Του Σταμάτη Καπίρη, Manager, Cybersecurity, PwC
Η Επιχειρησιακή Τεχνολογία (Operational Technology – OT) και τα Βιομηχανικά Συστήματα Ελέγχου (Industrial Control Systems – ICS) είναι απολύτως συνδεδεμένα με τη λειτουργία των βασικών υποδομών της σύγχρονης κοινωνίας. Μέσω αυτών ελέγχονται οι διεργασίες που στηρίζουν την ηλεκτροπαραγωγή και τη διανομή ενέργειας, την επεξεργασία νερού, τη βιομηχανική παραγωγή και τις μεταφορές. Σε αντίθεση με τα συμβατικά πληροφοριακά συστήματα, τα συστήματα OT δεν διαχειρίζονται απλώς πληροφορία αλλά επηρεάζουν άμεσα τον φυσικό κόσμο.
Μια λανθασμένη ή κακόβουλη εντολή μπορεί να διακόψει τη λειτουργία ενός κρίσιμου εξοπλισμού, να παρακάμψει μηχανισμούς προστασίας ή να θέσει σε παύση μια γραμμή παραγωγής. Σε σοβαρότερες περιπτώσεις, η παραβίαση ενός συστήματος ασφάλειας μπορεί να οδηγήσει σε ανεξέλεγκτη εξέλιξη μιας κρίσιμης διεργασίας, προκαλώντας, για παράδειγμα, επικίνδυνη αύξηση της πίεσης σε εξοπλισμό ή αγωγούς, υπερθέρμανση ή διαρροή επικίνδυνων ουσιών. Αν συμβεί αυτό, οι επιπτώσεις δεν περιορίζονται μόνο στη λειτουργία της εγκατάστασης ή της διεργασίας, αλλά μπορούν να επηρεάσουν άμεσα την ανθρώπινη ζωή, τη δημόσια ασφάλεια και το περιβάλλον. Συνεπώς, στον OT κόσμο οι επιπτώσεις των κυβερνοεπιθέσεων δεν είναι μόνο ψηφιακές αλλά μπορούν να εξελιχθούν άμεσα σε φυσικούς κινδύνους.
Από την απομόνωση στη διασύνδεση
Για πολλά χρόνια, τα βιομηχανικά περιβάλλοντα στηρίζονταν στην περιορισμένη συνδεσιμότητα και στη φυσική απομόνωση. Το μοντέλο αυτό δεν ισχύει πλέον. Ο ψηφιακός μετασχηματισμός έχει οδηγήσει σε αυξημένη διασύνδεση μεταξύ των δικτύων OT, των εταιρικών συστημάτων IT, των υπηρεσιών cloud, των δορυφορικών και βιομηχανικών ασύρματων επικοινωνιών, καθώς και των εξωτερικών συνεργατών και προμηθευτών. Αν και η εξέλιξη αυτή ενισχύει την αποδοτικότητα και παρέχει μία καλύτερη εικόνα της λειτουργίας σε πραγματικό χρόνο, παράλληλα καταργεί τα όρια που στο παρελθόν προστάτευαν συστήματα τα οποία δεν είχαν σχεδιαστεί για να είναι εκτεθειμένα σε εξωτερικές απειλές. Επιπροσθέτως, η εξέλιξη αυτή λαμβάνει χώρα σε μια περίοδο έντονης γεωπολιτικής αστάθειας, κατά την οποία οι κρίσιμες υποδομές αντιμετωπίζονται ολοένα και συχνότερα ως στόχοι στρατηγικής σημασίας.
Κυβερνοεπιθέσεις με πραγματικές συνέπειες
Τα περιστατικά κυβερνοεπιθέσεων σε περιβάλλοντα OT δεν αποτελούν πλέον θεωρητικό ενδεχόμενο. Είναι πραγματικά γεγονότα, με αυξανόμενη πολυπλοκότητα και ολοένα σοβαρότερες επιπτώσεις.
