Ήταν 7.30 το πρωί της Πέμπτης 22 Ιουλίου 2021 όταν ο αναπληρωτής διευθυντής πληροφορικής του δήμου Θεσσαλονίκης, του δεύτερου μεγαλύτερου δήμου της χώρας, άνοιξε τον ηλεκτρονικό του υπολογιστή και διαπίστωσε δυσλειτουργία του συστήματος. Χωρίς να γνωρίζει ότι το κεντρικό σύστημα έχει δεχτεί κυβερνοεπίθεση, ενημερώνει την εταιρεία που έχει αναλάβει την τεχνική υποστήριξη του δικτύου. Λίγη ώρα αργότερα, διαπιστώθηκε πως πρόκειται για ιό που έχει «κλειδώσει» αρχεία και δεδομένα και έχει πλήξει το βασικό λογιστικό πρόγραμμα του δήμου, με την ομάδα που έκανε την κυβερνοεπίθεση να φέρεται πως ζητά εκατομμύρια ευρώ ως ψηφιακά λύτρα (bitcoins), ώστε να «ξεκλειδώσει» τα χακαρισμένα αρχεία. Ενημερώθηκε ο δήμαρχος Κωνσταντίνος Ζέρβας και ο αρμόδιος αντιδήμαρχος Γιώργος Αβαρλής, δόθηκε η εντολή να μην ακουμπήσει κανείς τον ηλεκτρονικό του υπολογιστή -ούτε καλά καλά για να τερματίσει κάποια λειτουργία- περίπου 1.500 υπολογιστές «μολύνθηκαν», ενώ μέχρι σήμερα αναζητούν την «τρύπα» στην ασφάλεια που βρήκαν οι χάκερς και κατάφεραν να επιτεθούν. Παράλληλα, ενημερώθηκε το υπουργείο Ψηφιακής Διακυβέρνησης και η διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος της Ελληνικής Αστυνομίας, ενώ υποβλήθηκε και μήνυση κατ’ αγνώστων. Τις τελευταίες περίπου 10 ημέρες η διοίκηση εκτός από τον κορονοϊό έχει να αντιμετωπίσει και τον… ψηφιακό ιό, που μεσούσης της πανδημίας και δεδομένης της τηλεργασίας και της εξυπηρέτησης χιλιάδων πολιτών καθημερινά από απόσταση περιπλέκει την κατάσταση. Ο δήμος Θεσσαλονίκης είναι ο πρώτος μεγάλος δήμος στα χρονικά της χώρας που επλήγη από κυβερνοεπίθεση, την ώρα που οι προσπάθειες «χακαρίσματος» και οι ψηφιακές επιθέσεις είναι χιλιάδες παγκοσμίως και τουλάχιστον εκατοντάδες καθημερινά σε φορείς του ελληνικού δημοσίου και ιδιωτικές επιχειρήσεις. Δεν είναι μάλιστα λίγες οι περιπτώσεις που τα λύτρα καταβλήθηκαν κανονικά, έπειτα από σχετικές διαπραγματεύσεις ειδικών, σε μια προσπάθεια οι επιχειρηματίες να πάρουν τις επιχειρήσεις τους πίσω.
«Θεσσαλονίκη, την έχετε πατήσει» ήταν το μήνυμα (σε μετάφραση από τα αγγλικά) που εμφανιζόταν στις οθόνες των ηλεκτρονικών υπολογιστών των υπαλλήλων. Στο ίδιο μήνυμα δινόταν ένας υπερσύνδεσμος και ένας κωδικός, τον οποίο θα έπρεπε να πληκτρολογήσουν στην σελίδα που θα άνοιγε εάν κάποιος έκανε κλικ πάνω στον υπερσύνδεσμο, προκειμένου να γίνει γνωστό εάν και τι ποσό ζητούν ως αντάλλαγμα-λύτρα οι ψηφιακοί «απαγωγείς» των αρχείων του δήμου προκειμένου να τα ξεκλειδώσουν. Μέχρι σήμερα, όπως υποστηρίζει στη «ΜτΚ» o αντιδήμαρχος Ηλεκτρονικής Διακυβέρνησης και Μεταναστευτικής Πολιτικής, Γιώργος Αβαρλής, κανείς δεν γνωρίζει το ακριβές ποσό των λύτρων, καθώς δόθηκε εντολή να μην «πατήσει κανείς» τον σύνδεσμο.
