- Η απόφαση 14/2026 της ΑΠΔΠΧ αποκαλύπτει ανεπαρκή εκπαίδευση διαχειριστών, αδύναμη αυθεντικοποίηση και προβληματική απομόνωση του δικτύου – Οι 108.000 ατομικές ειδοποιήσεις εστάλησαν μόνο μετά την παρέμβαση της ΑΠΔΠΧ
Μια κυβερνοεπίθεση δεν αποτελεί αυτομάτως απόδειξη παρανομίας. Αυτό είναι το νομικά ορθό σημείο εκκίνησης της απόφασης 14/2026 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την επίθεση ransomware που δέχθηκε το Ελληνικό Ανοικτό Πανεπιστήμιο.
Όσα ακολουθούν στην ίδια απόφαση, όμως, δημιουργούν πολύ σοβαρότερα ερωτήματα, που ενδεχομένως χρήζουν άμεσης εισαγγελικής διερεύνησης: ανεπαρκής εκπαίδευση χρηστών με δικαιώματα διαχείρισης, ανάγκη βελτίωσης της αυθεντικοποίησης, εσωτερικό δίκτυο που δεν κατάφερε να περιορίσει τη διάδοση του κακόβουλου λογισμικού, πιθανή διαρροή 813 GB και ενημέρωση περίπου 108.000 ατόμων, μόνο μετά από ρητή εντολή της Αρχής.
Παρά τα ευρήματα αυτά, η ΑΠΔΠΧ δεν επέβαλε ούτε διοικητικό πρόστιμο ούτε καν επίπληξη. Περιορίστηκε να διατάξει το ΕΑΠ να εκπαιδεύσει στοχευμένα τους διαχειριστές του και να ολοκληρώσει, μέσα σε έξι μήνες, μέτρα ασφαλείας που το ίδιο κατά τα λεγόμενά του είχε ήδη προγραμματίσει.
Από τις 30.000 στις 108.000 πιθανώς επηρεαζόμενες εγγραφές
Η επίθεση εντοπίστηκε στις 25 Οκτωβρίου 2024 και αποδόθηκε στην ομάδα κυβερνοεκβιασμού RansomHub. Το κακόβουλο λογισμικό απέκτησε μη εξουσιοδοτημένη πρόσβαση στην κύρια υποδομή πληροφορικής και στην υποδομή αντιγράφων ασφαλείας, κρυπτογραφώντας συστήματα και προκαλώντας εκτεταμένες δυσλειτουργίες
.
Το ΕΑΠ γνωστοποίησε εμπρόθεσμα το περιστατικό στην Αρχή. Αρχικά έκανε λόγο για περίπου 30.000 επηρεαζόμενα πρόσωπα, όπως φοιτητές, αποφοίτους, καθηγητές, διοικητικούς υπαλλήλους και προμηθευτές.
Η Αρχή ζήτησε στις 26 Νοεμβρίου 2024 συμπληρωματικά στοιχεία για τη φύση και την έκταση της παραβίασης, τα μέτρα ασφαλείας και την ενημέρωση των υποκειμένων. Το Πανεπιστήμιο δεν ανταποκρίθηκε και χρειάστηκε δεύτερο έγγραφο της Αρχής, στις 7 Φεβρουαρίου 2025. Μόλις τότε, στις 14 Φεβρουαρίου, το ΕΑΠ ανέφερε ότι φερόταν να έχει αναρτηθεί στο σκοτεινό διαδίκτυο αρχείο 813 GB, χωρίς να έχει καταστεί δυνατή η πλήρης εξέταση του περιεχομένου του.
Ακόμη και τότε, το Πανεπιστήμιο δεν είχε προχωρήσει σε ειδική ατομική ενημέρωση. Υποστήριξε ότι έπρεπε προηγουμένως να εξακριβωθεί ποια ακριβώς πρόσωπα περιλαμβάνονταν στο αρχείο.
Η ΑΠΔΠΧ απέρριψε αυτή την προσέγγιση. Στις 6 Μαρτίου 2025 διέταξε το ΕΑΠ να ενημερώσει αμελλητί όλα τα πρόσωπα των οποίων τα δεδομένα ενδέχεται να είχαν επηρεαστεί. Έκρινε ότι μια απλή ανακοίνωση στην ιστοσελίδα δεν ήταν επαρκής, ιδίως όταν μεταξύ των πιθανώς εκτεθειμένων στοιχείων βρίσκονταν δεδομένα ταυτότητας και οικονομικών συναλλαγών.
