Cyber Risk στη ναυτιλία: Πραγματικός κίνδυνος ή ένας ακόμα μύθος;

Από τότε που η ναυτιλία πέρασε στην ψηφιακή εποχή, έχει πληγεί από πολλά cyber attacks. Αυτές οι επιθέσεις αποτελούν πραγματικό γεγονός, με τα νούμερα να αυξάνονται όλο και περισσότερο. Βέβαια, η καταγραφή του πραγματικού αριθμού των cyber attacks είναι πολύ δύσκολη, είτε λόγω της συγκάλυψης τέτοιων επιθέσεων από τις παθούσες εταιρείες για λόγους προστασίας της φήμης τους είτε λόγω άγνοιας ότι πραγματικά έχουν δεχτεί τέτοιου είδους επίθεση.

Οι περισσότεροι άνθρωποι, μπροστά στον όρο cyber risk, αυθόρμητα οδηγούνται στους ακόλουθους συνειρμούς σκέψεων: ότι πρόκειται για κάτι τεχνολογικά πολύπλοκο, ότι είναι αντικείμενο σεναριογράφων ταινιών επιστημονικής φαντασίας ή ότι απλώς αποτελεί πρόβλημα άλλων. Όλες οι παραπάνω εκδοχές οδηγούν στο ίδιο κοινό συμπέρασμα: ότι δηλαδή ναι, πρόκειται για κάτι πολύ σύνθετο τεχνολογικά, που αγγίζει κατ’ αποκλειστικότητα τον χώρο της πληροφορικής ή το τμήμα πληροφοριακών συστημάτων (ΙΤ) της εταιρείας.

Αξίζει να παραθέσουμε μερικά από τα πιο χαρακτηριστικά παραδείγματα cyber attacks που έλαβαν χώρο στον κόσμο της ναυτιλίας.

Επίθεση κακόβουλου λογισμικού (malware)

Το πιο χαρακτηριστικό παράδειγμα αποτελεί η επίθεση που δέχτηκε η A.P. Moller-Maersk τον Ιούνιο του 2017. Η επίθεση προκλήθηκε από την εισβολή κακόβουλου λογισμικού (malware) στα πληροφοριακά συστήματα της εταιρείας, προκαλώντας σημαντικές λειτουργικές δυσκολίες σε πολλά πλοία, καθώς και την παύση λειτουργίας 76 τερματικών σταθμών, επηρεάζοντας τη διακίνηση χιλιάδων containers. Αν και η αποκατάσταση της λειτουργίας και η εξάλειψη του κινδύνου ήταν ταχύτατες για τα δεδομένα, σύμφωνα με την εταιρεία οι συνέπειες της επίθεσης προκάλεσαν ζημιές ύψους 300 εκατ. ευρώ. Όλα προήλθαν από την απλή απάντηση ενός κακόβουλου email από υπάλληλο της εταιρείας στην Ουκρανία.

Ατελείωτη χειραγώγηση πληροφοριών

Στα τέλη του 2018, οι Αρχές του Βελγίου αποκάλυψαν πως ο σταθμός εμπορευματοκιβωτίων της Αμβέρσας είχε δεχτεί cyber attack από λαθρεμπόρους. Ο σταθμός βρισκόταν κάτω από επίθεση από τις αρχές του 2011, δηλαδή για περισσότερα από δύο χρόνια. Οι εισβολείς απέκτησαν πρόσβαση στα λειτουργικά σύστημα του σταθμού, δίνοντας εντολές για την απελευθέρωση containers σε δικά τους φορτηγά και αποφεύγοντας τους τυπικούς ελέγχους των τελωνείων. Μόλις η εντολή εκτελούνταν, τα στοιχεία διαγράφονταν από τους εισβολείς χωρίς να αφήσουν ίχνη. Αυτό είχε ως αποτέλεσμα τη διακίνηση λαθραίων φορτίων. Η αστυνομία, σε σχετικό έλεγχο που διεξήγαγε μετά την αναγνώριση της επίθεσης, βρήκε σε ένα container μεγάλη ποσότητα ναρκωτικών, όπλα και μεγάλα ποσά μετρητών. Παραμένει άγνωστο πόσα containers κατάφεραν οι εισβολείς να διακινήσουν λαθραία.

