Κυβερνοεπιθέσεις σε σούπερ μάρκετ: Τι συστήνει η Εθνική Αρχή Κυβερνοασφάλειας στις επιχειρήσεις

Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) επιβεβαιώνει ότι έχουν καταγραφεί κυβερνοεπιθέσεις σε συστήματα ψύξης καταστημάτων τροφίμων και σούπερ μάρκετ στην Ελλάδα, μεταφέροντας το πρόβλημα από το επίπεδο της ψηφιακής ασφάλειας στην ίδια τη λειτουργία των επιχειρήσεων.

Σε ανακοίνωσή της, στις 3 Νοεμβρίου, η Αρχή αναφέρεται σε επιθέσεις στη χώρα και υπενθυμίζει ότι είχε προειδοποιήσει ήδη από τις 14 Οκτωβρίου για την έκθεση ευάλωτων συστημάτων στο διαδίκτυο. Η παρέμβαση έρχεται μετά από περιστατικά σε ευρωπαϊκές αγορές, όπου παρεμβάσεις σε συστήματα ψύξης προκάλεσαν προβλήματα στη λειτουργία καταστημάτων και απώλειες τροφίμων.

Το ζήτημα δεν περιορίζεται πλέον στην προστασία των δεδομένων των επιχειρήσεων. Αφορά και τον εξοπλισμό που διασφαλίζει τη συντήρηση των προϊόντων στις κατάλληλες συνθήκες και υποστηρίζει την καθημερινή λειτουργία των καταστημάτων.

Η νέα ανακοίνωση της ΕΑΚ δεν προσδιορίζει πόσα ελληνικά καταστήματα επηρεάστηκαν, την έκταση των επιπτώσεων ή την ταυτότητα των δραστών. Επιβεβαιώνει, ωστόσο, ότι οι επιθέσεις έχουν αποκτήσει και εγχώρια διάσταση, καθιστώντας αναγκαίο τον έλεγχο και την προστασία των εγκαταστάσεων.

Τα 300 εκτεθειμένα συστήματα και η κρίσιμη διάκριση

Η ΕΑΚ υπενθυμίζει ότι, στην ανακοίνωσή της στις 14 Οκτωβρίου, είχε γνωστοποιήσει τον εντοπισμό περισσότερων από 300 εκτεθειμένων συστημάτων. Επρόκειτο κυρίως για ελεγκτές εμπορικής ψύξης των εταιρειών Danfoss, Copeland/Dixell και Carel, ενώ είχε καλέσει τους αρμόδιους φορείς να αποσυνδέσουν τα συστήματα ελέγχου του εξοπλισμού από το δημόσιο διαδίκτυο.

Ο αριθμός των 300 συστημάτων δεν αντιστοιχεί σε ισάριθμες επιβεβαιωμένες παραβιάσεις. Αφορά συστήματα που είχαν εντοπιστεί εκτεθειμένα στο διαδίκτυο και, ως εκ τούτου, έχρηζαν ελέγχου και προστασίας.

Η αρχική προειδοποίηση είχε εκδοθεί με αφορμή κυβερνοεπιθέσεις σε σούπερ μάρκετ και αλυσίδες τροφίμων στη Γαλλία. Η Αρχή είχε επισημάνει τους κινδύνους από εξοπλισμό με πρόσβαση μέσω διαδικτύου, παρωχημένο λογισμικό και ανεπαρκή μέτρα ασφαλείας.

Τι ζητά η Αρχή από τις επιχειρήσεις

Οι συστάσεις της ΕΑΚ αφορούν κυρίως την πρόσβαση στον εξοπλισμό, τη διαχείριση των κωδικών και την τεχνική υποστήριξη των συστημάτων.

Βασική προτεραιότητα είναι η αποσύνδεση των συστημάτων ελέγχου από το δημόσιο διαδίκτυο. Η απομακρυσμένη πρόσβαση θα πρέπει να πραγματοποιείται αποκλειστικά μέσω ασφαλούς σύνδεσης VPN και με τη χρήση πολυπαραγοντικής ταυτοποίησης, ώστε ο εξοπλισμός να μην είναι απευθείας προσβάσιμος σε τρίτους.

