, αυτό δεν είναι πλέον σύσταση - είναι νόμος

Η NIS2 δεν αποτελεί για την Κύπρο μελλοντική υποχρέωση. Μεταφέρθηκε στο εθνικό μας δίκαιο με τον Ν.60(Ι)/2025, ο οποίος τροποποίησε εκτενώς τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο Ν.89(Ι)/2020. Αρμόδια αρχή είναι η Αρχή Ψηφιακής Ασφάλειας.

Τι σημαίνει αυτό πρακτικά;

Πρώτον, η ευθύνη της διοίκησης δεν είναι πλέον ζήτημα καλής πρακτικής. Ο νόμος θεσπίζει ρητή υποχρέωση των οργάνων διοίκησης να εγκρίνουν τα μέτρα διαχείρισης κινδύνου, να εποπτεύουν την εφαρμογή τους και να εκπαιδεύονται τα ίδια. Σε περιπτώσεις επίμονης μη συμμόρφωσης, προβλέπεται ακόμη και προσωρινή απαγόρευση άσκησης διευθυντικών καθηκόντων.