Η ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑ ΦΤΑΝΕΙ ΜΕΧΡΙ ΤΟ ΡΑΦΙ!

Γράφει ο Παρατηρητής

Η προειδοποίηση για περισσότερα από 300 εκτεθειμένα συστήματα στην Ελλάδα απαιτεί συνέχεια: σαφείς ευθύνες, ασφαλή πρόσβαση και έλεγχο ότι η προστασία εφαρμόστηκε. 

Η είδηση για τη ρύθμιση ψυγείων στους 150 βαθμούς Κελσίου στην Κηφισιά χρειάζεται προσεκτική ανάγνωση. Ο επιχειρηματίας Γιώργος Μπούμπας, κατήγγειλε ότι άγνωστοι όρισαν αυτή τη θερμοκρασία στα ψυγεία του καταστήματός του τα ξημερώματα της 2ας Νοεμβρίου 2026. Στη συνέντευξή του στο Powergame ανέφερε ότι η θερμοκρασία στον θάλαμο είχε φτάσει στους 17 βαθμούς Κελσίου. Η μεταφορά των προϊόντων σε άλλο κατάστημα απέτρεψε, όπως είπε, οικονομική ζημιά. Η περιγραφή παραμένει μαρτυρία του ιδιοκτήτη. Δεν ισοδυναμεί με δημοσιευμένη τεχνική πραγματογνωμοσύνη ούτε με ανεξάρτητο έλεγχο της καταλληλότητας των τροφίμων. 

Η καταγγελία δείχνει τι διακυβεύεται όταν μία επιχείρηση χάνει τον έλεγχο του συστήματος ψύξης. Όποιος αποκτήσει πρόσβαση στις σχετικές λειτουργίες μπορεί να αλλάξει τις συνθήκες συντήρησης των τροφίμων. Μπορεί ακόμη να επηρεάσει τις ειδοποιήσεις που θα κινητοποιούσαν τους υπευθύνους. Μία τέτοια παρέμβαση έχει υλικό κόστος, με αποσύρσεις προϊόντων και διακοπές λειτουργίας, ενώ το προσωπικό προσπαθεί να περισώσει αποθέματα. Η ασφάλεια του λογισμικού συνδέεται άμεσα με την ασφάλεια του προϊόντος στο ράφι. 

Τον Οκτώβριο, επιθέσεις επηρέασαν την ψύξη εκατοντάδων καταστημάτων στη Γαλλία. Τη νύχτα της 1ης προς τη 2α Νοεμβρίου ακολούθησαν περιστατικά σε άλλες χώρες, μεταξύ τους η Σουηδία, το Βέλγιο και η Ιρλανδία. Το Reuters κατέγραψε εταιρικές επιβεβαιώσεις των περιστατικών και αποσύρσεις τροφίμων. Οι ομοιότητες προκαλούν ανησυχία, όμως η σύνδεση των επιθέσεων μεταξύ τους δεν έχει αποδειχθεί δημόσια. Διαφορετικές εγκαταστάσεις μπορεί να έχουν παρόμοιες αδυναμίες, χωρίς να έχουν παραβιαστεί από τον ίδιο δράστη ή με τον ίδιο τρόπο. 

Η προειδοποίηση και η ευθύνη 

Στην Ελλάδα είχε προηγηθεί συγκεκριμένη προειδοποίηση. Στις 14 Οκτωβρίου, η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) ανακοίνωσε ότι είχε εντοπίσει περισσότερα από 300 εκτεθειμένα συστήματα, κυρίως ελεγκτές εμπορικής ψύξης. Ανέφερε επίσης ότι ενημέρωνε απευθείας τους διαχειριστές, όπου το επέτρεπαν οι κανονισμοί προστασίας δεδομένων. Ο αριθμός αποτυπώνει την έκθεση εκείνης της ημερομηνίας. Δεν σημαίνει 300 επιθέσεις ούτε αποδεικνύει ότι όλα τα συστήματα παραμένουν εκτεθειμένα. Χρειάζεται πλέον να γίνει σαφές ποιος ειδοποιήθηκε, τι άλλαξε και ποιος έλεγξε το αποτέλεσμα. 

Η απομακρυσμένη διαχείριση είναι χρήσιμη. Επιτρέπει στον τεχνικό να εντοπίζει βλάβες, να παρακολουθεί θερμοκρασίες και να παρεμβαίνει χωρίς να μετακινείται σε κάθε κατάστημα. Το πρόβλημα αρχίζει όταν αυτή η δυνατότητα συνοδεύεται από ανεπαρκώς προστατευμένη πρόσβαση. Η ερευνητική ομάδα Vedere Labs της Forescout περιγράφει πώς μπορεί να μοιράζονται οι αρμοδιότητες. Ο εξοπλισμός μπορεί να ανήκει στην επιχείρηση και η συντήρηση να γίνεται από εξωτερικό συνεργάτη. Τη δικτυακή σύνδεση μπορεί να ελέγχει διαφορετικό τμήμα. Χρειάζεται σαφής κατανομή ευθύνης, ώστε κάποιος να εποπτεύει ολόκληρη τη διαδρομή πρόσβασης. 

