Ελβετία – Η ομάδα ransomware Akira άφησε μήνυμα εκβιασμού στην ελβετική εταιρεία λογισμικού PK Softech AG μετά την κυβερνοεπίθεση στα συστήματά της, χωρίς όμως να προσδιορίσει χρηματικό ποσό ή προθεσμία πληρωμής.
Η διάκριση αυτή, που δεν είχε αποσαφηνιστεί εγκαίρως, προκάλεσε αντικρουόμενες αναφορές στα ελβετικά μέσα ενημέρωσης, την ώρα που παραμένουν ανοιχτά ερωτήματα για τα δεδομένα περισσότερων από 100.000 δυνητικά επηρεαζόμενων ασφαλισμένων.
Η PK Softech, εταιρεία ανάπτυξης λογισμικού στο καντόνι Βασιλείας-Υπαίθρου, εξυπηρετεί μεταξύ άλλων την ομοσπονδιακή συνταξιοδοτική οργάνωση Publica. Σύμφωνα με έρευνα του watson, η εταιρεία είχε λάβει αμέσως μετά την επίθεση γενικά μηνύματα των εκβιαστών, στοιχείο που δεν είχε παρουσιαστεί με σαφήνεια στην αρχική επικοινωνία για το περιστατικό.
Υπήρξε μήνυμα εκβιασμού, όχι συγκεκριμένη απαίτηση πληρωμής
Η εκπρόσωπος της Publica, Beatrice Rychen, επιβεβαίωσε ότι ο προμηθευτής λογισμικού έλαβε γενικές ειδοποιήσεις εκβιασμού αμέσως μετά την επίθεση. Όπως διευκρίνισε, οι δράστες δεν προσδιόρισαν έκτοτε ούτε ποσό ούτε προθεσμία πληρωμής.
Το στοιχείο αυτό συνδέεται με τον τρόπο δράσης της Akira. Σε ενημερωτικό δελτίο του 2025, οι αμερικανικές υπηρεσίες FBI και CISA περιέγραψαν ότι η ομάδα συνήθως δεν αναφέρει ποσό στο αρχικό μήνυμα. Αντίθετα, αφήνει στα παραβιασμένα συστήματα έναν κωδικό και σύνδεσμο προς ανώνυμη συνομιλία στο darknet, όπου μπορεί να ξεκινήσει διαπραγμάτευση.
Η PK Softech επιβεβαίωσε ότι αγνόησε την πρόσκληση επικοινωνίας και δεν διαπραγματεύεται με τους δράστες. Η Publica δήλωσε επίσης ότι δεν επικοινώνησε με την ομάδα και ότι η ίδια δεν έλαβε απαίτηση λύτρων. Η ελβετική Ομοσπονδιακή Υπηρεσία Κυβερνοασφάλειας (BACS) συστήνει σε επιθέσεις ransomware να μη γίνεται πληρωμή ή επαφή με τους εκβιαστές, αλλά να υποβάλλεται άμεσα καταγγελία στην αστυνομία. Για την υπόθεση διεξάγει έρευνα η Ομοσπονδιακή Εισαγγελία.
Πώς δημιουργήθηκαν αντικρουόμενα δημοσιεύματα
Η σύγχυση κορυφώθηκε την Τρίτη. Στις 05:58, η ελβετική δημόσια ραδιοτηλεόραση SRF δημοσίευσε ρεπορτάζ, επικαλούμενη ανώνυμες πηγές, σύμφωνα με το οποίο οι δράστες είχαν απαιτήσει λύτρα και απειλούσαν να δημοσιοποιήσουν ή να μεταπωλήσουν δεδομένα, ενώ το Ομοσπονδιακό Υπουργείο Άμυνας γνώριζε την υπόθεση. Στο ίδιο ρεπορτάζ μεταφέρονταν δηλώσεις της PK Softech και της Publica ότι δεν είχαν λάβει απαίτηση λύτρων, γεγονός που οδήγησε εξωτερικό ειδικό να υποθέσει ότι η απαίτηση ίσως είχε απευθυνθεί απευθείας στην ομοσπονδιακή διοίκηση.
Το απόγευμα, το πρακτορείο Keystone-SDA μετέδωσε αρχικά ότι είχε υποβληθεί απαίτηση λύτρων στον προμηθευτή λογισμικού. Αργότερα διόρθωσε την αναφορά του, μετά τη διευκρίνιση της Κρατικής Γραμματείας Πολιτικής Ασφαλείας (Sepos) ότι δεν ήταν γνωστή συγκεκριμένη απαίτηση πληρωμής.