Τον Φεβρουάριο του 2021, ένας κακόβουλος χρήστης απέκτησε πρόσβαση στη κονσόλα χειρισμού μιας δημόσιας εγκατάστασης επεξεργασίας νερού στις Ηνωμένες Πολιτείες, μέσω παραβίασης της εφαρμογής απομακρυσμένης πρόσβασης στο σύστημα SCADA. Στη συνέχεια τροποποίησε τη δοσολογία υδροξειδίου του νατρίου από 100 ppm σε 11.100 ppm, επίπεδο δυνητικά θανατηφόρο. Η παραβίαση κατέστη δυνατή λόγω κλοπής και χρήσης κοινόχρηστων διαπιστευτηρίων (shared credentials), απουσίας πολυπαραγοντικής ταυτοποίησης (MFA) και ανεπαρκούς διαχωρισμού μεταξύ του εταιρικού δικτύου και του βιομηχανικού περιβάλλοντος (network segmentation). Χάρη στην έγκαιρη αντίδραση ενός χειριστή, ο οποίος το αντελήφθη εγκαίρως, απετράπη ένα σοβαρό περιστατικό δημόσιας ασφάλειας. Το γεγονός αυτό ανέδειξε πόσο ευάλωτες μπορεί να είναι κρίσιμες διεργασίες σε μία ΟΤ υποδομή όταν απουσιάζουν βασικά μέτρα ελέγχου πρόσβασης και ορθής αρχιτεκτονικής δικτύου. Παράλληλα, κατέδειξε τη στροφή των επιτιθέμενων προς τεχνικές τύπου living off the land (LOTL), όπου η κατάχρηση νόμιμων εργαλείων και λειτουργιών του ίδιου του περιβάλλοντος καθιστά τον εντοπισμό και την απόκριση σημαντικά δυσκολότερη.
Αργότερα, μέσα στην ίδια χρονιά, μία επίθεση ransomware κατά του διαχειριστή του μεγαλύτερου αγωγού μεταφοράς διυλισμένων καυσίμων στις Ηνωμένες Πολιτείες οδήγησε σε προληπτική αναστολή λειτουργίας, παρότι το κακόβουλο λογισμικό έπληξε κυρίως συστήματα πληροφορικής που σχετίζονταν με την τιμολόγηση. Η αδυναμία διασφάλισης σαφούς διαχωρισμού μεταξύ IT και OT, σε συνδυασμό με την έλλειψη επαρκώς ελεγμένων διαδικασιών επιχειρησιακής συνέχειας, μετέτρεψε ένα περιστατικό που αφορούσε κυρίως οικονομικά συστήματα σε διαταραχή του ενεργειακού εφοδιασμού σε εθνικό επίπεδο. Το περιστατικό αυτό κατέδειξε ότι η σύγκλιση IT και OT, όταν δεν υποστηρίζεται από κατάλληλη αρχιτεκτονική και σαφείς διαδικασίες, μπορεί να προκαλέσει αλυσιδωτές επιχειρησιακές επιπτώσεις με έκταση και σοβαρότητα πολύ μεγαλύτερη από την αρχική παραβίαση.
Το 2022, ερευνητές ασφάλειας και κρατικοί φορείς εντόπισαν το INCONTROLLER (γνωστό και ως PIPEDREAM), ένα είδος κακόβουλου λογισμικού για βιομηχανικά συστήματα ελέγχου, σχεδιασμένο να στοχεύει προγραμματιζόμενους λογικούς ελεγκτές (PLC) διαφόρων κατασκευαστών μέσω βιομηχανικών πρωτοκόλλων όπως τα Codesys και Fins. Αν δεν είχε εξουδετερωθεί εγκαίρως, θα αποτελούσε πολύ σημαντική αναβάθμιση στις δυνατότητες των επιτιθέμενων. Δεν ήταν σχεδιασμένο για έναν μόνο προμηθευτή, αλλά μπορούσε να επαναχρησιμοποιείται και είχε τη δυνατότητα να αλληλεπιδρά με συσκευές των κατώτερων επιπέδων της βιομηχανικής αρχιτεκτονικής Purdue, δηλαδή με συστήματα που ελέγχουν άμεσα τις διεργασίες. Το γεγονός ότι εντοπίστηκε πριν χρησιμοποιηθεί επιχειρησιακά ήταν μια σπάνια επιτυχία την ερευνητικής κοινότητας κυβερνοασφάλειας, ταυτόχρονα όμως ανέδειξε την εξέλιξη επιθετικών εργαλείων που έχουν σχεδιαστεί ειδικά για βιομηχανικά περιβάλλοντα.
