Συναγερμός για διαρροή δεδομένων 73.000 πολιτών στο Dark Web: Πώς παραβιάστηκε η πλατφόρμα

Σε πλήρη εξέλιξη βρίσκεται η έρευνα του Υφυπουργείου Καινοτομίας μετά τον εντοπισμό σοβαρής παραβίασης προσωπικών δεδομένων χιλιάδων Κυπρίων πολιτών. Η διαρροή, η οποία ήδη «διαφημίζεται» σε πλατφόρμες του Dark Web, αφορά αιτητές παλαιότερου σχεδίου επιχορήγησης συνδεσιμότητας που υλοποιήθηκε πριν από τρία χρόνια.
Σύμφωνα με τον Ανώτερο Λειτουργό του Υφυπουργείου, Ανδρόνικο Κάκκουρα, η παραβίαση δεν οφείλεται σε άμεση επίθεση (hacking) στις υποδομές του κράτους, αλλά στην υποκλοπή διαπιστευτηρίων (username και password) ενός εκ των εξουσιοδοτημένων χρηστών. Η πρόσβαση στην εν λόγω πλατφόρμα είχε δοθεί σε 13 διαφορετικούς παρόχους διαδικτύου για τη διαχείριση των κουπονιών των συνδρομητών τους.
Όπως εξήγησε ο κ. Κάκκουρας, η βάση δεδομένων παρέμενε ενεργή σε διακομιστή στη Γερμανία για λόγους συμμόρφωσης με τους κανονισμούς της Ευρωπαϊκής Επιτροπής, προκειμένου να είναι εφικτός ο έλεγχος του σχεδίου από τα αρμόδια ευρωπαϊκά όργανα. Αυτό το «ανοικτό παράθυρο» εκμεταλλεύτηκε ο δράστης, καταφέρνοντας να αποκτήσει πρόσβαση σε έναν τεράστιο όγκο πληροφοριών.
Ποια στοιχεία εκτέθηκαν
Η λίστα που κυκλοφορεί στο διαδίκτυο περιλαμβάνει ευαίσθητα προσωπικά στοιχεία περίπου 73.000 πολιτών. Συγκεκριμένα, έχουν διαρρεύσει:
- Ονοματεπώνυμα
- Αριθμούς ταυτότητας
- Διευθύνσεις κατοικίας και ταχυδρομικοί κώδικες
- Αριθμοί τηλεφώνου και e-mail (σε ορισμένες περιπτώσεις)
Ήδη έχει δημοσιευθεί δείγμα 30 ονομάτων ως «πειστήριο» για την κατοχή της πλήρους λίστας, με τον δράστη να αναζητά ενδιαφερόμενους αγοραστές για το σύνολο των δεδομένων.
Ενημέρωση των επηρεαζόμενων και επόμενα βήματα
Το Υφυπουργείο έχει ήδη προβεί σε καταγγελία στο Γραφείο της Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ενώ ξεκινά η διαδικασία ατομικής ενημέρωσης των πολιτών των οποίων τα στοιχεία έχουν εκτεθεί. Οι αρχές συστήνουν ιδιαίτερη προσοχή στους πολίτες, καθώς η κατοχή αυτών των στοιχείων από τρίτους μπορεί να οδηγήσει σε στοχευμένες απόπειρες εξαπάτησης (phishing) μέσω μηνυμάτων ή τηλεφωνημάτων.
Σημειώνεται πως το συγκεκριμένο σύστημα βρισκόταν εκτός του κεντρικού κυβερνητικού κόμβου ασφαλείας, γεγονός που αναδεικνύει τις προκλήσεις προστασίας δεδομένων όταν αυτά φιλοξενούνται σε εξωτερικές πλατφόρμες.