Θερίζουν τις επιχειρήσεις οι ιοί που έσπειρε η ψηφιοποίηση

Η νέα τεχνολογία έσπειρε ιούς που θερίζουν εμπορικές και βιομηχανικές μονάδες σε όλο τον κόσμο. Αν και ο ψηφιακός μετασχηματισμός αναδείχτηκε κύρια προϋπόθεση για την μακροημέρευση των επιχειρήσεων, πολλές εξ αυτών έχουν γονατίσει από στο πόλεμο των κυβερνοαπειλών. Επιχειρήσεις μεγάλες υπέστησαν σοβαρό πλήγμα στη φήμη και την αξιοπιστία τους το 2021, ενώ έπεσαν θύματα των χάκερς οι οποίοι ζητούσαν λύτρα για να απελευθερώσουν τα συστήματα τους υπό την απειλή να βγάλουν εμπιστευτικές πληροφορίες στην μαύρη αγορά.

Τα έσοδα των χάκερς εκτοξεύτηκαν το 2021, λόγω της αστραπιαίας υιοθέτησης της νέας τεχνολογίας, ενώ το κόστος από την παράνομη δραστηριότητα στον κυβερνοχώρο έως το 2025 θα αγγίξει τα 10,5 τρισεκατομμύρια δολάρια ετησίως.

Πλάνη ότι ο σκοπός μίας επίθεσης είναι μόνο η διαρροή δεδομένων

Πλανάται η πεποίθηση ότι ύστατος σκοπός μια κυβερνοεπίθεσης είναι η διαρροή δεδομένων και, κατά συνέπεια, μόνο τα άυλα αγαθά πλήττονται για έναν οργανισμό. Αυτό όμως δεν είναι ακριβές, καθώς οι συνέπειες μιας κυβερνοεπίθεσης μπορεί να έχουν επιπτώσεις τόσο στα άυλα (ψηφιακά) αγαθά ενός οργανισμού, όσο και στα υλικά (φυσικά) αγαθά ή ακόμη και στην ανθρώπινη ζωή.

Παραδείγματα τέτοιων επιθέσεων:

• Σπίτι: Πλήρως «έξυπνο» έχει παραβίαστεί από επίδοξους ληστές,
• Περιουσία: Παραβίαση σε συστήματα εργοστασίων για καταστροφή προϊόντων,
• Ενέργεια: Παραβίαση συστημάτων παρακολούθησης ποιότητας νερού με στόχο τη δηλητηρίαση,
• Υγεία: Παραβίαση συστημάτων νοσοκομείων με απειλή ζωής διασωληνωμένων ασθενών,
• Αερομεταφορά: Παραβίαση σε βάση δεδομένων πελατών,
• Ναυτιλία: Παραβίαση δικτύων πλοίου για υλοποίηση δεδομένων.

Συνέπειες κυβερνοεπίθεσης

Οι συνέπειες μιας κυβερνοεπίθεσης μπορεί να έχουν πολλές μορφές:

• Φυσική καταστροφή: Υποδομών data center και servers,
• Διακοπή επιχειρηματικής δραστηριότητας: μη δυνατή η λειτουργία του οργανισμού ή της εξυπηρέτησης πελατών,
• Ψηφιακοί πόροι: προσωπικά, οικονομικά δεδομένα,
• Συνέπειες στη φήμη: πτώση μετοχής της εταιρείας,
• Κλοπή πνευματικής ιδιοκτησίας: στοχευμένο hacking για κλοπή πληροφοριών.

Από πού ξεκινούν τα προβλήματα με τις ασφαλιστικές

Το μεγαλύτερο πρόβλημα για τις ασφαλιστικές εταιρείες κατά τον σχεδιασμό ασφαλιστικών προϊόντων στον κυβερνοχώρο, σύμφωνα με την KPMG, είναι η έλλειψη δεδομένων γύρω από τα περιστατικά κυβερνοασφάλειας. Τα μοντέλα πρόβλεψης κινδύνου οδηγούν στην κερδοφορία και στη δυνατότητα διαφοροποίησης των πελατών με βάση τα επίπεδα κινδύνου. Στις ασφαλίσεις cyber δεν συμβαίνει αυτό.

