Η Εθνική Αρχή Κυβερνοασφάλειας δημοσίευσε στις 10 Νοεμβρίου τα ευρήματα έρευνας για συστήματα ελέγχου ηλεκτρικών και βιομηχανικών εγκαταστάσεων στην Ελλάδα που είναι προσβάσιμα απευθείας από το διαδίκτυο. Η Αρχή διευκρινίζει ότι τα ευρήματα δεν δείχνουν διακοπή ή διαταραχή στην ηλεκτροδότηση.

Τα ευρήματα

• 54 μοναδικές διευθύνσεις IP με ενδείξεις εξοπλισμού, μεταξύ άλλων, της σειράς Schneider Electric Easergy, που χρησιμοποιείται για επιτήρηση και προστασία σε υποσταθμούς
• 77 διευθύνσεις με συστήματα του πρωτοκόλλου IEC 60870-5-104, για απομακρυσμένη παρακολούθηση και έλεγχο ενεργειακών εγκαταστάσεων
• 77 διευθύνσεις με εξοπλισμό Siemens S7 για αυτοματισμό βιομηχανικών εγκαταστάσεων
• 229 διευθύνσεις με εξοπλισμό Fronius και 38 με συστήματα Solar-Log, που χρησιμοποιούνται σε φωτοβολταϊκά
• 140 διευθύνσεις στο Shodan και 589 στο ZoomEye που σχετίζονται με το πρωτόκολλο Modbus, οι οποίες δίνονται χωριστά επειδή μπορεί να επικαλύπτονται

Το ότι μια συσκευή φαίνεται από το διαδίκτυο δεν σημαίνει, κατά την Αρχή, ότι έχει κενό ασφαλείας ή ότι δέχθηκε επίθεση. Για ορισμένα μοντέλα Easergy υπάρχουν διεθνείς προειδοποιήσεις, χωρίς να έχει επιβεβαιωθεί ότι αφορούν τις συσκευές που εντοπίστηκαν.

Τι ζητά από τους διαχειριστές

Η Αρχή καλεί ιδιοκτήτες, διαχειριστές και τεχνικούς υπευθύνους να ελέγξουν άμεσα ποια συστήματα προστασίας, αυτοματισμού και τηλεποπτείας είναι εκτεθειμένα και να κόψουν κάθε σύνδεση που δεν χρειάζεται. Η απομακρυσμένη πρόσβαση πρέπει να γίνεται μόνο μέσα από προστατευμένες συνδέσεις, όπως VPN, με ισχυρή ταυτοποίηση.

Ζητά ακόμη ενημερωμένο λογισμικό και αλλαγή των εργοστασιακών κωδικών, διαχωρισμό των δικτύων πληροφορικής από τα δίκτυα λειτουργίας, έλεγχο των προσβάσεων που έχουν εξωτερικοί συνεργάτες και συνεργεία συντήρησης, και παρακολούθηση για μη εξουσιοδοτημένες αλλαγές. Αλλαγές στις ρυθμίσεις των συστημάτων ηλεκτρικής προστασίας πρέπει να κάνει μόνο εξουσιοδοτημένο τεχνικό προσωπικό.

Οι βασικές και σημαντικές οντότητες του ν. 5160/2024, με τον οποίο ενσωματώθηκε η οδηγία NIS2, έχουν ήδη υποχρέωση να εφαρμόζουν τέτοια μέτρα κυβερνοασφάλειας. Τα περιστατικά αναφέρονται στην πλατφόρμα του cyber.gov.gr.