Μαζική διαρροή 16 δισεκατομμυρίων κωδικών

 

Μαζική διαρροή 16 δισεκατομμυρίων κωδικών: Σήμα κινδύνου και για τους Δήμους

22 Ιουνίου 2025

Η τεράστια διαρροή άνω των 16 δισεκατομμυρίων κωδικών πρόσβασης που αποκαλύφθηκε στις 20 Ιουνίου 2025, προκαλεί έντονη ανησυχία παγκοσμίως. Οι κωδικοί σχετίζονται με κορυφαίες διαδικτυακές πλατφόρμες, όπως Apple, Facebook και Google, αλλά και με χιλιάδες άλλες ψηφιακές υπηρεσίες. Αν και πρόκειται σε μεγάλο βαθμό για συγκέντρωση από παλιότερες διαρροές (data breaches), η μαζική συγκέντρωσή τους σε ένα σημείο και η επανακυκλοφορία τους στο σκοτεινό διαδίκτυο (dark web) θέτει σε κίνδυνο εκατομμύρια ενεργούς λογαριασμούς.

Η υπόθεση αποκαλύφθηκε από ερευνητές κυβερνοασφάλειας, όταν εντόπισαν έναν αρχείο τύπου .txt μεγέθους άνω των 100GB που κυκλοφορούσε σε forum hackers, το οποίο περιείχε 16 δισεκατομμύρια μοναδικά ζεύγη username και password. Το αρχείο φέρει την κωδική ονομασία “rockyou2024” και θεωρείται ένα από τα μεγαλύτερα “password leaks” στην ιστορία του διαδικτύου.

Οι πληροφορίες προήλθαν από συνδυασμό παλαιότερων παραβιάσεων (LinkedIn, Dropbox, Adobe, Twitter, κ.ά.), αλλά και νέων δεδομένων που είχαν υποκλαπεί τα τελευταία χρόνια και συνδυάστηκαν σε αυτή τη βάση. Αυτό που καθιστά την υπόθεση ιδιαίτερα επικίνδυνη είναι ότι πολλοί χρήστες συνεχίζουν να χρησιμοποιούν τους ίδιους κωδικούς ακόμα και σε διαφορετικές πλατφόρμες.

Ποιος τα χρησιμοποιεί και γιατί
Οι κλεμμένοι κωδικοί κυκλοφορούν σε “combo lists” που χρησιμοποιούνται από:
• εγκληματίες του κυβερνοχώρου, για επιθέσεις credential stuffing – δηλαδή μαζική δοκιμή των ίδιων κωδικών σε πολλές ιστοσελίδες.
• bots που επιχειρούν είσοδο σε συστήματα email, cloud, CRM, αρχεία πολιτών κ.ά.
• κυβερνοεκβιαστές, που επιχειρούν να παραβιάσουν ευαίσθητους λογαριασμούς και να ζητήσουν λύτρα.
• κρατικές υπηρεσίες τρίτων χωρών ή ομάδες κατασκοπείας, που αξιοποιούν τέτοια δεδομένα για κυβερνοεπιχειρήσεις.

Πολλοί κωδικοί από τη λίστα φαίνεται να είναι ακόμη ενεργοί, ενώ εντοπίστηκαν και χιλιάδες email με κατάληξη .gov, .edu, αλλά και προσωπικά emails στελεχών δημόσιων οργανισμών.

Οι Δήμοι στο επίκεντρο της ψηφιακής ασφάλειας
Τα τελευταία χρόνια οι Δήμοι ψηφιοποιούν συνεχώς υπηρεσίες: από ηλεκτρονικά πιστοποιητικά και αιτήσεις μέχρι πλατφόρμες συμμετοχικότητας, διαβούλευσης, ηλεκτρονικών πληρωμών και δημοτολογίου. Η αυξανόμενη χρήση ψηφιακών υποδομών δημιουργεί μια τεράστια ευθύνη για την ασφάλεια των προσωπικών δεδομένων και την κυβερνοπροστασία.