Έλεγχος πλοήγησης από χάκερ

To Πανεπιστήμιο του Τέξας οργάνωσε ένα cyber attack σε mega-yacht αξίας $80 εκατ., με εγκατεστημένα σύγχρονα ψηφιακά συστήματα και άρτια εκπαιδευμένο πλήρωμα. Η επίθεση είχε, φυσικά, χαρακτήρα άσκησης σε συνεννόηση με την πλοιοκτήτρια εταιρεία, χωρίς να ενημερωθεί το πλήρωμα, πλην του πλοιάρχου. Με εξοπλισμό μόλις $3.000, οι «εισβολείς» κατάφεραν να παρέμβουν στις κεραίες GPS, στέλνοντας δικά τους στίγματα, και με αυτόν τον τρόπο απέκτησαν τον πλήρη έλεγχο της πλοήγησης. Το αποτέλεσμα ήταν να καταφέρουν να αλλάξουν την πορεία του yacht χωρίς να το αντιληφθεί το πλήρωμα, καθώς τα συστήματα πλοήγησης δεν έδειχναν καμία παρέκκλιση από τη σχεδιασμένη πορεία.

Ο πλοίαρχος, μετά τη λήξη της άσκησης, δήλωσε μεταξύ άλλων: «Οι εισβολείς είχαν προβεί σε μια σειρά παραβάσεων στα συστήματα πλοήγησης. Κανένας από το πλήρωμα που βρισκόταν σε υπηρεσία γέφυρας δεν μπόρεσε να το αντιληφθεί».

Τα παραπάνω παραδείγματα αποδεικνύουν το εύρος και την ποικιλομορφία των επιθέσεων, ενώ η άγνοια και η δυσκολία αναγνώρισης των κινδύνων που εγκυμονεί η χρήση της τεχνολογίας καθιστούν τη ναυτιλιακή βιομηχανία ιδιαίτερα ευάλωτη σε τέτοιου είδους επιθέσεις. Όπως στα περισσότερα προαναφερθέντα παραδείγματα, είναι πολλές οι περιπτώσεις όπου η εταιρεία ή το πλοίο είχε δεχτεί cyber attack χωρίς να το αντιληφθεί κανείς για μεγάλο χρονικό διάστημα, ενώ είναι εξίσου δύσκολο να προσδιοριστεί με ακρίβεια πότε το cyber attack έλαβε τέλος. Τα cyber attacks διαφέρουν θεμελιωδώς από όλους τους άλλους έως τώρα γνωστούς κινδύνους. Μια φωτιά, για παράδειγμα, είναι σχετικά εύκολο να προσδιοριστεί πότε ξεκίνησε και πότε έλαβε τέλος, ενώ ο αντίστοιχος προσδιορισμός για ένα cyber attack είναι σύνθετος.

Το 2017, ο ΙΜΟ εισήγαγε ένα ψήφισμα, καθιερώνοντας το Maritime Cyber Risk Management στο Safety Management System (SMS) της εταιρείας. Το ψήφισμα προβλέπει πως ένα εγκεκριμένο SMS θα πρέπει να έχει προβλέψεις για Cyber Risk Management, σύμφωνα με τους στόχους και τις απαιτήσεις του κώδικα ISM. Η BIMCO έχει επίσης εκδώσει ένα εγχειρίδιο με κατευθυντήριες γραμμές αναφορικά με τα μέτρα προστασίας κατά των cyber attacks στα πλοία.

Όπως και με όλους τους τομείς ασφάλειας, η απλή συμμόρφωση με το νομοθετικό πλαίσιο δεν επαρκεί για να αποφευχθεί ο κίνδυνος. Η ένταξη του Cyber Risks Management στο «Safety Culture» μιας εταιρείας είναι επιτακτική. Η εισαγωγή της ναυτιλιακής βιομηχανίας στην ψηφιακή εποχή προχωρά με ταχύτατους ρυθμούς. Είναι ευχή όλων να ληφθούν άμεσα τα κατάλληλα μέτρα προστασίας εντός και πέραν των κανονισμών ασφαλείας από τους κινδύνους που συνεπάγεται η νέα εποχή, προκειμένου να μην έχουμε καμία επανάληψη «Τιτανικού»/SOLAS.

Απόσπασμα από το άρθρο του Βασίλειου Κακαμούκα με τίτλο «Cyber Risk στη ναυτιλία: Πραγματικός κίνδυνος ή ένας ακόμα μύθος;», Ναυτικά Χρονικά, Οκτώβριος 2019

Πηγή  https://www.isalos.net/2019/11/cyber-risk-sti-naftilia-pragmatikos-kindynos-i-enas-akoma-mythos/