Την ίδια ημέρα της επίθεσης, στο δημαρχείο Θεσσαλονίκης κατέφτασε ομάδα αποτελούμενη από έξι ειδικούς (πληροφορικάριους και τεχνικούς) η οποία μέχρι σήμερα παραμένει στο χώρο, αναλύει και προσπαθεί να εντοπίσει τα αρχεία που «χακαρίστηκαν» και «κλειδώθηκαν». Σύμφωνα με τις πρώτες εκτιμήσεις ο ιός, τύπου ransomware, μόλυνε τον «κορμό» του πληροφοριακού συστήματος του δήμου πιθανότατα επειδή κάποιος υπάλληλος άνοιξε ηλεκτρονικό μήνυμα με κακόβουλο περιεχόμενο. Ο κ. Αβαρλής απορρίπτει το ενδεχόμενο να προκλήθηκε από υπάλληλο που εργάζεται από απόσταση, κι αυτό γιατί όλοι όσοι εργάζονται από απόσταση συνδέονται στο σύστημα μέσω VPN που θεωρείται από τα πιο ασφαλή περιβάλλοντα εργασίας απομακρυσμένης εργασίας. Η μεγαλύτερη ζημιά από την εισβολή του ιού έγινε στο Σύστημα Ηλεκτρονικής Διακίνησης Εγγράφων, ωστόσο, όπως λέει ο κ. Αβαρλής το καθησυχαστικό είναι ότι εκεί δεν διακινούνται προσωπικά δεδομένα. «Δεν έχουν υποκλαπεί προσωπικά δεδομένα. Αυτό είναι ξεκάθαρο. Κλειδώθηκαν αρχεία και υπολογιστές. Από τις επόμενες ώρες της κυβερνοεπίθεσης δημιουργήθηκε νέος δίαυλος στο οποίο έπεσαν όλα τα αρχεία που είχαμε back up και οι νέοι υπολογιστές, όπως επίσης και κάποια laptops. Μολύνθηκαν 1.500 υπολογιστές, οι οποίοι πρέπει να καθαριστούν πριν συνδεθούν στο δίκτυο. Από την περασμένη Δευτέρα ορισμένες υπηρεσίες όπως το ληξιαρχείο, το δημοτολόγιο, η ιστοσελίδα, το mail επαναλειτουργούν κανονικά» αναφέρει ο κ. Αβαρλής. «Σύσταση της εταιρείας που έχει αναλάβει την υποστήριξη είναι να μην λειτουργήσουμε με τους παλιούς υπολογιστές. Δεν χάθηκαν στοιχεία όπως είναι οι οφειλές, η μισθοδοσία κ.ά.» υποστηρίζει ο κ. Αβαρλής και αναφέρει ότι δόθηκε εντολή σε όλους τους υπαλλήλους με ενημέρωση να μην κάνουν χρήση του παλιού δικτύου και του εξοπλισμού μέχρι να δοθεί επίσημα «πράσινο φως». Από την πλευρά του, ο Κωνσταντίνος Ζέρβας ενημέρωσε τηλεφωνικά, από την Αθήνα όπου βρισκόταν το περασμένο Σάββατο, τους επικεφαλής των παρατάξεων του δημοτικού συμβουλίου για την κυβερνοεπίθεση.
Ποιος είναι ο… ιός;
Το κακόβουλο λογισμικό που χρησιμοποιήθηκε κατά την κυβερνοεπίθεση είναι το ransomware, το οποίο απειλεί να δημοσιοποιήσει τα προσωπικά δεδομένα του θύματος ή να διακόψει την πρόσβασή του σε αυτά, μέχρι να δοθούν λύτρα.