Ψάχνουν να βρουν την αρχή του νήματος

Μια λύση θα ήταν η δημιουργία ανώνυμων βάσεων δεδομένων για τα συμβάντα προερχόμενα από τον κυβερνοχώρο. Ωστόσο, οι άυλες απώλειες θα συνεχίσουν να αποτελούν πρόκληση, επειδή οι αναλογιστικές και οι πραγματικές ποσοτικοποιημένες απώλειες μπορεί να είναι αδύνατο να προσδιοριστούν εκ των προτέρων.

Η απώλεια φήμης είναι ένας άλλος μη μοντελοποιημένος κίνδυνος, ο οποίος θα μπορούσε να έχει συνέπειες για έναν οργανισμό, όπως είναι η μείωση κερδών και η απώλεια εμπιστοσύνης των πελατών του. Προκειμένου να συμπεριληφθεί αυτό ο κίνδυνος στα ασφαλιζόμενα ποσά, θα μπορούσε να λαμβάνεται υπόψιν το πραγματικό κόστος των υπηρεσιών που θα βοηθήσουν στον μετριασμό των επιπτώσεων στη φήμη.

Απειλείται η βιωσιμότητα των επιχειρήσεων

Οι οργανισμοί είναι τόσο εξαρτημένοι από την τεχνολογία ώστε μια κυβερνοεπιθέση θα μπορούσε να αποβεί μοιραία για την ίδια τη βιωσιμότητα τους. Τα περισσότερα ασφαλιστικά πακέτα cyber insurance είναι στραμμένα κυρίως στο πώς να παρέχουν υποστήριξη στους ασφαλισμένους εφόσον υπάρξει κάποιο συμβάν, τη στιγμή που η πλειοψηφία των επιχειρήσεων αναζητά κάτι περισσότερο από απλά ένα προϊόν, μια λύση η οποία θα τους προετοιμάσει ώστε να είναι σε θέση να αποτρέψουν ένα περιστατικό σε συνδυασμό με την υποστήριξη κατά τη διάρκεια του συμβάντος.

Ο ασφαλιστικός κλάδος έχει μια τεράστια ευκαιρία ώστε να δημιουργήσει πακέτα λύσεων τα οποία να επικεντρώνονται στις τρείς κυριότερες κατηγορίες ρίσκου: κατανόηση, αποτροπή και αντιμετώπιση κινδύνου.

Αλλαγές σε δομές ασφάλισης

Ο πολλαπλασιασμός των απειλών και των περιστατικών στον κυβερνοχώρο μπορεί να αλλάξει ακόμη και την παραδοσιακή δομή των κλάδων ασφάλισης, με τις ασφαλιστικές εταιρείες να μετατοπίζουν τις δομές των τμημάτων τους από τα περιουσιακά στοιχεία (π.χ. ακίνητα, αυτοκίνητα, αερομεταφορές) σε κινδύνους όπως είναι η παραβίαση δεδομένων ή τρομοκρατία στον κυβερνοχώρο).

Moody’s: Η ψηφιοποίηση δημιουργεί ευνοϊκές συνθήκες στους εγκληματίες του διαδικτύου

Οι κυβερνοεπιθέσεις υψηλού προφίλ αυξάνουν τη ζήτηση για προϊόντα και υπηρεσίες ασφάλειας στον κυβερνοχώρο.

