Γιατί οι κυπριακές μικρομεσαίες επιχειρήσεις αποτελούν μεγαλύτερο κυβερνοστόχο απ’ όσο νομίζουν

Περισσότερες από τις μισές επιχειρήσεις στην Κύπρο έπεσαν θύμα κυβερνοεπίθεσης ή παραβίασης δεδομένων μέσα στον τελευταίο χρόνο. Έρευνα που διεξήχθη για λογαριασμό της Αρχής Ψηφιακής Ασφάλειας μεταξύ Σεπτεμβρίου και Νοεμβρίου 2025, με συμμετοχή 459 εταιρειών, κατέγραψε ότι το 53% είχε αντιμετωπίσει σχετικό περιστατικό τους προηγούμενους δώδεκα μήνες, ποσοστό αυξημένο από 47% έναν χρόνο νωρίτερα. Κατά μέσο όρο, οι επιχειρήσεις δήλωσαν ότι δέχονταν επίθεση κάθε οκτώ ημέρες.

Ανάμεσα στις πληγείσες εταιρείες, το 51% υπέστη οικονομική ζημιά ύψους περίπου €12.000 κατά μέσο όρο, ενώ το phishing ευθυνόταν για το 44% των περιστατικών. Το πιο εντυπωσιακό στοιχείο, ωστόσο, αφορούσε όσες γλίτωσαν: το 48% πίστευε ότι δεν επλήγη επειδή η επιχείρησή του δεν αποτελούσε στόχο, έναντι 37% τον προηγούμενο χρόνο.

Πρόκειται για μια καθησυχαστική εξήγηση. Συγχέει, όμως, την καλή τύχη με την ασφάλεια.

Οι κυβερνοεπιθέσεις δεν είναι επιλεκτικές

Πολλοί επιχειρηματίες εξακολουθούν να φαντάζονται εγκληματίες που μελετούν την αγορά και επιλέγουν τη «μεγαλύτερη λεία», εταιρίες με μεγάλα έσοδα, για να κτυπήσουν. Αδιαμφισβήτητα υπάρχουν στοχευμένες επιθέσεις αλλά στην πραγματικότητα οι χάκερ είναι πολύ λιγότερο επιλεκτικοί από όσο νομίζουμε.

Αυτοματοποιημένα εργαλεία σαρώνουν χιλιάδες συστήματα αναζητώντας παρωχημένο λογισμικό, αδύναμους κωδικούς πρόσβασης και εκτεθειμένη απομακρυσμένη πρόσβαση. Οι εκστρατείες phishing φτάνουν σε τεράστιο αριθμό ανθρώπων με σχεδόν μηδενικό κόστος, και αρκεί ένα μικρό ποσοστό να «τσιμπήσει» για να αποδώσει η προσπάθεια. Δεν επιλέγουν χάκερ τα θύματα αλλά τα λογισμικά τους.

Η Marks & Spencer βίωσε στο πετσί της πόσο μακριά μπορεί να φτάσει η ζημιά. Η παραβίαση του Απριλίου 2025 ανέστειλε τις ηλεκτρονικές παραγγελίες για εβδομάδες, ανάγκασε το προσωπικό να επιστρέψει σε χειροκίνητες διαδικασίες και εξέθεσε δεδομένα πελατών. Στα αποτελέσματά της για το έτος που έληξε στις 28 Μαρτίου 2026, η αλυσίδα λιανικής κατέγραψε κόστος £131,3 εκατομμυρίων που συνδέεται άμεσα με την αποκατάσταση συστημάτων, τη διαχείριση κινδύνου και εξειδικευμένη συμβουλευτική.

Ένας ξενοδόχος στην Πάφο θα μπορούσε εύλογα να αναρωτηθεί τι σχέση έχει μαζί του μια βρετανική αλυσίδα λιανικής. Η κλίμακα είναι σίγουρα διαφορετική, όμως ο τρόπος με τον οποίο η ζημιά διαχέεται μέσα σε μια επιχείρηση είναι σχεδόν ο ίδιος.

Ένα ξενοδοχείο που χάνει την πρόσβαση στο σύστημα κρατήσεών του τον Αύγουστο, ένα λογιστικό γραφείο αποκομμένο από τους φακέλους πελατών λίγο πριν από προθεσμία υποβολής δηλώσεων, ένα κατάστημα λιανικής που αδυνατεί να επεξεργαστεί παραγγελίες, όλα μπορούν να βρεθούν σε σοβαρό πρόβλημα μέσα σε λίγες μόλις ημέρες.

Αυτό που είχε η M&S, και που δεν διαθέτουν οι περισσότερες μικρές επιχειρήσεις, ήταν αποθεματικά, εσωτερική ομάδα ασφάλειας και ένα σχέδιο διαχείρισης κρίσης που κάποιος είχε πράγματι δοκιμάσει στην πράξη.

