Τι γνωρίζουμε για τη διαρροή δεδομένων και την απάντηση των αρχών

Σύνοψη

• Η Ευρωπαϊκή Επιτροπή επιβεβαίωσε επίσημα την εκδήλωση στοχευμένης κυβερνοεπίθεσης στα εσωτερικά της δίκτυα πληροφορικής.
• Η επίσημη ανακοίνωση ακολούθησε τους ισχυρισμούς ομάδας κυβερνοεγκληματιών για επιτυχή παραβίαση και υποκλοπή ευαίσθητων δεδομένων.
• Η Ομάδα Αντιμετώπισης Έκτακτων Αναγκών στην Πληροφορική για τα θεσμικά όργανα της ΕΕ (CERT-EU) έχει αναλάβει τη διερεύνηση και τον περιορισμό της απειλής.
• Εξετάζεται ενεργά το ενδεχόμενο οριζόντιας μετακίνησης (lateral movement) στα δίκτυα των κρατών-μελών, με τις ελληνικές αρχές (Εθνική Αρχή Κυβερνοασφάλειας) να βρίσκονται σε αυξημένη ετοιμότητα.
• Δεν έχουν δημοσιοποιηθεί ακριβή στοιχεία για τον όγκο ή τη φύση των δεδομένων που ενδέχεται να έχουν διαρρεύσει, ενώ τα κρίσιμα συστήματα επικοινωνίας παραμένουν λειτουργικά.

Η ψηφιακή ασφάλεια των κεντρικών ευρωπαϊκών θεσμών τίθεται εκ νέου υπό αυστηρό έλεγχο, καθώς η Ευρωπαϊκή Επιτροπή προχώρησε στην επίσημη επιβεβαίωση μιας σημαντικής κυβερνοεπίθεσης που έπληξε τις υποδομές της. Το περιστατικό, το οποίο δημοσιοποιήθηκε αρχικά μέσω ισχυρισμών των ίδιων των επιτιθέμενων για υποκλοπή δεδομένων, ενεργοποίησε άμεσα τα πρωτόκολλα διαχείρισης κρίσεων των Βρυξελλών.

Η επιβεβαίωση της επίθεσης έρχεται να αναδείξει τις διαρκείς προκλήσεις ασφαλείας που αντιμετωπίζουν οι διακρατικοί οργανισμοί. Οι ψηφιακές υποδομές της Κομισιόν διαχειρίζονται καθημερινά τεράστιο όγκο διαβαθμισμένων πληροφοριών, οικονομικών δεδομένων και επικοινωνιών μεταξύ των κρατών-μελών, καθιστώντας τες πρωταρχικό στόχο για ομάδες APT (Advanced Persistent Threats) και ransomware συμμορίες.

Ποια είναι τα βασικά δεδομένα της κυβερνοεπίθεσης στην Ευρωπαϊκή Επιτροπή;

Η Ευρωπαϊκή Επιτροπή δέχθηκε στοχευμένη κυβερνοεπίθεση στα πληροφοριακά της συστήματα, γεγονός που οδήγησε σε ενδεχόμενη παραβίαση δεδομένων. Η Ομάδα Αντιμετώπισης Έκτακτων Αναγκών (CERT-EU) έχει απομονώσει τα επηρεαζόμενα υποδίκτυα και διεξάγει εγκληματολογική ανάλυση (forensics) για να χαρτογραφήσει το εύρος της εισβολής, ενώ τα βασικά συστήματα συνεχίζουν να λειτουργούν κανονικά.

