Γυρνώντας σπίτι μετά τη δουλειά την Παρασκευή, πήγα στη στάση και περίμενα το λεωφορείο. Δεκαπέντε λεπτά μετά, δεν είχε έρθει.
Τριγύρω, ο κόσμος πλήθαινε όλο και περισσότερο. Άνθρωποι κοιτούσαν μηχανικά την οθόνη της στάσης και μετά το κινητό τους, σαν να περίμεναν πως κάποια στιγμή το σύστημα της τηλεματικής θα επανερχόταν ξαφνικά σε λειτουργία και θα μάθαιναν πότε θα έρθει το επόμενο λεωφορείο.
Το σύστημα, όμως, δεν λειτουργούσε. Η τηλεματική του ΟΑΣΑ είχε «πέσει». Στις ηλεκτρονικές πινακίδες εμφανιζόταν η ένδειξη «δοκιμαστική λειτουργία». Μόνο που εκείνη τη στιγμή η δοκιμή δεν αφορούσε κάποιο νέο feature. Δοκίμαζε τα νεύρα των επιβατών.
Ρώτησα μια ηλικιωμένη γυναίκα που περίμενε εκεί πώς την επηρεάζει η απουσία της τηλεματικής. «Δεν ενδιαφέρει κανέναν», μου είπε. «Μας έχουν παρατήσει εδώ στη ζέστη».
Ένας νεαρός που χρησιμοποιεί λεωφορείο για να επιστρέφει από τη δουλειά του ήταν αγανακτισμένος. «Από την Πέμπτη δεν μου φορτώνει τίποτα. Και προσπαθώ να δω τι ώρα φεύγει το ρημάδι όταν σχολάω. Μην κάτσω στη στάση και περιμένω χωρίς λόγο».
Το σύστημα ήταν εκτός λειτουργίας για τέσσερις ημέρες. Αρχικά ανακοινώθηκε απλώς μια βλάβη, όμως, στη συνέχεια, ο ΟΑΣΑ έκανε λόγο για κυβερνοεπίθεση.
Ο ΟΑΣΑ έχει εργαλεία τηλεματικής για πληροφορίες γραμμής και στάσης, ενώ δείχνει τη διαδρομή των οχημάτων σε πραγματικό χρόνο. Όμως όταν το σύστημα που τροφοδοτεί αυτές τις υπηρεσίες δεν λειτουργεί, μια καθιερωμένη πλέον βεβαιότητα εξαφανίζεται μαζί του.
Η τηλεματική εγκαινιάστηκε το 2016. Ένα παιδί δέκα ετών που μεγαλώνει στην Αθήνα σήμερα δεν έχει ζήσει ποτέ μια καθημερινότητα χωρίς αυτό το σύστημα.
Μια Αθήνα που ξέχασε να περιμένει
Κάποτε απλώς περιμέναμε. Ξέραμε ότι το λεωφορείο θα περάσει, όμως όχι πότε. Κοιτούσαμε το ρολόι. Ρωτούσαμε κάποιον στη στάση. Μετά ήρθε η τηλεματική και άλλαξε αυτή τη σχέση.
Ο ΟΑΣΑ περιγράφει το σύστημα ως μια ολοκληρωμένη υποδομή πληροφόρησης επιβατών και διαχείρισης στόλου. Παρακολουθεί σε πραγματικό χρόνο τη θέση των οχημάτων, επιτρέπει την εποπτεία της εκτέλεσης των δρομολογίων και μεταφέρει την πληροφορία στους επιβάτες μέσω περίπου 1.000 «έξυπνων» στάσεων, αλλά και μέσω εφαρμογής και διαδικτύου.
Ο ΟΑΣΑ ανακοίνωσε ότι σε όλη τη διάρκεια του περιστατικού τα δρομολόγια λεωφορείων και τρόλεϊ συνεχίστηκαν κανονικά. Αυτό που σταμάτησε ήταν η πληροφόρηση και οι λειτουργίες της τηλεματικής.
Το σύστημα τηλεματικής σχεδιάστηκε για να κάνει τις μετακινήσεις πιο προβλέψιμες. Ο ίδιος ο ΟΑΣΑ αναφέρει μεταξύ των στόχων του τη μείωση του χρόνου αναμονής στις στάσεις και του συνολικού χρόνου ταξιδιού, αλλά και τη βελτίωση της ποιότητας της μετακίνησης μέσω δεδομένων από τα οχήματα.
Η κυβερνοεπίθεση
Αρχικά ο ΟΑΣΑ ανακοίνωσε απλώς ότι η τηλεματική βρίσκεται προσωρινά εκτός λειτουργίας και ότι τα τεχνικά κλιμάκια εργάζονται για την αποκατάστασή της.