Η αναλυτική δημόσια ανακοίνωση αναρτήθηκε στις 28 Μαρτίου. Σύμφωνα με όσα υποστήριξε αργότερα το ΕΑΠ, έως τις 13 Απριλίου εστάλησαν μηνύματα σε περίπου 108.000 ιδρυματικούς λογαριασμούς.
Με άλλα λόγια, η άμεση ενημέρωση των πιθανών θυμάτων πραγματοποιήθηκε περίπου πέντε μήνες μετά την επίθεση και αφού προηγουμένως παρενέβη η εποπτική αρχή.
Η προσπάθεια να παρουσιαστούν τα 813 GB ως «περιορισμένη» διαρροή
Ιδιαίτερο ενδιαφέρον παρουσιάζει η γλώσσα που χρησιμοποίησε το ΕΑΠ στην ανακοίνωσή του. Χαρακτήρισε τη διαρροή 813 GB «περιορισμένη», επειδή αποτελούσε μικρό ποσοστό των πολλών terabytes που διατηρούσε συνολικά το Ίδρυμα. Επισήμανε επίσης ότι η πρόσβαση στο σκοτεινό διαδίκτυο απαιτεί εξειδικευμένες γνώσεις.
Η σύγκριση αυτή είναι επικοινωνιακά βολική, αλλά ουσιαστικά παραπλανητική. Ο κίνδυνος για έναν πολίτη δεν κρίνεται από το ποσοστό που καταλαμβάνουν τα δεδομένα του στον συνολικό αποθηκευτικό χώρο ενός Πανεπιστημίου.
Το ίδιο το ΕΑΠ παραδέχθηκε ότι μεταξύ των κατηγοριών που ενδέχεται να είχαν εκτεθεί βρίσκονταν ΑΦΜ, ΑΜΚΑ, αριθμοί ταυτότητας, φυσικές υπογραφές, φωτογραφίες, διευθύνσεις, τηλέφωνα, ηλεκτρονική αλληλογραφία, βαθμολογίες, δεδομένα υγείας, IBAN και οικονομικά στοιχεία.
Η συγκέντρωση τέτοιων δεδομένων δημιουργεί δυνατότητες υποκλοπής ταυτότητας, πλαστογραφίας, στοχευμένου ηλεκτρονικού «ψαρέματος» και οικονομικής εξαπάτησης. Το γεγονός ότι η πλήρης λήψη του αρχείου μπορεί να απαιτούσε τεχνικές γνώσεις δεν εξαφανίζει τον κίνδυνο. Οι εγκληματικές ομάδες που εμπορεύονται κλεμμένα δεδομένα διαθέτουν ακριβώς αυτές τις γνώσεις.
Οι αδυναμίες δεν ήταν μόνο ένα «ανθρώπινο λάθος»
Η απόφαση δεν αποδίδει την επίθεση αποκλειστικά στην τεχνική υπεροχή των δραστών. Καταγράφει ότι η διάδοση του κακόβουλου λογισμικού κατέστη δυνατή εξαιτίας ανθρώπινου λάθους που θα μπορούσε να είχε αποφευχθεί με περισσότερο στοχευμένη εκπαίδευση και με καλύτερα μέτρα αυθεντικοποίησης για τους χρήστες που διέθεταν δικαιώματα διαχείρισης.
Καταγράφει επίσης ότι το κακόβουλο λογισμικό μπόρεσε να σαρώσει το δίκτυο και να εκμεταλλευθεί κενά ασφαλείας. Η διαμόρφωση του εσωτερικού δικτύου δεν λειτούργησε αποτελεσματικά, ώστε να περιορίσει την παρείσφρηση και τη διάδοση.
Η ίδια η Αρχή θεωρεί ότι η ανεπαρκής απομόνωση του δικτύου αποδεικνύεται και από το γεγονός ότι, μετά την επίθεση, το ΕΑΠ αποφάσισε να επαναξιολογήσει και να ανασχεδιάσει την αρχιτεκτονική του.
Επομένως, δεν έχουμε απλώς μια ατυχία που θα μπορούσε να συμβεί ακόμη και στον καλύτερα προστατευμένο οργανισμό. Έχουμε συγκεκριμένες αδυναμίες σε τρία κρίσιμα επίπεδα, όπως ανθρώπινο παράγοντα, αυθεντικοποίηση προνομιούχων χρηστών και διαχωρισμό του εσωτερικού δικτύου.