Η διαρροή μαζικών κωδικών δεν αφορά μόνο ιδιώτες. Οι λογαριασμοί Google ή Microsoft που χρησιμοποιούνται από υπαλλήλους ή αιρετούς, ενδέχεται να σχετίζονται με υπηρεσιακές αλληλογραφίες, cloud αποθηκεύσεις, πλατφόρμες αναφορών και εφαρμογές smart cities.

Νομικές υποχρεώσεις Δήμων – GDPR και Εθνικό Πλαίσιο
Οι ΟΤΑ αποτελούν υπεύθυνους επεξεργασίας δεδομένων και δεσμεύονται από τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR). Πιο συγκεκριμένα:
• Οφείλουν να διασφαλίζουν ότι τα πληροφοριακά τους συστήματα προστατεύονται από παραβιάσεις.
• Πρέπει να έχουν υπεύθυνο προστασίας δεδομένων (DPO).
• Πρέπει να λαμβάνουν τεχνικά και οργανωτικά μέτρα ασφαλείας, όπως:
o Διπλός έλεγχος ταυτότητας (2FA)
o Ανανέωση κωδικών με πολιτική ισχυρών password
o Τακτικά penetration tests
o Εσωτερικές πολιτικές για περιορισμό πρόσβασης ανά ρόλο

Επιπλέον, οι Δήμοι που εντάσσονται στο Εθνικό Πλαίσιο Ψηφιακής Κυβέρνησης υποχρεούνται να εφαρμόζουν πολιτικές κυβερνοασφάλειας σύμφωνα με τις οδηγίες του Υπουργείου Ψηφιακής Διακυβέρνησης και της ΕΔΥΤΕ (GRNET).

Οι συνέπειες μιας παραβίασης για την Τοπική Αυτοδιοίκηση
Η διαρροή στοιχείων πολιτών ή υπαλλήλων μπορεί να έχει:
• Νομικές συνέπειες: πρόστιμα από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
• Πολιτικό κόστος: απώλεια εμπιστοσύνης από τους πολίτες.
• Διοικητικές δυσλειτουργίες: μπλοκάρισμα συστημάτων, απώλεια εγγράφων, παραποίηση στοιχείων.
• Οικονομικές επιπτώσεις: κόστος αποκατάστασης και αναβάθμισης συστημάτων, αποζημιώσεις.

Τι πρέπει να κάνουν άμεσα οι Δήμοι

1. Έλεγχος κωδικών: Αλλαγή όλων των κωδικών που σχετίζονται με υπηρεσίες email, cloud, βάσεις δεδομένων, CMS.
2. Ενεργοποίηση 2FA σε όλες τις ψηφιακές πλατφόρμες.
3. Εκπαίδευση προσωπικού για αναγνώριση phishing και σωστή χρήση εργαλείων.
4. Πλάνο αντιμετώπισης κυβερνοεπιθέσεων – σχέδιο κρίσης σε περίπτωση διαρροής.
5. Συνεργασία με εξωτερικούς ειδικούς, όπου χρειάζεται, για ελέγχους ασφάλειας.
6. Προμήθεια λογισμικών και υπηρεσιών κυβερνοασφάλειας με χρήση χρηματοδοτικών εργαλείων (π.χ. ΤΑ, ΕΣΠΑ, «Ψηφιακός Μετασχηματισμός ΟΤΑ»).
   
   

Προνοητικότητα αντί για αντίδραση
Η μαζική διαρροή κωδικών αποδεικνύει ότι η ψηφιακή ασφάλεια δεν είναι θέμα τεχνικό αλλά στρατηγικό. Οι Δήμοι δεν πρέπει να περιμένουν το πρώτο σοβαρό περιστατικό για να κινητοποιηθούν. Αντίθετα, οφείλουν να χτίσουν εμπιστοσύνη στην ψηφιακή τους παρουσία, να επενδύσουν στην πρόληψη και να αποκτήσουν κουλτούρα ψηφιακής ωριμότητας.

Η Αυτοδιοίκηση του 21ου αιώνα δεν προστατεύει μόνο πλατείες και σχολεία. Πλέον προστατεύει και πλατφόρμες, ψηφιακές θυρίδες και ευαίσθητες πληροφορίες. Και η προστασία αυτή είναι δικαίωμα των πολιτών — αλλά και υποχρέωση των διοικήσεων.

 https://www.myota.gr