Η Publica είχε αναρτήσει ξεχωριστή διόρθωση, επιβεβαιώνοντας την ύπαρξη γενικών μηνυμάτων εκβιασμού αλλά όχι συγκεκριμένου ποσού ή προθεσμίας. Παρ’ όλα αυτά, τα κεντρικά τηλεοπτικά δελτία «Tagesschau» και «10 vor 10» συνέχισαν το βράδυ να παρουσιάζουν την είδηση περί απαίτησης λύτρων χωρίς να αναφέρουν τις νέες διευκρινίσεις. Στο ραδιοφωνικό δελτίο των 20:00, αντίθετα, μεταδόθηκε η θέση των ομοσπονδιακών αρχών.
Η Rychen υποστήριξε ότι η Publica απέφευγε να σχολιάζει φήμες και εικασίες, αλλά προχώρησε σε διόρθωση όταν έκρινε πως η ειδησεογραφική κάλυψη δημιουργούσε παραπλανητική εικόνα. Η διαφορά ανάμεσα σε ένα αρχικό σημείωμα εκβιασμού και σε μια συγκεκριμένη χρηματική απαίτηση βρίσκεται στο επίκεντρο της διαφωνίας.
Άγνωστο ακόμη το εύρος της πιθανής διαρροής
Η εταιρεία διαχείρισης συνταξιοδοτικών δεδομένων εξυπηρετεί και άλλα ελβετικά ταμεία. Για την Publica και το συνταξιοδοτικό ταμείο της πόλης της Ζυρίχης (PKZH), οι αρμόδιοι φοβούνται ότι μπορεί να έχουν διαρρεύσει μη κρυπτογραφημένα προσωπικά δεδομένα ασφαλισμένων, χωρίς ωστόσο να έχει προσδιοριστεί το εύρος της πιθανής υποκλοπής.
Στην ενημέρωσή της την Τρίτη, η Publica ανέφερε ότι δεν γνωρίζει αποδεδειγμένες περιπτώσεις στις οποίες πρόσωπα προσεγγίστηκαν ή υπέστησαν ζημιά λόγω της κυβερνοεπίθεσης. Δήλωσε ακόμη ότι δεν υπήρχαν ενδείξεις δημοσίευσης των δεδομένων στο darknet. Οι τεχνικές αναλύσεις συνεχίζονται, ενώ, κατά την εκπρόσωπό της, η δημόσια ενημέρωση πρέπει να λαμβάνει υπόψη και τους περιορισμούς της εν εξελίξει ποινικής έρευνας.
Δημοσιεύματα έχουν θέσει το ενδεχόμενο να περιλαμβάνονται στα εκτεθειμένα στοιχεία ταυτότητες στελεχών ειδικών δυνάμεων, ομοσπονδιακών αστυνομικών ή της ελβετικής υπηρεσίας πληροφοριών. Δεν έχει επιβεβαιωθεί ότι τέτοια δεδομένα έχουν πράγματι διαρρεύσει, ούτε υπάρχουν ενδείξεις ότι η Akira προχώρησε σε πώλησή τους σε ξένες υπηρεσίες πληροφοριών. Πρόκειται για σενάρια κινδύνου και όχι για διαπιστωμένα γεγονότα.
Το ερώτημα για την υποχρέωση αναφοράς της επίθεσης
Η υπόθεση εγείρει επίσης ζητήματα συμμόρφωσης με την ελβετική νομοθεσία για την ασφάλεια πληροφοριών (ISG). Σύμφωνα με τις προβλέψεις που τέθηκαν σε ισχύ τον Απρίλιο του 2025, κυβερνοεπιθέσεις σε κρίσιμες υποδομές και στους προμηθευτές τους υπόκεινται σε υποχρέωση αναφοράς εντός 24 ωρών.
Το αν η PK Softech εκτίμησε εξαρχής σωστά τη σοβαρότητα του περιστατικού και τήρησε τις σχετικές προθεσμίες αποτελεί αντικείμενο ελέγχου από τον Ομοσπονδιακό Επίτροπο Προστασίας Δεδομένων και Διαφάνειας (EDÖB). Η αναφορά σε ενδεχόμενες κυρώσεις έως 100.000 ελβετικά φράγκα δεν σημαίνει ότι έχει ήδη διαπιστωθεί παράβαση.