Γιατί δεν επιβλήθηκε πρόστιμο ούτε ένα ευρώ;
Η ΑΠΔΠΧ επικαλείται μεν ορθά τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης στην υπόθεση C-340/21, ότι δηλαδή η ασφάλεια του άρθρου 32 του ΓΚΠΔ συνιστά υποχρέωση λήψης κατάλληλων μέσων και όχι εγγύηση ότι καμία επίθεση δεν θα πετύχει ποτέ, πλην όμως δεν προβαίνει στην δέουσα ορθή υπαγωγή των πραγματικών περιστατικών που η ίδια δέχθηκε πως υπήρξαν.
Η ίδια απόφαση, άλλωστε, εξηγεί ότι μπορεί να επιβληθεί κύρωση, όταν η παραβίαση διευκολύνθηκε από ανεπαρκή μέτρα ασφαλείας. Αμέσως μετά, η Αρχή διαπιστώνει ακριβώς τέτοιες αδυναμίες στο ΕΑΠ, χωρίς να τις αξιολογεί περαιτέρω.
Παρά ταύτα, καταλήγει μόνο σε εντολή συμμόρφωσης, χωρίς να επιβάλει καμία κύρωση, πράγμα τουλάχιστον ασυνήθιστο. Ως ελαφρυντικά συνεκτιμά τις μεταγενέστερες διορθωτικές ενέργειες και το κόστος τους. Η αιτιολογία αυτή δεν είναι απολύτως πειστική. Η αποκατάσταση μετά το συμβάν οφείλει ασφαλώς να λαμβάνεται υπόψη, δεν μπορεί όμως να εξαφανίζει την αξιολόγηση όσων δεν είχαν γίνει πριν από την επίθεση.
Ακόμη πιο προβληματική είναι η αντιμετώπιση της ενημέρωσης των πολιτών. Η Αρχή αναγνωρίζει ότι η ουσιαστική ανακοίνωση πραγματοποιήθηκε κατόπιν δικής της εντολής, αλλά δηλώνει ότι δεν εξετάζει πλέον τυχόν παράβαση του άρθρου 34, επειδή το θέμα είχε ήδη αποτελέσει αντικείμενο προηγούμενης πράξης της. Έτσι, μια ενημέρωση που έγινε μήνες μετά το περιστατικό και μόνο ύστερα από θεσμική παρέμβαση καταλήγει πρακτικά χωρίς αυτοτελή κύρωση.
Η επιλογή αυτή εμφανίζεται ιδιαίτερα ήπια και προβληματική, αν συγκριθεί με άλλες υποθέσεις, στις οποίες η ΑΠΔΠΧ έχει επιβάλει πρόστιμα, ακόμη και σε απλούς ιδιώτες, ή επιπλήξεις για ανεπαρκή μέτρα ασφαλείας, καθυστερημένη γνωστοποίηση ή μη έγκαιρη ενημέρωση των υποκειμένων.
Έγκυροι νομικοί κύκλοι σημειώνουν πως μία εις βάθος έρευνα στη Νομολογία της Αρχής, δημοσιευμένη ή μη, θα μπορούσε να καταλήξει σε ένα συμπέρασμα ότι η ΑΠΔΠΧ εμφανίζεται ενίοτε ιδιαίτερα επιεικής, στα όρια της παραβίασης του ρυθμιστικού πλαισίου, απέναντι σε συγκεκριμένα νομικά πρόσωπα, όπως είχε συμβεί και με καταγγελία που αφορούσε την Ελληνική Αναπτυξιακή Τράπεζα (ΕΑΠ).
Ζήτημα θεσμικής αμεροληψίας;
Στη σύνθεση που εξέτασε την υπόθεση συμμετείχε ως τακτικό μέλος ο Καθηγητής Χαράλαμπος Ανθόπουλος. Η ίδια η επίσημη ιστοσελίδα της ΑΠΔΠΧ τον παρουσιάζει ως Καθηγητή Δικαίου και Διοίκησης του Ελληνικού Ανοικτού Πανεπιστημίου.