Το 2024 δημοσιοποιήθηκαν αναφορές για το Fuxnet, μια παραλλαγή κακόβουλου λογισμικού σχεδιασμένη να αλλοιώνει το firmware αισθητήρων και να υπερφορτώνει τις σειριακές επικοινωνίες Meter-Bus σε κατανεμημένες ρωσικές βιομηχανικές υποδομές. Η επίθεση έθεσε εκτός λειτουργίας χιλιάδες συσκευές περιβαλλοντικής παρακολούθησης, στερώντας από τις επηρεαζόμενες εγκαταστάσεις κρίσιμες επιχειρησιακές πληροφορίες. Αντί να παρέμβει άμεσα στον έλεγχο της διεργασίας, οι επιτιθέμενοι επέλεξαν να αφαιρέσουν από τους χειριστές τη δυνατότητα εποπτείας των διεργασιών, τακτική με ιδιαίτερα σοβαρές συνέπειες για την ασφάλεια και για την αποτελεσματική διαχείριση συμβάντων.
Πιο πρόσφατα, τον Δεκέμβριο του 2025, μία επίθεση κατά ορισμένων ενεργειακών υποδομών στην Πολωνία στόχευσε απομακρυσμένες τερματικές μονάδες (RTU) σε εγκαταστάσεις αιολικής ενέργειας, προκαλώντας βλάβες σε επίπεδο firmware και διαγράφοντας κρίσιμα επιχειρησιακά δεδομένα. Η επίθεση έδειξε σαφή στόχευση σε συσκευές πεδίου, παρακάμπτοντας πλήρως τις παραδοσιακές άμυνες που επικεντρώνονταν κυρίως στην ΙΤ υποδομή χωρίς επαρκή κάλυψη του ΟΤ δικτύου. Οι χειριστές έχασαν τόσο την εικόνα όσο και τον έλεγχο των επηρεαζόμενων εγκαταστάσεων, γεγονός που επιβεβαιώνει ότι οι επιτιθέμενοι είναι πλέον σε θέση να διεισδύουν στα πλέον κρίσιμα επίπεδα της βιομηχανικής αρχιτεκτονικής.
Όλα τα παραπάνω περιστατικά έχουν ένα καθοριστικό κοινό στοιχείο, το οποίο διαφοροποιεί ουσιαστικά την κυβερνοασφάλεια των ΟΤ υποδομών από την ασφάλεια των παραδοσιακών πληροφοριακών συστημάτων: η παραβίαση βιομηχανικών συστημάτων ελέγχου μπορεί να οδηγήσει μια διεργασία σε μη ασφαλή κατάσταση, με πιθανές συνέπειες τη φυσική καταστροφή, την περιβαλλοντική ζημία ή την απώλεια ανθρώπινης ζωής.
