Βρετανική εταιρεία πετρελαίου και φυσικού αερίου έχασε 700.000 λίρες μέσω στοχευμένης κυβερνοαπάτης σε πληρωμή υπεργολάβου. Η υπόθεση αναδεικνύει την κλιμάκωση των επιθέσεων business email compromise σε κρίσιμες υποδομές.
Σοβαρό περιστατικό κυβερνοαπάτης αντιμετωπίζει η βρετανική εταιρεία πετρελαίου και φυσικού αερίου Zephyr Energy, η οποία ανακοίνωσε ότι άγνωστος δράστης υπεξαίρεσε 700.000 λίρες Αγγλίας – ποσό που προσεγγίζει το 1 εκατ. δολάρια – από θυγατρική της στις ΗΠΑ, εκτρέποντας πληρωμή που προοριζόταν για εργολάβο.
Σύμφωνα με ρυθμιστική ανακοίνωση προς το Χρηματιστήριο του Λονδίνου, τα χρήματα μεταφέρθηκαν σε τραπεζικό λογαριασμό που έλεγχε ο δράστης, ο οποίος φέρεται να παρενέβη στη διαδικασία πληρωμής, αλλάζοντας τα στοιχεία λογαριασμού του δικαιούχου.
Το modus operandi των επιθέσεων business email compromise
Αν και η Zephyr Energy δεν διευκρινίζει τον ακριβή τρόπο με τον οποίο πραγματοποιήθηκε η επίθεση, όλα τα στοιχεία παραπέμπουν στο γνωστό σενάριο των επιθέσεων «business email compromise» (BEC). Σε αυτές, οι κυβερνοεγκληματίες αποκτούν πρόσβαση σε εταιρικά email ή λογιστικά συστήματα και παρεμβαίνουν σιωπηρά σε πραγματικές συναλλαγές, τροποποιώντας αριθμούς λογαριασμών και routing πριν εκκαθαριστεί μια πληρωμή.
Οι επιθέσεις BEC θεωρούνται σήμερα από τις πλέον δαπανηρές μορφές κυβερνοεγκλήματος. Η τελευταία ετήσια έκθεση της αμερικανικής υπηρεσίας FBI για το διαδίκτυο αναφέρει ότι μόνο για το 2025 οι σχετικές οικονομικές απώλειες ξεπέρασαν τα 3 δισ. δολάρια, καθιστώντας τις BEC μία από τις κορυφαίες πηγές χρηματοοικονομικών ζημιών διεθνώς.
Στο συγκεκριμένο περιστατικό, η Zephyr κάνει λόγο για «περιορισμένο» συμβάν, επισημαίνοντας ότι οι επιχειρησιακές της δραστηριότητες συνεχίζονται κανονικά. Ωστόσο, το πλήγμα στο ταμειακό της προφίλ και, κυρίως, στην εμπιστοσύνη των επενδυτών και συνεργατών της, κάθε άλλο παρά αμελητέο μπορεί να θεωρηθεί.
Αντίδραση της εταιρείας και επιπτώσεις για τον κλάδο ενέργειας
Η Zephyr Energy αναφέρει ότι συνεργάζεται με τις εμπλεκόμενες τράπεζες και εξειδικευμένους συμβούλους, προκειμένου να ανακτήσει – στον βαθμό του δυνατού – τα εκτραπέντα κεφάλαια. Παράλληλα, υποστηρίζει ότι ήδη εφάρμοζε «βιομηχανικά πρότυπες πρακτικές» για τις τεχνολογικές και πληρωμιακές της πλατφόρμες, αλλά, μετά το περιστατικό, προχώρησε σε πρόσθετα επίπεδα ασφαλείας.
Η υπόθεση φωτίζει την αυξανόμενη έκθεση του κλάδου ενέργειας σε στοχευμένες κυβερνοεπιθέσεις. Εταιρείες με διασπορά θυγατρικών και σύνθετες αλυσίδες εφοδιασμού, που διαχειρίζονται υψηλής αξίας συμβάσεις και διασυνοριακές πληρωμές, αποτελούν ιδανικούς στόχους. Η παραβίαση μίας μόνο κρίσιμης διαδικασίας, όπως η έγκριση και εκτέλεση πληρωμών προς εργολάβους, μπορεί να οδηγήσει σε άμεσες απώλειες εκατοντάδων χιλιάδων ή και εκατομμυρίων.
Για τις επιχειρήσεις, το μήνυμα είναι σαφές: οι τεχνικές άμυνες δεν αρκούν χωρίς αυστηρά οργανωτικά μέτρα, όπως διαδικασίες διπλής επιβεβαίωσης λογαριασμών, τηλεφωνική επαλήθευση αλλαγών σε στοιχεία πληρωμών και συστηματική εκπαίδευση προσωπικού σε σενάρια BEC.
Σχόλιο 
: Το περιστατικό στη Zephyr Energy υπενθυμίζει στις επιχειρήσεις – και ειδικά σε όσες δραστηριοποιούνται σε κεφαλαιοβόρους κλάδους όπως η ενέργεια – ότι η μεγαλύτερη ευπάθεια βρίσκεται συχνά στην ίδια την επιχειρησιακή ροή πληρωμών. Σε μια εποχή που οι κυβερνοεγκληματίες στοχεύουν λιγότερο στα συστήματα και περισσότερο στις διαδικασίες, η εταιρική διακυβέρνηση γύρω από τις πληρωμές γίνεται κρίσιμος παράγοντας ανθεκτικότητας. Για ελληνικές και ευρωπαϊκές ενεργειακές εταιρείες, η υπόθεση λειτουργεί ως προειδοποίηση ότι η συμμόρφωση με τα «βιομηχανικά πρότυπα» δεν επαρκεί χωρίς συνεχή αναθεώρηση πρακτικών και ενεργό εμπλοκή διοίκησης και διοικητικών συμβουλίων στη στρατηγική κυβερνοασφάλειας.
#κυβερνοεπίθεση #ενέργεια #ΗνωμένοΒασίλειο #cybersecurity