Συνήθως ξεκινά μ’ ένα απλό email

Ένα περιστατικό σπάνια ξεκινά με κάτι που μοιάζει με έκτακτη ανάγκη.

Συχνότερα, ένας υπάλληλος ανοίγει ένα φαινομενικά συνηθισμένο μήνυμα ενώ προσπαθεί να προλάβει άλλα δέκα καθήκοντα. Το μήνυμα μπορεί να φαίνεται ότι προέρχεται από τη Microsoft, ζητώντας επιβεβαίωση κωδικού πρόσβασης, από έναν σταθερό προμηθευτή που ανακοινώνει νέα τραπεζικά στοιχεία, ή από τον διευθύνοντα σύμβουλο που χρειάζεται μια επείγουσα και εμπιστευτική πληρωμή πριν από το κλείσιμο της ημέρας.

Τα ονόματα είναι σωστά, ο τόνος οικείος, και συχνά το αίτημα αναφέρεται σε μια συναλλαγή που πράγματι υπάρχει. Σε μια τόσο πολυάσχολη στιγμή, ελάχιστοι θα υποψιαστούν ότι κάποιος διαβάζει τα εταιρικά e-mail εδώ και εβδομάδες. Η τεχνητή νοημοσύνη έχει οξύνει ακόμη περισσότερο το πρόβλημα: τα δόλια μηνύματα γράφονται πλέον πολύ πιο πειστικά απ’ ό,τι παλαιότερα, ενώ η κλωνοποίηση φωνής μπορεί να κάνει μια επείγουσα τηλεφωνική εντολή να ακούγεται σαν να προέρχεται από κάποιον που ο υπάλληλος γνωρίζει χρόνια.

Η εκπαίδευση του προσωπικού έχει σημασία, καμία στρατηγική όμως δεν πρέπει να βασίζεται αποκλειστικά στο να αναγνωρίζει κάθε εργαζόμενος κάθε ύποπτο μήνυμα, τη στιγμή που ο επιτιθέμενος χρειάζεται μόνο ένα λάθος από ένα άτομο.

Τα λύτρα σπάνια είναι το μεγαλύτερο κόστος

Οι πρώτες ώρες αφιερώνονται συνήθως στον περιορισμό της ζημιάς και όχι στη διερεύνηση της αιτίας της. Τα προσβεβλημένα μηχανήματα απομονώνονται, οι συνδέσεις δικτύου διακόπτονται, η απομακρυσμένη πρόσβαση απενεργοποιείται και οι κωδικοί πρόσβασης αλλάζουν — όλα αυτά προτού καν διαπιστωθεί πώς έγινε η διείσδυση, γιατί προτεραιότητα είναι να σταματήσει η εξάπλωσή της. Στην πράξη, η επιχείρηση θέτει η ίδια τον εαυτό της εκτός λειτουργίας, προσθέτοντας στην αναστάτωση που έχουν ήδη προκαλέσει οι επιτιθέμενοι.

Μόνο τότε μπορούν οι ειδικοί να αρχίσουν να διαπιστώνουν πώς εισέβαλαν οι εισβολείς και αν αντιγράφηκαν δεδομένα, ενώ παράλληλα τα συστήματα ανακατασκευάζονται και αποκαθίστανται. Οι δικηγόροι οφείλουν να συμβουλεύσουν για τις γνωστοποιήσεις, καθώς, σύμφωνα με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR), μια παραβίαση προσωπικών δεδομένων πρέπει να αναφέρεται στον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών — ένα χρονόμετρο που τρέχει ενώ η επιχείρηση ακόμη προσπαθεί να καταλάβει τι ακριβώς συνέβη.

Στο μεταξύ, οι μισθοί και τα πάγια έξοδα συνεχίζουν να τρέχουν, οι παραγγελίες χάνονται, οι πελάτες στρέφονται στον ανταγωνισμό, και η διοίκηση περνά εβδομάδες προσπαθώντας να ανακάμψει αντί να διοικεί την εταιρεία.

Τι κάνει στην πραγματικότητα η κυβερνοασφάλιση

Πολλοί τη θεωρούν απλώς μια αποζημίωση μετά από ένα περιστατικό. Η πιο πολύτιμη αξία της, όμως, είναι η άμεση πρόσβαση σε ειδικούς όταν η επιχείρηση δεν ξέρει καν από πού να ξεκινήσει. Ο ασφαλιστής φέρνει στο τραπέζι ειδικούς κυβερνοασφάλειας, ερευνητές ψηφιακής εγκληματολογίας, δικηγόρους, επαγγελματίες ανάκτησης δεδομένων και συμβούλους διαχείρισης κρίσεων επικοινωνίας.

Η κάλυψη κυβερνοασφάλισης συνήθως επεκτείνεται στη διακοπή εργασιών, την ενημέρωση πελατών, τις ρυθμιστικές έρευνες και τον κυβερνοεκβιασμό.