Σημασία έχει και η διάρκεια υποστήριξης του εξοπλισμού. Η Copeland αναγνώρισε τον Οκτώβριο ευπάθεια σε παλαιότερους ελεγκτές XWEB EVO. Ανακοίνωσε επίσης ότι η σειρά δεν λαμβάνει πλέον διορθώσεις ασφαλείας. Συνέστησε μετάβαση σε υποστηριζόμενο εξοπλισμό και προστασία της πρόσβασης ακόμη και στα νεότερα μοντέλα. Ένας ελεγκτής μπορεί να εξακολουθεί να λειτουργεί, ενώ το λογισμικό του έχει πάψει να συντηρείται. Η αντικατάστασή του κοστίζει, απαιτεί χρόνο και μπορεί να προκαλέσει διακοπή λειτουργίας. Αυτά πρέπει να προβλέπονται ήδη κατά την αγορά και την εγκατάσταση. 

Ο κατασκευαστής οφείλει να ξεκαθαρίζει για πόσο διάστημα υποστηρίζει τον εξοπλισμό. Ο εγκαταστάτης πρέπει να εξηγεί πώς λειτουργεί η απομακρυσμένη πρόσβαση και να την προστατεύει. Η επιχείρηση χρειάζεται να γνωρίζει ποιος μπορεί να αλλάζει τις ρυθμίσεις και ποιος αναλαμβάνει τις ενημερώσεις. Αυτές είναι απαιτήσεις ορθής διαχείρισης. Δεν αποδίδουν υπαιτιότητα στη συγκεκριμένη υπόθεση, για την οποία χρειάζονται συμβάσεις, τεχνικά αρχεία και έρευνα. Χωρίς αυτά, το ερώτημα της λογοδοσίας παραμένει ανοιχτό. 

Η ασφάλεια των τροφίμων στην πράξη 

Η προστασία πρέπει να φτάνει και στις μικρότερες επιχειρήσεις. Η οδηγία NIS2 και ο ελληνικός νόμος 5160 του 2024, που την ενσωματώνει, έχουν συγκεκριμένο πεδίο εφαρμογής, κριτήρια μεγέθους και εξαιρέσεις. Ο οδηγός της ΕΑΚ περιλαμβάνει στον τομέα των τροφίμων τη χονδρική διανομή, καθώς και τη βιομηχανική παραγωγή και μεταποίηση. Η πώληση τροφίμων από μόνη της δεν αρκεί για να θεωρηθεί ότι μία επιχείρηση υπάγεται στις διατάξεις αυτές. Η ανάγκη προστασίας της, όμως, παραμένει. Ένα κρεοπωλείο χρειάζεται πρακτική καθοδήγηση και αξιόπιστη τεχνική υποστήριξη, ανάλογες με τις δυνατότητές του. Έτσι μπορεί να διατηρεί ασφαλή τα προϊόντα του και να συνεχίζει τη λειτουργία του. 

Οι επαγγελματικοί φορείς μπορούν να προτείνουν απλές, κοινές προδιαγραφές για τις συμβάσεις συντήρησης. Ο μικρός επιχειρηματίας πρέπει να μπορεί να ζητά συγκεκριμένες δεσμεύσεις για τον έλεγχο της πρόσβασης και τη δοκιμή των ειδοποιήσεων. Οι συμφωνίες αυτές χρειάζεται να καλύπτουν και τον χρόνο ανταπόκρισης σε ένα περιστατικό. Οι αρμόδιες αρχές χρειάζεται να βοηθούν τις επιχειρήσεις να μετατρέπουν τις τεχνικές προειδοποιήσεις σε συγκεκριμένες ενέργειες. Ο παραλήπτης μίας σύστασης πρέπει να καταλαβαίνει τι να κάνει, ποιον να καλέσει και πώς να ελέγξει ότι η εργασία ολοκληρώθηκε. 

Χρήσιμο παράδειγμα δίνει η δανική Αρχή Τροφίμων (Danish Veterinary and Food Authority), με οδηγίες για ελεγκτές ψύξης Danfoss συνδεδεμένους στο διαδίκτυο. Συστήνει ανεξάρτητους αισθητήρες και συναγερμούς, ώστε η πιθανή παραποίηση των ενδείξεων ενός ελεγκτή να μη συγκαλύπτει το πρόβλημα. Προτείνει σαφή συμφωνία με τον προμηθευτή για τις ενημερώσεις και την πρόσβαση, καθώς και σχέδιο αντίδρασης σε περίπτωση απώλειας ψύξης. Η προστατευμένη σύνδεση, οι ατομικοί λογαριασμοί και οι ενημερώσεις έχουν αξία όταν συνοδεύονται από ελέγχους στην πράξη. Κάποιος πρέπει να λαμβάνει την ειδοποίηση, να καταλαβαίνει τι σημαίνει και να μπορεί να ενεργήσει εγκαίρως. 