Η περίπτωση του ΑΠΘ
Το 2017, το Αριστοτέλειο Πανεπιστήμιο Θεσσαλονίκης είχε γίνει στόχος παγκόσμιας κυβερνοεπίθεσης που πραγματοποιήθηκε ταυτόχρονα σε 100 χώρες και επηρέασε περίπου 100.000 συστήματα και δίκτυα, είτε δημόσια, είτε οικιακά. Η διεθνής εγκληματική οργάνωση είχε βάλει στο στόχαστρό της χιλιάδες υπολογιστές, «κλείδωνε» αρχεία, υπέκλεπτε στοιχεία και ζητούσε λύτρα. Ο ιός μάλιστα που «χτύπησε» υπολογιστές του ΑΠΘ είναι ο ίδιος με εκείνον που χρησιμοποιήθηκε για την πρόσφατη επίθεση στον κεντρικό δήμο. Όπως αναφέρει στη «ΜτΚ» ο τότε αντιπρύτανης Θεόδωρος Λαόπουλος «πρόκειται βέβαια για διαφορετικές περιπτώσεις, καθώς σε εμάς δεν επλήγη η κεντρική υπολογιστική υποδομή όπως στον δήμο Θεσσαλονίκης. Μας ενημέρωσαν μέλη της ακαδημαϊκής κοινότητας για την ύπαρξη αυτού του κακόβουλου λογισμικού στους υπολογιστές τους. Απευθείας ενημερώθηκαν οι αρμόδιες αρχές και οι υπηρεσίες του ιδρύματος αντιμετώπισαν το πρόβλημα» λέει ο κ. Λαόπουλος. «Προλάβαμε εγκαίρως την επίθεση» σχολιάζει. «Δεν μας είχαν ζητήσει ψηφιακά λύτρα. Το πανεπιστήμιο άλλωστε δεν θα μπορούσε να δώσει» θυμάται ο τότε πρύτανης, Περικλής Μήτκας.
Η Ελλάδα στις πρώτες θέσεις
Σύμφωνα με στοιχεία της Kaspersky, η Ελλάδα υπήρξε μία από τις χώρες της ΕΕ όπου οι χρήστες του Διαδικτύου εκτέθηκαν περισσότερο σε επιθέσεις κακόβουλου λογισμικού από τον Μάιο του 2020 έως και τον Απρίλιο του 2021. Οι δήμοι σε όλο τον κόσμο έχουν μπει στο στόχαστρο ψηφιακών εγκληματικών ομάδων κατά καιρούς, όπως επίσης και άλλες κρατικές υπηρεσίες. Το 2017, στην ίδια κυβερνοεπίθεση με του ΑΠΘ, το Εθνικό Σύστημα Υγείας της Μεγάλης Βρετανίας δέχτηκε επίθεση με αποτέλεσμα να υπάρξει το απόλυτο αλαλούμ στις δομές υγείας της χώρας, ενώ περασμένο Μάιο αντίστοιχη κυβερνοεπίθεση με απαίτηση λύτρων δέχτηκε και το Σύστημα Υγείας της Ιρλανδίας.
Σε ό,τι αφορά τα ελληνικά δεδομένα κάθε φορέας είναι υποχρεωμένος και υπεύθυνος για την ασφάλεια και την θωράκιση των πληροφοριακών συστημάτων τους. Σε επίπεδο Πολιτείας και υπουργείου Ψηφιακής Διακυβέρνησης έχει υλοποιηθεί η «Εθνική Στρατηγική Κυβερνοασφάλειας 2020-2025». Οι πέντε πυλώνες αναλύονται σύμφωνα με τις ευρωπαϊκές και διεθνείς καλές πρακτικές: σε λειτουργικό σύστημα διακυβέρνησης, στη θωράκιση κρίσιμων υποδομών, ασφάλεια και νέες τεχνολογίες, στη βελτιστοποίηση διαχείρισης περιστατικών, καταπολέμηση του κυβερνοεγκλήματος και προστασία της ιδιωτικότητας, στο σύγχρονο επενδυτικό περιβάλλον με έμφαση στην προαγωγή της Έρευνας και Ανάπτυξης και τέλος, στην ανάπτυξη ικανοτήτων, στην προαγωγή της ενημέρωσης και ευαισθητοποίησης.