Γιατί δεν επαρκούν οι προσεγγίσεις της παραδοσιακής ασφάλειας IT
Ένα από τα συνηθέστερα λάθη είναι η αυτούσια εφαρμογή πρακτικών ασφάλειας IT υποδομών σε περιβάλλοντα OT. Τα βιομηχανικά συστήματα έχουν διαφορετικές προτεραιότητες, παραδείγματος χάριν, προέχει η διαθεσιμότητα, η σταθερότητα της λειτουργίας και η ασφάλεια της διεργασίας, και όχι πρωτίστως η εμπιστευτικότητα των δεδομένων. Πολλά από αυτά τα συστήματα παραμένουν σε λειτουργία για δεκαετίες και επιδέχονται εξαιρετικά περιορισμένα χρονικά περιθώρια για ενημερώσεις ή διορθωτικές ενέργειες. Πρακτικές όπως η επιθετική σάρωση (active scanning) για ευπάθειες, οι συχνές εγκαταστάσεις ενημερώσεων ή οι αυτοματοποιημένες ενέργειες αντίδρασης σε περιστατικά ασφάλειας και ανάκαμψης από αυτά, που είναι συνήθεις στον IT κόσμο, μπορούν στον OT να διαταράξουν την καλή λειτουργία των βιομηχανικών διεργασιών ή ακόμη και τις οδηγήσουν εκτός ασφαλών ορίων λειτουργίας με απρόβλεπτες συνέπειες.
Η αποτελεσματική κυβερνοασφάλεια στις υποδομές OT απαιτεί μία προσέγγιση προσαρμοσμένη στην κάθε υποδομή ξεχωριστά που να είναι βασισμένη στην εκτίμηση κινδύνου. Αυτό προϋποθέτει μεταξύ άλλων, την πλήρη καταγραφή και ορατότητα των στοιχείων (assets) της υποδομής, την τμηματοποίηση (segmentaion) του δικτύου σύμφωνα με τις αρχές του προτύπου IEC 62443, τον αυστηρό έλεγχο ταυτοτήτων και των δικαιωμάτων πρόσβασης, καθώς και την συνεχή παρακολούθηση της δικτυακής κίνησης με έμφαση στα βιομηχανικά πρωτόκολλα για την ανίχνευση ανωμαλιών στη συμπεριφορά της διεργασίας.
Η επόμενη μέρα
Οι οργανισμοί καλούνται να αντιμετωπίσουν βαθύτερες, πολυεπίπεδες και διαρθρωτικές προκλήσεις. Η ευθύνη για την ασφάλεια είναι συχνά κατανεμημένη μεταξύ των τμημάτων πληροφορικής, της κυβερνοασφάλειας και των διαφόρων τμημάτων μηχανικών, ηλεκτρολόγων και χειριστών σε μία βιομηχανική εγκατάσταση, χωρίς επαρκή συντονισμό. Παλαιά συστήματα εξακολουθούν να χρησιμοποιούνται, παρότι δεν είναι συμβατά με σύγχρονα μέτρα προστασίας. Παράλληλα, υπάρχει σημαντική έλλειψη εξειδικευμένων στελεχών που να κατανοούν τόσο την κυβερνοασφάλεια όσο και τη βιομηχανική λειτουργία. Κανονιστικά πλαίσια όπως το IEC 62443 και η οδηγία NIS2 ωθούν τους οργανισμούς προς υψηλότερο επίπεδο ωριμότητας, χωρίς όμως η συμμόρφωση από μόνη της να αρκεί για την εξασφάλιση ουσιαστικής κυβερνοανθεκτικότητας.
Τελικά, η κυβερνοασφάλεια στις υποδομές OT δεν αφορά μόνον την προστασία συστημάτων. Αφορά τη διασφάλιση της επιχειρησιακής συνέχειας, της δημόσιας ασφάλειας και της εμπιστοσύνης στις κρίσιμες υποδομές. Καθώς οι επιτιθέμενοι αποκτούν ολοένα μεγαλύτερες δυνατότητες και η ψηφιοποίηση της βιομηχανίας επιταχύνεται, οι οργανισμοί οφείλουν να εγκαταλείψουν τις αποσπασματικές και βραχυπρόθεσμες προσεγγίσεις και να υιοθετήσουν σύγχρονες στρατηγικές που ενισχύουν την ανθεκτικότητα, ώστε οι υποδομές που στηρίζουν τη σύγχρονη κοινωνία να παραμένουν ασφαλείς, αξιόπιστες και λειτουργικά διαθέσιμες.