Την Κυριακή, όμως, σε νέα ανακοίνωση, έδωσε περισσότερες λεπτομέρειες.
Ο ΟΑΣΑ γνωστοποίησε ότι η τηλεματική επανήλθε σε κανονική λειτουργία μετά από κυβερνοεπίθεση στα πληροφοριακά συστήματα. Σύμφωνα με τον Οργανισμό, το περιστατικό περιορίστηκε στα συγκεκριμένα συστήματα και δεν επεκτάθηκε αλλού. Παράλληλα, ο ΟΑΣΑ ενημέρωσε για το συμβάν την Εθνική Αρχή Κυβερνοασφάλειας και την Εθνική Αρχή Αντιμετώπισης Ηλεκτρονικών Επιθέσεων, η οποία παρείχε τεχνική συνδρομή.
Η τηλεματική αποκαταστάθηκε, με τον ΟΑΣΑ να αναφέρει ότι μέχρι την έναρξη της πρωινής βάρδιας της Δευτέρας 31 Αυγούστου θα είχε επανέλθει το σύνολο της λειτουργικότητάς της.
Η Εθνική Αρχή Κυβερνοασφάλειας, από την πλευρά της, επιβεβαίωσε από την προηγούμενη εβδομάδα στο WIRED Greece πως ήταν ενήμερη, ενώ ξεκαθάρισε ότι δεν σχολιάζει δημόσια τα επιμέρους τεχνικά χαρακτηριστικά, την έκταση, τα αίτια ή τις επιπτώσεις περιστατικών που διαχειρίζεται. Η διερεύνηση βρίσκεται ακόμη σε εξέλιξη.
Οι επιθέσεις που βλέπουμε και αυτές που δεν φαίνονται
Δεν είναι γνωστό το είδος της επίθεσης που οδήγησε στη διακοπή της λειτουργίας.
Ο Γεώργιος Στεργιόπουλος, Επίκουρος Καθηγητής Ασφάλειας Πληροφοριακών Συστημάτων στο Οικονομικό Πανεπιστήμιο Αθηνών, ειδικός στην κυβερνοασφάλεια και την προστασία κρίσιμων υποδομών, προειδοποιεί ότι υπάρχει διαφορά ανάμεσα στις επιθέσεις που συμβαίνουν συχνότερα και σε εκείνες που μαθαίνουμε συχνότερα ότι συνέβησαν.
Οι επιθέσεις άρνησης εξυπηρέτησης, τα γνωστά Denial of Service (DoS), είναι από εκείνες που δημιουργούν εύκολα είδηση: μια υπηρεσία σταματά να λειτουργεί και το αποτέλεσμα είναι άμεσα ορατό.
Υπάρχει όμως και η άλλη κατηγορία. Κακόβουλοι δράστες μπορεί να αποκτήσουν πρόσβαση σε δεδομένα ή υπηρεσίες μιας εταιρείας και να παραμείνουν εκεί για μήνες ή ακόμη και χρόνια χωρίς να γίνουν αντιληπτοί. Η επίθεση μπορεί να μην έχει κανένα θεαματικό αποτέλεσμα για μεγάλο χρονικό διάστημα.
Ο Στεργιόπουλος επικαλείται, μιλώντας στο WIRED Greece, στοιχεία της IBM για το 2025-26, σύμφωνα με τα οποία το 10% των επιθέσεων κλοπής δεδομένων μπορεί να χρειαστεί έως και 186 ημέρες για να εντοπιστεί. Σημειώνει, ωστόσο, ότι τα συγκεκριμένα στατιστικά αφορούν γενικά εταιρείες παγκοσμίως και όχι ειδικά κρίσιμες υποδομές ή την Ελλάδα.
Κάτι ακόμα που δεν είναι γνωστό: τα κίνητρα. Γιατί να μπει κανείς στη διαδικασία να «ρίξει» την τηλεματική του ΟΑΣΑ;
Γενικά μιλώντας, τα κίνητρα για μια κυβερνοεπίθεση μπορεί να είναι πολιτική πίεση, δυσφήμιση, εκβιασμός για λύτρα, ακτιβισμός ή ακόμη και επίδειξη δυνατοτήτων από επιτιθέμενους που θέλουν να αποδείξουν σε μελλοντικούς πελάτες τι μπορούν να κάνουν, σύμφωνα με τον καθηγητή.
Ο Στεργιόπουλος φέρνει ως παράδειγμα τις επιθέσεις BlackEnergy στην Ουκρανία, όπου η διακοπή της ηλεκτροδότησης ήταν το ορατό αποτέλεσμα, όμως υπάρχει το ενδεχόμενο μιας πολύ πιο σύνθετης διείσδυσης στα συστήματα. Όπως σημειώνει, σε τέτοιες περιπτώσεις η στιγμή που γίνεται αντιληπτή η επίθεση δεν είναι απαραίτητα και η στιγμή που ξεκίνησε.
