Σήμερα τα πάντα είναι data: Η ζωή μας, η καθημερινότητά μας, η εργασία μας στηρίζεται στο διαδίκτυο και τα δεδομένα. Τα δεδομένα είναι αναμφίβολα ο “νέος χρυσός” στην εποχή της τεχνολογίας και για αυτό στοχοποιούνται από τους χάκερς με πολλούς τρόπους. Μία επίθεση στα συστήματα ενός εργοστασίου θα μπορούσε να αλλάξει, λόγου χάρη, τη σύσταση ενός τροφίμου ή ενός φαρμακευτικού σκευάσματος, να μπλοκάρει την πρόσβαση στα δεδομένα πελατών σε ένα ξενοδοχείο, να αποκτήσει πρόσβαση στις κάμερες μίας τεχνολογικής εταιρείας κ.ο.κ. Πόσο όμως θωρακισμένοι είμαστε απέναντι σε αυτούς τους κινδύνους και από ποιους ακριβώς κινδύνους πρέπει να προστατευτούμε; Ποια είναι η ευθύνη που φέρουν οι επιχειρήσεις, οι φορείς και οι οργανισμοί που συγκεντρώνουν, τηρούν και διαχειρίζονται δεδομένα;
Το ίντερνετ και οι έξυπνες συσκευές είναι πλέον αναπόσπαστο μέρος της καθημερινότητάς μας, σύμφωνα μάλιστα με έρευνα της Metron Αnalysis, που παρουσιάστηκε στο Delphi Economic Forum 2023, 3 στους 4 Έλληνες είναι καθημερινοί χρήστες του διαδικτύου και περιστασιακοί χρήστες είναι μόλις το 7%. Από την άλλη πλευρά επιχειρηματικοί τομείς που στοχοποιούνται σε μεγάλο βαθμό από τους κυβερνοαπατεώνες είναι υπηρεσίες ενέργειας, υγείας και όλες οι ψηφιακές πληρωμές. Σύμφωνα με την πιο πρόσφατη έκδοση της έρευνας της PwC “ Global Digital Trust Insights” που γίνεται ετησίως σε 65 χώρες και 3.500 στελέχη οργανισμών μια στις τέσσερις (27%) επιχειρήσεις παγκοσμίως έχουν υποστεί συμβάντα παραβίασης δεδομένων με κόστος για τον οργανισμό από 1 έως και 20 εκατομμύρια δολάρια.
Οι υποχρεώσεις σε σχέση με τα δεδομένα
Το κανονιστικό πλαίσιο που υπάρχει σε σχέση με την προστασία των δεδομένων των χρηστών είναι πολύπλοκο. Σε γενικό πλαίσιο κάθε οργανισμός ή νομική οντότητα έχει την υποχρέωση να αποζημιώσει όποιον βλάψει από τη συλλογή ή διαχείριση βάσεων πληροφοριών. Από τη στιγμή που υπάρχει διαρροή ή κλοπή δεδομένων ενδέχεται να υπάρξει και οικονομική βλάβη των θυμάτων, παραβίαση των δικαιωμάτων τους, δυσφήμιση ή ακόμα και χρήση τους για παράνομους σκοπούς. Σε μεγάλο βαθμό ο Γενικός Κανονισμός Προστασίας Προσωπικών Δεδομένων GDPR έχει θέσει από το Μάιο του 2018 ένα αυστηρό πλαίσιο για τις επιχειρήσεις, προβλέποντας μάλιστα πρόστιμα που αντιστοιχούν σε ποσά έως και 4% των παγκόσμιων ετήσιων πωλήσεων τους για σοβαρές παραβιάσεις.
Θυμίζουμε ότι το 2019 η CNIL, ρυθμιστική αρχή της Γαλλίας στον τομέα των προσωπικών δεδομένων επέβαλε 50 εκατ. ευρώ πρόστιμο στην Google, λόγω της έλλειψης διαφάνειας στην ενημέρωση των χρηστών, αλλά και τη μη τήρηση των όσων ορίζονται στην λήψη συγκατάθεσης. Το 2018 είχε επιβληθεί πρόστιμο 1 εκατ. δολ. στην Uber, καθώς σε επίθεση χάκερς το 2016 απέτυχε να προστατεύσει τις προσωπικές πληροφορίες πελατών.
Οι 8 κίνδυνοι του διαδικτύου
Σύμφωνα με την έκθεση “Threat Landscape 2022” της ENISA (European Union Agency for Cybersecurity) υπάρχουν 8 βασικοί κίνδυνοι για όσους χρησιμοποιούν το διαδίκτυο είτε σαν ιδιώτες είτε σαν επιχειρήσεις:
- Ransomware: Το 2021 τα έσοδα που αποκόμισαν οι χάκερς από επιθέσεις “λυτρισμικού” φτάνουν τα 18 δις ευρώ και είναι 57 φορές περισσότερα από ότι το 2015. To ransomware είναι κακόβουλο λογισμικό με το οποίο οι χάκερς καταλαμβάνουν τον έλεγχο των δεδομένων και απαιτούν λύτρα για να αποκαταστήσουν την πρόσβαση σε αυτά. Θεωρείται μία από τις πιο διαδεδομένες μορφές επιθέσεων. Βάσει των τελευταίων δεδομένων ο μέσος όρος λύτρων που καταβάλλεται ετησίως από επιχειρήσεις διπλασιάστηκε από 71.000 ευρώ το 2019 σε 150.000 ευρώ το 2020.