Η διατύπωση του συμβολαίου, ωστόσο, έχει τεράστια σημασία, γιατί δεν εμπίπτει κάθε ζημιά που αφορά υπολογιστή σε ένα ασφαλιστήριο κυβερνοασφάλισης. Αν ένας υπάλληλος εξαπατηθεί και μεταφέρει χρήματα σε δόλιο λογαριασμό, η ίδια η πληρωμή συνήθως απαιτεί ειδική κάλυψη απάτης ή κοινωνικής μηχανικής (social engineering), ενώ ένα τυπικό συμβόλαιο κυβερνοασφάλισης μπορεί να καλύψει τη διερεύνηση του παραβιασμένου λογαριασμού αλληλογραφίας χωρίς να αποζημιώσει ούτε ένα ευρώ από τα χρήματα που στάλθηκαν.

Η διάκριση αυτή μοιάζει τεχνική τη στιγμή της αγοράς, γίνεται όμως εξαιρετικά πρακτική τη στιγμή μιας απαίτησης. Ρωτήστε τι ακριβώς θα κάλυπτε το συμβόλαιο σε ένα πραγματικό περιστατικό. Αυτό μπορεί να περιλαμβάνει απώλεια εσόδων όσο τα συστήματα είναι εκτός λειτουργίας, προβλήματα σε πάροχο cloud, δικαστικά και νομικά έξοδα, αποκατάσταση δεδομένων και απάτη κοινωνικής μηχανικής. Ελέγξτε επίσης τα όρια κάλυψης, τις περιόδους αναμονής και τις απαλλαγές.

Η πρόληψη είναι κάτι παραπάνω από ασφάλιση

Η ασφάλιση δεν υποκαθιστά τα δοκιμασμένα αντίγραφα ασφαλείας, τον έλεγχο ταυτότητας δύο παραγόντων, την εκπαίδευση προσωπικού, τους ελέγχους πληρωμών ή ένα γραπτό σχέδιο αντιμετώπισης κρίσεων — και όλο και περισσότερο, την ίδια άποψη υιοθετούν πλέον και οι ίδιοι οι ασφαλιστές.

«Οι ασφαλιστές κάνουν σήμερα ερωτήσεις που δεν έκαναν πριν από τρία χρόνια: αν τα αντίγραφα ασφαλείας έχουν πράγματι δοκιμαστεί, αν είναι ενεργοποιημένος ο έλεγχος ταυτότητας δύο παραγόντων, αν κάποιος έχει καταγράψει ποιον πρέπει να καλέσει», δηλώνει ο Αντώνης Θεοφάνους, Διευθυντής της Pitsas Insurance. «Οι επιχειρήσεις που δεν μπορούν να απαντήσουν δυσκολεύονται όλο και περισσότερο να βρουν κάλυψη».

Οι αλλαγές τραπεζικών στοιχείων πρέπει να επιβεβαιώνονται τηλεφωνικά σε γνωστό αριθμό, ποτέ με απάντηση στο ίδιο το e-mail. Τα αντίγραφα ασφαλείας πρέπει να αποκαθίστανται δοκιμαστικά και όχι απλώς να θεωρείται ότι λειτουργούν, η πρόσβαση σε κρίσιμα συστήματα πρέπει να περιορίζεται μόνο σε όσους πραγματικά τη χρειάζονται, και κάποιος πρέπει ήδη να γνωρίζει ποιον θα καλέσει, και με ποια σειρά, το πρωί που θα συμβεί το περιστατικό.

Ακόμη και οι πιο καλά οργανωμένες επιχειρήσεις πέφτουν θύματα· σκοπός της προετοιμασίας δεν είναι να εξαλειφθεί κάθε κίνδυνος, αλλά να διασφαλιστεί ότι μια «κακή Δευτέρα» δεν θα απειλήσει την επιβίωση της επιχείρησης. Κάθε επιχειρηματίας πρέπει να μπορεί να απαντήσει σε τρία ερωτήματα: αν τα συστήματά μας ήταν εκτός λειτουργίας αύριο, πώς θα συνεχίζαμε να λειτουργούμε, ποιος θα διαχειριζόταν την απόκριση, και πώς θα πληρώναμε γι’ αυτήν;

Η Pitsas Insurance βοηθά τις κυπριακές επιχειρήσεις να αξιολογήσουν την έκθεσή τους σε κυβερνοκινδύνους και να συγκρίνουν κατάλληλες λύσεις κυβερνοασφάλισης στην Κύπρο ανάλογα με τις δραστηριότητές τους, τα συστήματά τους και το ατομικό προφίλ κινδύνου της κάθε επιχείρησης.

Το παρόν άρθρο παρέχεται για γενική ενημέρωση και δεν αποτελεί ασφαλιστική, νομική ή κανονιστική συμβουλή. Η κάλυψη διαφέρει ανάλογα με τον ασφαλιστή και τους όρους του συμβολαίου.