Παράλληλα, η Αρχή συστήνει:

• Την αλλαγή των προεπιλεγμένων κωδικών πρόσβασης.

• Την αντικατάσταση εξοπλισμού που δεν υποστηρίζεται πλέον από τον κατασκευαστή.

Η δεύτερη σύσταση αφορά ιδιαίτερα τις εγκαταστάσεις που εξακολουθούν να λειτουργούν, χωρίς όμως να λαμβάνουν ενημερώσεις και διορθώσεις ασφαλείας. Η κανονική λειτουργία ενός συστήματος δεν σημαίνει απαραίτητα ότι είναι και προστατευμένο από γνωστές ευπάθειες.

Μπλέτσας: Ένα γνωστό αλλά αδιόρθωτο κενό μπορεί να προκαλέσει φυσική ζημιά

Η ΕΑΚ επισημαίνει ότι η κυβερνοασφάλεια πρέπει να αποτελεί βασικό στοιχείο κάθε ψηφιακής διασύνδεσης, ιδίως όταν αυτή επιτρέπει τον απομακρυσμένο έλεγχο φυσικού εξοπλισμού.

«Ό,τι εντοπίζουμε εμείς, το εντοπίζει και ο επιτιθέμενος. Ένα γνωστό, αλλά αδιόρθωτο κενό μπορεί να γίνει φυσική ζημία μέσα σε μία νύχτα», αναφέρει ο διοικητής της ΕΑΚ, Μιχάλης Μπλέτσας.

Ο ίδιος υπογραμμίζει ότι η κυβερνοασφάλεια πρέπει να ενσωματώνεται σε κάθε ψηφιακή διασύνδεση, επισημαίνοντας ότι το κόστος μιας ενδεχόμενης ζημιάς μπορεί να είναι πολλαπλάσιο από εκείνο της πρόληψης.

Παράλληλα, η Αρχή συνδέει την εφαρμογή βασικών κανόνων κυβερνοασφάλειας με τις νέες προκλήσεις που δημιουργεί η ταχεία ανάπτυξη της τεχνητής νοημοσύνης, αναδεικνύοντας την προστασία των συνδεδεμένων συστημάτων σε προτεραιότητα για την ανθεκτικότητα της κοινωνίας.

Πώς τα ψυγεία έγιναν στόχος κυβερνοεπιθέσεων

Τα συστήματα απομακρυσμένης παρακολούθησης επιτρέπουν στους τεχνικούς να ελέγχουν τη λειτουργία των εγκαταστάσεων ψύξης και να παρεμβαίνουν χωρίς να χρειάζεται να βρίσκονται σε κάθε κατάστημα. Όταν, όμως, δεν διαθέτουν επαρκή προστασία, μπορούν να αποτελέσουν σημείο εισόδου για κυβερνοεπιθέσεις.

Μια μη εξουσιοδοτημένη παρέμβαση ενδέχεται να επηρεάσει τις ρυθμίσεις θερμοκρασίας ή τις λειτουργίες απόψυξης. Στα καταστήματα τροφίμων, οι συνέπειες μπορεί να είναι άμεσες, καθώς ενδέχεται να προκληθούν αλλοιώσεις προϊόντων, απώλειες αποθεμάτων, ανάγκη απόσυρσης τροφίμων και προβλήματα στην εξυπηρέτηση των πελατών.

Τα νέα περιστατικά που καταγράφηκαν στην Ευρώπη στις αρχές Νοεμβρίου ακολούθησαν τις επιθέσεις στη Γαλλία. Η ερευνητική ομάδα της Censys εντόπισε αναφορές για περιστατικά στο Βέλγιο, την Εσθονία, την Ιρλανδία, το Λουξεμβούργο, την Ολλανδία και τη Σουηδία.

Παρά τις ομοιότητες μεταξύ των περιστατικών, δεν έχει επιβεβαιωθεί ότι όλες οι επιθέσεις συνδέονται με τον ίδιο δράστη.

