Την ανάγκη ενίσχυσης της κυβερνοασφάλειας των ενεργειακών και βιομηχανικών υποδομών αναδεικνύει νέα έρευνα της Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ), η οποία εντόπισε στην Ελλάδα συστήματα επιχειρησιακής τεχνολογίας (Operational Technology - OT) με ενδείξεις άμεσης έκθεσης στο δημόσιο διαδίκτυο. Τα ευρήματα καταδεικνύουν τη σημασία του ελέγχου της απομακρυσμένης πρόσβασης σε εξοπλισμό, που χρησιμοποιείται για την παρακολούθηση, την προστασία και τη λειτουργία ηλεκτρικών και βιομηχανικών εγκαταστάσεων.

Έρευνα και συστάσεις της Εθνικής Αρχής Κυβερνοασφάλειας για προστασία κρίσιμων υποδομών

Σύμφωνα με την ΕΑΚ, από τη συνδυαστική αξιοποίηση δεδομένων τριών ανεξάρτητων πηγών εντοπίστηκαν 54 μοναδικές διευθύνσεις IP στην ελληνική επικράτεια, με ενδείξεις παρουσίας εξοπλισμού, μεταξύ άλλων, της οικογένειας Schneider Electric Easergy. Πρόκειται για συσκευές, που αξιοποιούνται σε ηλεκτρικές εγκαταστάσεις και υποσταθμούς για την επιτήρηση ηλεκτρικών μεγεθών και την προστασία εξοπλισμού.

Η Αρχή επισημαίνει ότι η απευθείας πρόσβαση σε τέτοια συστήματα μέσω του διαδικτύου, εφόσον δεν συνοδεύεται από κατάλληλα μέτρα προστασίας, μπορεί να διευρύνει την επιφάνεια πιθανής κυβερνοεπίθεσης. Η έρευνα επεκτάθηκε και σε άλλες κατηγορίες εξοπλισμού επιχειρησιακής τεχνολογίας, καταγράφοντας ενδείξεις διαδικτυακής προσβασιμότητας συστημάτων, που χρησιμοποιούνται στη βιομηχανία, στην ενέργεια και στις ανανεώσιμες πηγές.

Ευρήματα σε συστήματα βιομηχανικού αυτοματισμού

Ειδικότερα, εντοπίστηκαν 140 διευθύνσεις IP μέσω της πλατφόρμας Shodan και 589 μέσω της ZoomEye, οι οποίες σχετίζονται με το πρωτόκολλο Modbus. Το συγκεκριμένο πρωτόκολλο χρησιμοποιείται για την ανταλλαγή δεδομένων μεταξύ βιομηχανικών συσκευών και συστημάτων ελέγχου. Η ΕΑΚ διευκρινίζει ότι οι δύο καταγραφές παρουσιάζονται χωριστά, καθώς ενδέχεται να υπάρχει επικάλυψη.

Παράλληλα, καταγράφηκαν 77 διευθύνσεις IP με ενδείξεις παρουσίας συστημάτων που χρησιμοποιούν το πρωτόκολλο IEC 60870-5-104, το οποίο υποστηρίζει την απομακρυσμένη παρακολούθηση και τον έλεγχο ενεργειακών εγκαταστάσεων. Επιπλέον, εντοπίστηκαν 77 διευθύνσεις, που σχετίζονται με εξοπλισμό Siemens S7, ευρέως χρησιμοποιούμενο σε εφαρμογές βιομηχανικού αυτοματισμού, καθώς και 229 διευθύνσεις, που συνδέονται με εξοπλισμό Fronius και 38 με συστήματα Solar-Log, τα οποία αξιοποιούνται στη διαχείριση φωτοβολταϊκών εγκαταστάσεων.

Η διαδικτυακή έκθεση δεν συνεπάγεται κυβερνοεπίθεση

Η Εθνική Αρχή Κυβερνοασφάλειας διευκρινίζει ότι η ανίχνευση εξοπλισμού στο διαδίκτυο δεν αποτελεί αυτομάτως ένδειξη ευπάθειας ή παραβίασης.

Αντίστοιχα, τα αποτελέσματα δεν τεκμηριώνουν διακοπή ηλεκτροδότησης, διαταραχή της λειτουργίας ενεργειακών εγκαταστάσεων ή άμεσο κίνδυνο για το ηλεκτρικό σύστημα.

Για ορισμένα μοντέλα της οικογένειας Easergy έχουν εκδοθεί διεθνείς προειδοποιήσεις ασφαλείας, χωρίς ωστόσο να έχει επιβεβαιωθεί ότι αφορούν τις συγκεκριμένες συσκευές, που εντοπίστηκαν στην Ελλάδα. Η σημασία των ευρημάτων έγκειται, συνεπώς, στην προληπτική αναγνώριση πιθανών σημείων έκθεσης, τα οποία απαιτούν αξιολόγηση και κατάλληλα μέτρα προστασίας.

Πέντε προτεραιότητες για την ασφάλεια των εγκαταστάσεων

Η ΕΑΚ καλεί τους διαχειριστές ενεργειακών και βιομηχανικών εγκαταστάσεων να ελέγξουν άμεσα εάν συστήματα προστασίας, αυτοματισμού και τηλεποπτείας είναι προσβάσιμα από το δημόσιο διαδίκτυο και να περιορίσουν τη μη αναγκαία έκθεσή τους. Στις βασικές συστάσεις περιλαμβάνονται η χρήση προστατευμένων συνδέσεων VPN με ισχυρή αυθεντικοποίηση, η αντικατάσταση προεπιλεγμένων διαπιστευτηρίων, η εφαρμογή ενημερώσεων ασφαλείας και ο δικτυακός διαχωρισμός μεταξύ πληροφοριακών συστημάτων και επιχειρησιακής τεχνολογίας (IT/OT segmentation).

Ιδιαίτερη έμφαση δίνεται στον έλεγχο της πρόσβασης εξωτερικών συνεργατών, στην παρακολούθηση μη εξουσιοδοτημένων μεταβολών και στη διατήρηση διαδικασιών ασφαλούς αποκατάστασης.

Η Αρχή υπογραμμίζει ότι οποιαδήποτε μεταβολή στις ρυθμίσεις συστημάτων ηλεκτρικής προστασίας πρέπει να πραγματοποιείται από εξουσιοδοτημένο τεχνικό προσωπικό, ώστε να διασφαλίζεται η επιχειρησιακή συνέχεια.

Παράλληλα, υπενθυμίζει ότι οι βασικές και σημαντικές οντότητες που υπάγονται στον νόμο 5160/2024, με τον οποίο ενσωματώθηκε η ευρωπαϊκή οδηγία NIS2, υποχρεούνται να εφαρμόζουν μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και να αναφέρουν σημαντικά περιστατικά σύμφωνα με τις προβλεπόμενες διαδικασίες.