Η σύνθεση της Αρχής αποτελείτο από τον Αναπληρωτή Πρόεδρο Γεώργιο Μπατζαλέξη, τα τακτικά μέλη, Σπυρίδωνα Βλαχόπουλο, Κωνσταντίνο Λαμπρινουδάκη, Χαράλαμπο Ανθόπουλο, Χρήστο Καλλονιάτη και Κατερίνα Ηλιάδου, καθώς και τα αναπληρωματικά μέλη, Δημοσθένη Βουγιούκα, ως εισηγητής, και Μαρία Ψάλλα, αντικαθιστώντας το τακτικό μέλος Γρηγόρη Τσόλια, ο οποίος αν και εκλήθη νομίμως εγγράφως, δεν παρέστη λόγω κωλύματος. Παρόντες, με εντολή του Αν. Προέδρου, χωρίς δικαίωμα ψήφου, ήταν και η Γεωργία Παναγοπούλου και ο Ιωάννης Λυκοτραφίτης, ειδικοί επιστήμονες-πληροφορικοί, ως βοηθοί εισηγητή.
Από το δημοσιευμένο κείμενο της απόφασης δεν προκύπτει δήλωση αποχής ή οποιαδήποτε ειδική αναφορά στο ζήτημα αυτεπαγγέλτως.
Η πανεπιστημιακή ιδιότητα, από μόνη της, δεν αποδεικνύει μεροληψία ούτε σημαίνει αυτομάτως ότι αλλοιώθηκε η κρίση της Αρχής. Δημιουργεί, όμως, ένα εύλογο θεσμικό ερώτημα. Το άρθρο 7 του Κώδικα Διοικητικής Διαδικασίας απαιτεί από τα συλλογικά διοικητικά όργανα εγγυήσεις αμερόληπτης κρίσης και προβλέπει αποχή όταν υπάρχει ιδιαίτερος δεσμός ή ιδιάζουσα σχέση με ενδιαφερόμενο.
Σε μια υπόθεση που αφορά ευθέως τον φορέα στον οποίο υπηρετεί μέλος της εποπτικής αρχής, η διαφάνεια απαιτούσε τουλάχιστον ρητή διευκρίνιση για το αν εξετάστηκε λόγος αποχής και γιατί κρίθηκε ότι δεν συνέτρεχε.
Το πραγματικό μήνυμα της απόφασης
Η ΑΠΔΠΧ δεν «αθώωσε» το ΕΑΠ. Κατέγραψε συγκεκριμένες οργανωτικές και τεχνικές ανεπάρκειες και το υποχρέωσε να τις διορθώσει. Η επιλογή της, όμως, να μην επιβάλει ούτε πρόστιμο ούτε επίπληξη αποδυναμώνει το αποτρεπτικό μήνυμα της απόφασης.
Οι δημόσιοι φορείς που συγκεντρώνουν τεράστιους όγκους ευαίσθητων προσωπικών δεδομένων δεν αρκεί να αγοράζουν λογισμικό ασφαλείας. Οφείλουν να εκπαιδεύουν αποτελεσματικά τους διαχειριστές, να περιορίζουν τα προνομιακά δικαιώματα, να απομονώνουν κρίσιμα τμήματα του δικτύου και, όταν αποτύχουν, να ενημερώνουν αμέσως όσα υποκείμενα κινδυνεύουν.
Η πλήρης λογοδοσία προϋποθέτει πλέον δύο πράγματα, αφενός να αποδείξει το ΕΑΠ ότι ολοκλήρωσε εμπρόθεσμα όλα τα μέτρα που διατάχθηκαν, αφετέρου να εξηγήσει η ΑΠΔΠΧ γιατί μια υπόθεση με διαρροή 813 GB, δεκάδες χιλιάδες θύματα και αναγνωρισμένες αδυναμίες ασφαλείας άξιζε μόνο μία εντολή συμμόρφωσης, χωρίς καμία απολύτως κύρωση. Στο ίδιο πλαίσιο, η Αρχή καλείται να δημοσιοποιήσει όλες τις υποθέσεις που έχει χειριστεί και για τις οποίες, είτε έκρινε πως πρέπει να αρχειοθετηθούν, με απόφαση μονομελούς οργάνου, είτε αποφάνθηκε πως δεν συνέτρεχε περίπτωση επιβολής κυρώσεων, παρά τη διαπίστωση παραβίασης του GDPR2016 και του Ν. 4624/2019.
0 Σχόλια
Αφήστε ένα σχόλιο