• Χρόνος Αντίδρασης: Η επίσημη επιβεβαίωση εκδόθηκε λίγες ώρες μετά τη δημοσιοποίηση των ισχυρισμών από τους hackers στο dark web.
• Εμπλεκόμενοι Φορείς Ασφαλείας: Το CERT-EU και ο ENISA (Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια) συνεργάζονται για την αξιολόγηση της κατάστασης.
• Κατάσταση Συστημάτων: Δεν έχει αναφερθεί διακοπή κρίσιμων λειτουργιών, με την επίθεση να εστιάζεται πρωτίστως στην εξόρυξη δεδομένων.
• Προέλευση Απειλής: Μέχρι στιγμής, οι αρμόδιες αρχές δεν έχουν προχωρήσει σε επίσημη απόδοση ευθυνών σε συγκεκριμένη ομάδα κρατικών ή μη-κρατικών δρώντων.

Η μεθοδολογία και ο στόχος των εισβολέων

Η τεκμηρίωση παρόμοιων επιθέσεων σε κυβερνητικούς φορείς υποδεικνύει την αξιοποίηση σύνθετων μεθόδων. Οι πρώτες αναλύσεις ασφαλείας εστιάζουν σε δύο πιθανά διανύσματα επίθεσης: τη χρήση zero-day ευπαθειών σε λογισμικό τρίτων (supply chain attack) ή τις ιδιαίτερα εξελιγμένες εκστρατείες spear-phishing που στοχεύουν αξιωματούχους με υψηλά δικαιώματα πρόσβασης.

Οι hackers ισχυρίζονται ότι έχουν στην κατοχή τους κρίσιμα έγγραφα. Η πρακτική του “double extortion”, όπου οι επιτιθέμενοι όχι μόνο κλειδώνουν τα συστήματα (αν πρόκειται για ransomware) αλλά και απειλούν με δημοσιοποίηση των κλεμμένων δεδομένων, αποτελεί τον κανόνα στις σύγχρονες κυβερνοεπιθέσεις. Το γεγονός ότι η Κομισιόν επιβεβαίωσε την επίθεση υποδηλώνει ότι οι αποδείξεις που παρουσίασαν οι επιτιθέμενοι ήταν επαρκώς πειστικές.

Οι ειδικοί της CERT-EU εργάζονται αυτή τη στιγμή με αντίστροφη μέτρηση για να προσδιορίσουν τον ακριβή χρόνο παραβίασης. Το διάστημα δηλαδή που οι επιτιθέμενοι παρέμειναν απαρατήρητοι μέσα στο δίκτυο, το οποίο είναι καθοριστικό για την εκτίμηση του συνολικού όγκου των δεδομένων που αφαιρέθηκαν.

Ο αντίκτυπος για τα κράτη-μέλη και την Ελλάδα

Η αλληλεξάρτηση των ευρωπαϊκών δικτύων σημαίνει ότι ένα ρήγμα στην κεντρική υποδομή της Ευρωπαϊκής Επιτροπής θέτει αυτομάτως σε συναγερμό όλα τα κράτη-μέλη. Για την Ελλάδα, αυτό μεταφράζεται σε άμεση κινητοποίηση της Εθνικής Αρχής Κυβερνοασφάλειας και της Διεύθυνσης Δίωξης Ηλεκτρονικού Εγκλήματος.

Οι ελληνικοί δημόσιοι φορείς, τα υπουργεία και οι διευθύνσεις που διασυνδέονται με τα ευρωπαϊκά συστήματα (όπως τα τελωνειακά δίκτυα, τα συστήματα του Υπουργείου Εξωτερικών και τα δίκτυα διαχείρισης ευρωπαϊκών πόρων) καλούνται να ελέγξουν εξονυχιστικά τα logs επικοινωνίας τους. Ο κίνδυνος οριζόντιας εξάπλωσης της απειλής απαιτεί την αυστηρή εφαρμογή της αρχής του “Zero Trust”. Κάθε αίτημα πρόσβασης από και προς τα συστήματα της ΕΕ ελέγχεται πλέον με αυξημένα κριτήρια αυθεντικοποίησης.