- Κακόβουλο λογισμικό: Το malware προέρχεται από τις λέξεις malicious + software και σημαίνει κακόβουλο λογισμικό. Στην περίπτωση αυτή έχουμε είδη κακόβουλου κώδικα, όπως ιούς, σκουλήκια, δούρειους ίππους και λογισμικό κατασκοπείας. Οι επιθέσεις αυτές μειώθηκαν την περίοδο των lockdowns από την πανδημία, ωστόσο με την επιστροφή των εργαζομένων στα γραφεία το 2021 καταγράφηκε σημαντική άνοδος. Τομείς που φαίνεται ότι εστιάζουν οι εγκληματίες είναι το crypto-jacking (η μυστική χρήση του υπολογιστή του θύματος για παράνομη δημιουργία κρυπτονομισμάτων) και το κακόβουλο λογισμικό στο Internet-of-Things (λογισμικό που ελέγχει συσκευές που είναι συνδεδεμένες στο διαδίκτυο, όπως κάμερες).
- Απειλές κοινωνικής μηχανικής: Είναι επίσης ένας από τους πιο συχνούς τύπους επιθέσεων που έχει πολλές μορφές όπως το Phising ή το smishing. Εδώ οι κυβερνοαπατεώνες εκμεταλλεύονται το ανθρώπινο λάθος για να αποκτήσουν πρόσβαση σε πληροφορίες ή υπηρεσίες. Έτσι στέλνουν λόγου χάρη αρχεία ή email, που μοιάζουν να είναι από κάποιο αναγνωρισμένο πάροχο πχ. Τράπεζα ή επιχείρηση τηλεπικοινωνιών οι χρήστες τα ανοίγουν και οι χάκερς αποκτούν πρόσβαση σε προσωπικά δεδομένα και εταιρικά συστήματα. Η πιο κοινή επίθεση αυτού του είδους είναι το phishing (μέσω email) ή το smishing (μέσω μηνυμάτων κειμένου). Σχεδόν το 60% των παραβιάσεων στην Ευρώπη, τη Μέση Ανατολή και την Αφρική περιλαμβάνουν ένα στοιχείο κοινωνικής μηχανικής, σύμφωνα με έρευνα που παρατίθεται από την Enisa.
- Απειλές κατά δεδομένων: Στην προκειμένη περίπτωση έχουμε δύο είδη α) τις επιθέσεις που στοχεύουν σκόπιμα σε συγκεκριμένες πηγές όπως λόγου χάρη τα δεδομένα ενός δημόσιου φορέα υγείας και β) τις διαρροές δεδομένων όπως π.χ. από λάθος ενός υπαλλήλου να διαρρεύσουν τα ευαίσθητα προσωπικά δεδομένα πελατών αλυσίδας ξενοδοχείου.
Τα χρήματα παραμένουν το πιο κοινό κίνητρο τέτοιων επιθέσεων. Μόνο στο 10% των περιπτώσεων είναι το κίνητρο η κατασκοπεία. - Άρνηση υπηρεσίας: Οι επιθέσεις που εμποδίζουν τους χρήστες να έχουν πρόσβαση σε δεδομένα ή υπηρεσίες στρέφονται κυρίως σε δημόσιους οργανισμούς και επιχειρήσεις πληροφορικής, τηλεπικοινωνιών, προκαλώντας μεγάλες απώλειες σε έσοδα. Τέτοιου είδους επιθέσεις αξιοποιήθηκαν στον κυβερνοπόλεμο Ρωσίας-Ουκρανίας.
- Απειλές κατά της διαθεσιμότητας του Διαδικτύου: Περιλαμβάνουν τη φυσική κατάληψη και καταστροφή της υποδομής του Διαδικτύου, όπως φαίνεται στα κατεχόμενα ουκρανικά εδάφη από την εισβολή, καθώς και την ενεργό λογοκρισία ειδήσεων ή ιστοσελίδων μέσων κοινωνικής δικτύωσης.
- Παραπληροφόρηση: Είναι τα λεγόμενα fake news, η διάδοση παραπλανητικών πληροφοριών και ψευδών ειδήσεων που έχουν διάφορους σκοπούς από τη δυσφήμιση μέχρι την προπαγάνδα.
- Επιθέσεις εφοδιαστικής αλυσίδας: Αυτός είναι ένας συνδυασμός δύο επιθέσεων - στον προμηθευτή και στον πελάτη. Οι οργανισμοί γίνονται πιο ευάλωτοι σε τέτοιες επιθέσεις, λόγω των ολοένα και πιο περίπλοκων συστημάτων και ενός πλήθους προμηθευτών, που είναι πιο δύσκολο να επιβλέπονται.
Η τεχνολογία είναι πλέον κομμάτι της πραγματικότητάς μας, τόσο στο παρόν όσο και το μέλλον. Αυτό που προέχει ωστόσο είναι όσο αναπτύσσουμε ψηφιακά εργαλεία που κάνουν τη ζωή μας καλύτερη, να δημιουργούμε συστήματα προστασίας με εξειδικευμένο λογισμικό, για να περιορίσουμε τον κίνδυνο να αποτελέσουμε τον επόμενο στόχο των χάκερς.