Δεν σημαίνει ότι συνέβη κάτι αντίστοιχο στον ΟΑΣΑ. Δεν υπάρχει τέτοια δημόσια ένδειξη. Σημαίνει όμως ότι το blackout είναι μόνο το αποτέλεσμα που βλέπει ο επιβάτης.
Το AI κάνει τα πράγματα δυσκολότερα
Υπάρχει ακόμη ένας λόγος για τον οποίο οι επιθέσεις σε ψηφιακές υποδομές γίνονται πιο δύσκολο πρόβλημα: η τεχνητή νοημοσύνη.
«Το AI έχει έρθει σαν τσουνάμι και επαναπροσδιορίζει τα πάντα στον χώρο της κυβερνοασφάλειας», λέει ο Στεργιόπουλος.
Ένα χαρακτηριστικό παράδειγμα είναι το λεγόμενο responsible disclosure. Εδώ και δεκαετίες, ethical hackers και penetration testers ψάχνουν προβλήματα ασφαλείας σε λογισμικό και τα αναφέρουν ιδιωτικά στις εταιρείες ώστε να διορθωθούν. Πολλές εταιρείες μάλιστα πληρώνουν για τέτοιες αναφορές μέσω προγραμμάτων bug bounty, επισημαίνει ο καθηγητής. Το AI αλλάζει την κλίμακα.
Σύμφωνα με τον Στεργιόπουλο, προβλήματα που παλαιότερα μπορούσαν να απαιτούν μήνες για να εντοπιστούν, καταγραφούν και αναλυθούν, μπορούν πλέον να διερευνηθούν σε ημέρες ή ακόμη λιγότερο από μία εβδομάδα από ανθρώπους που γνωρίζουν πώς να χρησιμοποιούν τα εργαλεία.
Το αποτέλεσμα είναι ένα παράδοξο: περισσότερες αναφορές ευπαθειών δεν σημαίνουν απαραίτητα ότι το λογισμικό είναι ασφαλέστερο.
Αντίθετα, οι εταιρείες μπορεί να βρεθούν αντιμέτωπες με έναν κατακλυσμό από ευρήματα που πρέπει να αξιολογήσουν. Ο Στεργιόπουλος αναφέρει περιπτώσεις όπου οι αναφορές προβλημάτων ασφαλείας από μερικές εκατοντάδες τον χρόνο έφτασαν σε χιλιάδες μέσα σε λίγους μήνες.
Και αν αυτό αφορά το λογισμικό μιας εταιρείας, αφορά αναπόφευκτα και τα συστήματα πάνω στα οποία βασίζονται κρίσιμες υποδομές. Το λογισμικό τους δεν είναι απομονωμένο από τον υπόλοιπο ψηφιακό κόσμο. Βασίζεται σε εφαρμογές, software, υπηρεσίες και προμηθευτές που μπορεί να έχουν τα δικά τους ευάλωτα σημεία.
«Κάποια από αυτά τα προβλήματα πιθανώς να μπορούν να χρησιμοποιηθούν σε επιθέσεις, και προφανώς δεν είναι όλοι “καλοί” για να ενημερώνουν τις εταιρείες και τις υποδομές. Κάποιοι βρίσκουν προβλήματα ασφάλειας και τα κρατούν μυστικά για κακόβουλους σκοπούς», λέει ο καθηγητής.
Κρίσιμες υποδομές και η οδηγία NIS2
Ο Στεργιόπουλος περιγράφει τις κρίσιμες υποδομές ως συστήματα τόσο σημαντικά για την κοινωνία ώστε μια αστοχία τους μπορεί να επηρεάσει την εθνική ασφάλεια, την οικονομία, τη δημόσια υγεία ή γενικότερα την ποιότητα ζωής.
Αυτό ισχύει είτε η αστοχία προέρχεται από φυσική καταστροφή είτε από κυβερνοεπίθεση.
Η Ευρώπη έχει ήδη αναγνωρίσει τη σημασία αυτής της ανθεκτικότητας. Η NIS2 και η ενσωμάτωσή της στο ελληνικό δίκαιο με τον Ν. 5160/2024 θέτουν απαιτήσεις για την κυβερνοασφάλεια βασικών και σημαντικών οντοτήτων, με στόχο όχι απλώς την πρόληψη των επιθέσεων αλλά και τον περιορισμό των επιπτώσεών τους. Η Εθνική Αρχή Κυβερνοασφάλειας αναφέρει ότι το εθνικό πλαίσιο περιλαμβάνει 22 απαιτήσεις και ακολουθεί μια προσέγγιση «all hazards», δηλαδή αντιμετωπίζει συνολικά τους κινδύνους που μπορούν να επηρεάσουν μια υποδομή.