Η εικόνα γενικευμένης ανετοιμότητας, πάντως, δεν καλύπτει όλες τις περιπτώσεις. Ορισμένοι μηχανισμοί αντίδρασης λειτούργησαν. Η Musgrave ανακοίνωσε ότι αποκατέστησε το πρόβλημα στα 13 ιρλανδικά καταστήματα SuperValu που επηρεάστηκαν και ότι αναπλήρωνε τα προϊόντα. Η Censys κατέγραψε επίσης μεγάλη μείωση των δημόσια προσβάσιμων διεπαφών StoreView στη Γαλλία μετά τις πρώτες επιθέσεις. Τα στοιχεία δείχνουν ότι η έκθεση μπορεί να περιοριστεί και η λειτουργία να αποκατασταθεί. Δεν αποδεικνύουν ότι όλα τα συστήματα είναι ασφαλή. Οι τεκμηριωμένες απώλειες καταστημάτων δεν αρκούν για να μιλάμε για ευρωπαϊκή κρίση εφοδιασμού. 

Τα όρια της υβριδικής ερμηνείας 

Οι επιθέσεις στην ψυκτική αλυσίδα θέτουν και ένα ευρύτερο ζήτημα ασφάλειας. Οι συνέπειες μίας σοβαρής διατάραξης μπορεί να ξεπεράσουν τις απώλειες προϊόντων και τη διακοπή λειτουργίας μίας επιχείρησης. Μπορεί να κλονιστεί η εμπιστοσύνη των πολιτών στην ασφάλεια των τροφίμων και στην ικανότητα των αρμόδιων αρχών να τους προστατεύσουν. Αυτή η πιθανή συνέπεια αξίζει να εξεταστεί στον σχεδιασμό της πρόληψης. 

Μία συντονισμένη εκστρατεία υπονόμευσης θα μπορούσε να χρησιμοποιήσει τέτοιες επιθέσεις ως μέσο υβριδικής αποσταθεροποίησης. Η τοπική ζημιά θα μπορούσε τότε να αποκτήσει ευρύτερη πολιτική και κοινωνική σημασία. Εάν τεκμηριωνόταν επιπλέον σκοπός σοβαρού εκφοβισμού του πληθυσμού ή εξαναγκασμού των αρχών, θα έπρεπε να εξεταστεί και πιθανή τρομοκρατική διάσταση. Για έναν τέτοιο χαρακτηρισμό πρέπει να συντρέχουν και οι υπόλοιπες προϋποθέσεις του νόμου. 

Για τα συγκεκριμένα περιστατικά, τα στοιχεία που εξετάστηκαν δεν τεκμηριώνουν τέτοια συμπεράσματα. Οι ομοιότητες μεταξύ επιθέσεων δεν αποδεικνύουν κοινό σχεδιασμό. Ούτε η πρόκληση υλικής ζημιάς αποκαλύπτει από μόνη της το κίνητρο του δράστη. Η απόδοση τρομοκρατικού σκοπού ή κρατικής καθοδήγησης απαιτεί χωριστή τεκμηρίωση. 

Το ενδεχόμενο έχει, ωστόσο, πρακτική σημασία για την ετοιμότητα. Χρειάζονται συνεργασία των αρχών κυβερνοασφάλειας και ασφάλειας τροφίμων, σαφείς διαδικασίες αντίδρασης και έγκαιρη, τεκμηριωμένη ενημέρωση των πολιτών. Η προστασία της ψυκτικής αλυσίδας πρέπει να καλύπτει και το ενδεχόμενο σκόπιμης διατάραξης, ακόμη και όταν τα κίνητρα παραμένουν άγνωστα. Η ασφάλεια των τροφίμων και η εμπιστοσύνη του πολίτη χρειάζονται προστασία από την πρώτη στιγμή. 

Η προειδοποίηση της ΕΑΚ δίνει ένα συγκεκριμένο σημείο εκκίνησης. Κάθε εκτεθειμένη εγκατάσταση χρειάζεται υπεύθυνο, προθεσμία αποκατάστασης και έλεγχο ότι η προστασία λειτουργεί. Οι επιχειρήσεις πρέπει να γνωρίζουν ποιος έχει πρόσβαση στον εξοπλισμό τους και πώς θα κρατήσουν ασφαλή τα τρόφιμα αν παραβιαστεί το σύστημα. Οι πολίτες δικαιούνται μία συνολική αποτίμηση της προόδου, χωρίς να αποκαλύπτονται ευαίσθητα τεχνικά στοιχεία. Η επόμενη κακόβουλη εντολή πρέπει να συναντήσει εμπόδιο πριν τα τρόφιμα καταλήξουν στα σκουπίδια.