Ο έλεγχος επεκτείνεται και στους προμηθευτές

Η προστασία των εγκαταστάσεων εξαρτάται και από τη συνεργασία των επιχειρήσεων με τους προμηθευτές και τους τεχνικούς τους συνεργάτες. Κρίσιμα ζητήματα είναι ποιοι έχουν πρόσβαση στον εξοπλισμό, με ποιον τρόπο γίνεται η ταυτοποίησή τους και ποιος είναι υπεύθυνος για την εγκατάσταση των ενημερώσεων ασφαλείας.

Ο Vladimir Dashchenko, Principal Security Researcher της Kaspersky, επισημαίνει ότι σε ορισμένα συνδεδεμένα συστήματα ψύξης απουσιάζουν ακόμη και βασικά μέτρα προστασίας, όπως οι ισχυροί κωδικοί πρόσβασης και η ταυτοποίηση δύο παραγόντων.

Όπως υπογραμμίζει, οι επιχειρήσεις πρέπει να αξιολογούν τις πρακτικές κυβερνοασφάλειας των προμηθευτών τους, δίνοντας ιδιαίτερη έμφαση στη διαχείριση των ενημερώσεων και στην προστασία της απομακρυσμένης πρόσβασης. Αντίστοιχα, οι κατασκευαστές οφείλουν να ενσωματώνουν την ασφάλεια ήδη από τον σχεδιασμό των προϊόντων τους.

Ξεχωριστή προειδοποίηση για τις ευπάθειες στην PHP

Στο ευρύτερο πλαίσιο προστασίας των επιχειρησιακών συστημάτων παραμένει ενεργή και η προειδοποίηση της ΕΑΚ και της ομάδας EL-CSIRT για τις κρίσιμες ευπάθειες CVE-2026-109618 και CVE-2026-109619 στην PHP, καθεμία από τις οποίες έχει βαθμολογία σοβαρότητας 9,2.

Η εκμετάλλευσή τους μπορεί να επιτρέψει την απομακρυσμένη εκτέλεση αυθαίρετου κώδικα χωρίς προηγούμενη ταυτοποίηση. Δεν έχει, ωστόσο, τεκμηριωθεί ότι οι συγκεκριμένες ευπάθειες συνδέονται με τις επιθέσεις στα συστήματα ψύξης.

Για τις εγκαταστάσεις που επηρεάζονται, η ΕΑΚ ζητά την εφαρμογή των διαθέσιμων διορθώσεων ασφαλείας και τον έλεγχο για ενδείξεις προηγούμενης παραβίασης. Επισημαίνει, επίσης, ότι η αναβάθμιση μιας εφαρμογής δεν αρκεί, εάν η υποκείμενη εγκατάσταση PHP εξακολουθεί να είναι ευάλωτη.

Η αναφορά των περιστατικών

Στη νέα ανακοίνωσή της, η ΕΑΚ υπενθυμίζει ότι οι φορείς που υπάγονται στον νόμο 5160/2024 για την ενσωμάτωση της ευρωπαϊκής οδηγίας NIS2 οφείλουν να αναφέρουν κάθε σημαντικό περιστατικό κυβερνοεπίθεσης εντός 24 ωρών.

Η αναφορά πραγματοποιείται μέσω της πλατφόρμας δήλωσης συμβάντων και στη διεύθυνση ηλεκτρονικού ταχυδρομείου incident@cyber.gov.gr.

Για τις επιχειρήσεις του κλάδου τροφίμων, προτεραιότητα αποτελεί ο εντοπισμός των συστημάτων που είναι εκτεθειμένα στο διαδίκτυο, η ασφάλιση της απομακρυσμένης πρόσβασης και η επιβεβαίωση ότι ο χρησιμοποιούμενος εξοπλισμός εξακολουθεί να υποστηρίζεται από τους κατασκευαστές.

Η δυνατότητα απομακρυσμένου ελέγχου των συστημάτων ψύξης διευκολύνει τη λειτουργία των καταστημάτων, χωρίς όμως τα κατάλληλα μέτρα προστασίας μπορεί να εξελιχθεί σε απειλή για τη λειτουργία τους.