Επιπλέον, το περιστατικό αυτό έρχεται να δοκιμάσει στην πράξη τα αντανακλαστικά που προβλέπει η Οδηγία NIS2, η οποία έχει τεθεί σε εφαρμογή θέτοντας αυστηρότερους κανόνες αναφοράς περιστατικών και διαχείρισης κινδύνων. Οι ελληνικές επιχειρήσεις που συνεργάζονται άμεσα με ευρωπαϊκούς θεσμούς ή διαχειρίζονται σχετικά δεδομένα ενδέχεται να κληθούν να επικαιροποιήσουν τα πρωτόκολλα ασφαλείας τους τις επόμενες ημέρες.

Η διαχείριση της κρίσης και τα επόμενα βήματα

Η τακτική που ακολουθεί η Ευρωπαϊκή Επιτροπή χαρακτηρίζεται από επιβεβλημένη διαφάνεια. Αντί να προσπαθήσει να υποβαθμίσει το γεγονός, η άμεση επιβεβαίωση μετά τις αναρτήσεις των hackers στοχεύει στον έλεγχο του αφηγήματος και στην ενημέρωση των συνεργαζόμενων φορέων ώστε να λάβουν τα δικά τους μέτρα προστασίας.

Το αμέσως επόμενο διάστημα αναμένεται να επικεντρωθεί στην:

1. Αποκατάσταση και Ενίσχυση: Εφαρμογή patches (διορθώσεων ασφαλείας), αλλαγή κωδικών πρόσβασης σε ευρεία κλίμακα και ανάκληση πιστοποιητικών ασφαλείας (certificates) που ενδέχεται να έχουν παραβιαστεί.
2. Ανάλυση των Διαρροών: Εκτίμηση του περιεχομένου που υπεκλάπη. Αν πρόκειται για απόρρητα έγγραφα πολιτικής, νομικά προσχέδια ή δεδομένα προσωπικού χαρακτήρα (PII), οι νομικές και πολιτικές προεκτάσεις θα είναι σημαντικές.
3. Ενημέρωση: Τακτικές ενημερώσεις προς το Ευρωπαϊκό Κοινοβούλιο και τα εθνικά CERTs μέσω του δικτύου CSIRTs.

Η ασφάλεια των δεδομένων δεν είναι στατική ιδιότητα, αλλά συνεχής διαδικασία. Η επιτυχία αυτής της επίθεσης, παρά τις τεράστιες επενδύσεις της ΕΕ στην κυβερνοασφάλεια, αποδεικνύει ότι οι επιτιθέμενοι διαθέτουν τους πόρους και την υπομονή να εντοπίσουν τον “αδύναμο κρίκο” σε οποιαδήποτε αλυσίδα πληροφοριών.

Με τη ματιά του Techgear

Η παραβίαση των συστημάτων της Ευρωπαϊκής Επιτροπής υπενθυμίζει με τον πιο εμφατικό τρόπο ότι καμία υποδομή δεν είναι απρόσβλητη. Το γεγονός ότι η Επιτροπή αναγκάστηκε να επιβεβαιώσει το περιστατικό κατόπιν εορτής, αφού πρώτα οι hackers δημοσιοποίησαν τα κατορθώματά τους, καταδεικνύει ένα σημαντικό κενό στους μηχανισμούς έγκαιρης προειδοποίησης. Οι μεγάλες γραφειοκρατικές δομές συχνά πάσχουν από πολυπλοκότητα στα δίκτυά τους, δημιουργώντας “τυφλά σημεία” που εκμεταλλεύονται οι σύγχρονες ομάδες APT. 

Είναι επιτακτική ανάγκη η ΕΕ να επιταχύνει τη μετάβαση σε αρχιτεκτονικές Zero Trust και να ενισχύσει τη διαλειτουργικότητα των εθνικών μονάδων κυβερνοασφάλειας, ώστε η απόκριση να είναι άμεση και όχι απλώς επιβεβαιωτική μιας ζημιάς που έχει ήδη συντελεστεί.