Το έγκλημα στον κυβερνοχώρο υπολογίζεται πως θα κοστίσει στην παγκόσμια οικονομία περίπου 6 τρισεκατομμύρια δολάρια το 2021, ενώ θα αυξάνεται με μέσο ετήσιο ρυθμό 15% τα επόμενα πέντε χρόνια. Η ψηφιοποίηση και οι ρυθμίσεις απομακρυσμένης εργασίας δημιουργούν ευνοϊκές συνθήκες για τους εγκληματίες του διαδικτύου.

ΕΑΕΕ: Αυτοτελή ασφαλιστήρια κάλυψη cyber κινδύνων

Η ασφάλιση κατά των κινδύνων του κυβερνοχώρου είναι μία πολύπλοκη νέα μορφή ασφάλισης. Σύμφωνα με την ΕΑΕΕ, στην Ελλάδα προσφέρεται από ορισμένο αριθμό ασφαλιστικών εταιριών, είτε ως αυτοτελές ασφαλιστήριο συμβόλαιο (standalone cyber insurance), είτε ως επέκταση άλλης ασφαλιστικής κάλυψης.

Ωστόσο, σύμφωνα με την Moody\s, το κόστος των αυτοτελών ασφαλιστήριων λόγω της κατακόρυφης αύξησης των ζημιών αυξήθηκε, με αποτέλεσμα τα ασφάλιστρα των εν λόγω ασφαλιστηρίων να αυξηθούν 100%. O δείκτης ζημιών των αυτοτελών ασφαλιστηρίων εκτοξεύτηκε στο 65% το 2020 από 44% το 2019. Κέρδη στο underwriting το 2020 έγραψαν μόνο τα προγράμματα που συμπεριλάμβαναν μεταξύ των καλύψεων, ασφάλιση cyber.

Chubb, AIG, Allianz, Axa και τα συνδικάτα Lloyd's συγκεντρώνουν το μεγαλύτερο μερίδιο της αγοράς cyber.

Τρεις βασικές μορφές cyber κινδύνου

Phishing

Phishing είναι η επικοινωνία μέσω ηλεκτρονικής αλληλογραφίας, η οποία προέρχεται φαινομενικά από μια νόμιμη πηγή και προτρέπει τους χρήστες να αποκαλύψουν προσωπικά ή εταιρικά στοιχεία ή να ακολουθήσουν κάποιο σύνδεσμο σε άλλο ιστότοπο, με απώτερο σκοπό την κλοπή δεδομένων ή την εγκατάσταση κακόβουλου λογισμικού. Αποτελεί μέθοδο κοινωνικής μηχανικής (Social engineering).

Pharming

Pharming είναι είδος επίθεσης που στόχο έχει την ανακατεύθυνση του προγράμματος περιήγησης (browser) σε άλλες ψεύτικες ιστοσελίδες με απώτερο σκοπό την κλοπή δεδομένων ή την εγκατάσταση κακόβουλου λογισμικού. Σε περίπτωση επιτυχημένης επίθεσης Pharming, ακόμη και αν ο χρήστης πληκτρολογεί τη σωστή διεύθυνση του διαδικτυακού τόπου που θέλει να επισκεφτεί, θεωρώντας πως βρίσκεται σε ασφαλή χώρο, η ανακατεύθυνση θα τον οδηγεί πάντα σε ψεύτικη.

Social engineering

Social engineering (κοινωνική μηχανική) είναι η τακτική πίσω από μερικές από τις πιο διάσημες επιθέσεις χάκερ. Είναι μια μέθοδος που βασίζεται στην έρευνα και την πειθώ που είναι συνήθως στη ρίζα του spam, phishing, και spear phishing απατών, οι οποίες διαδίδονται μέσω ηλεκτρονικού ταχυδρομείου. Ο σκοπός των επιθέσεων social engineering είναι να κερδίσει την εμπιστοσύνη του θύματος για να κλέψει δεδομένα και χρήματα. Τα περιστατικά Social engineering συχνά περιλαμβάνουν τη χρήση κακόβουλου λογισμικού, όπως ransomware και trojans.