Πληρώνουν για να πάρουν πίσω τις… επιχειρήσεις τους
Σύμφωνα με τον πρώην επικεφαλής της Δίωξης Ηλεκτρονικού Εγκλήματος και ιδρυτής του CSI institute στην Ελλάδα, Μανώλη Σφακιανάκη η επίθεση που δέχτηκε ο δήμος Θεσσαλονίκης οφείλεται στο γεγονός ότι ο δήμος δεν είχε προχωρήσει στην θωράκιση του συστήματος. «Εάν δεν επενδύσεις, όπως οφείλεις, στο λεγόμενο cyber security τότε πιθανότατα θα πάθει ξανά ζημιά διότι οι πόρτες θα συνεχίσουν να είναι ανοιχτές» λέει. «Σε επιθέσεις τέτοιου τύπου οι δράστες μπαίνουν στο σύστημα και κλειδώνουν αρχεία ζητώντας λύτρα για να τα ξεκλειδώσουν. Κανείς δεν μπορεί να σπάσει αυτή την κρυπτογράφηση. Τα αρχεία και οι συσκευές είναι άχρηστα. Καθημερινά στην Ελλάδα γίνονται κυβερνοεπιθέσεις. Η χώρα μας βρίσκεται στο στόχαστρο διεθνών συμμοριών χάκερ. Όταν μια εταιρεία ή ένας φορέας δεχτεί μια τέτοια επίθεση έχει δύο επιλογές: είτε να αντικατασταθούν τα αρχεία που έχουν χτυπηθεί κι έχουν κλειδώσει, είτε ο επικεφαλής να διαπραγματευτεί τα λύτρα που του ζητούν για να πάρει πίσω το κλειδί και να ξεκλειδώσουν τα αρχεία. Η τακτική διαπραγματεύσεων γίνονται από έμπειρους στο χώρο διαπραγματευτές. Όπως συμβαίνει στις απαγωγές προσώπων» εξηγεί ο κ. Σφακιανάκης. Λέει μάλιστα, πως μεγάλες αλυσίδες παγκοσμίως έχουν δεχτεί κυβερνοεπιθέσεις, έχουν «γονατίσει» κι αναγκάστηκαν να πληρώσουν λύτρα έπειτα από διαπραγμάτευση πολλών εκατομμυρίων. Ο κ. Σφακιανάκης στο παρελθόν διαπραγματεύτηκε με χάκερς που ζητούσαν από εταιρία 1.260.000 ευρώ και εντέλει, ξεκλείδωσαν τα αρχεία της αφού πρώτα έλαβαν περί τις 64.000 ευρώ, ενώ η εταιρεία ήταν ασφαλισμένη. «Οι σοβαρές εταιρίες ασφαλίζονται για cyber insurance» αναφέρει και συμπληρώνει πως ότι υπάρχουν και ειδικά ασφαλιστικά συμβόλαια τα οποία καλύπτουν τις δαπάνες σε περίπτωση που τελικά θα απαιτηθεί η καταβολή λύτρων. «Στη χώρα μας το τελευταίο εξάμηνο οι επιθέσεις είναι στο ‘κόκκινο’. Επιχειρηματίες αναγκάζονται να καταβάλλουν υψηλά ποσά για να πάρουν πίσω τις εταιρίες τους» καταλήγει ο πρώην επικεφαλής της Δίωξης Ηλεκτρονικού Εγκλήματος