Η κυβερνοεπίθεση παύει να είναι μόνο τεχνικό συμβάν και γίνεται μετρήσιμος λογαριασμός. Στην Ιαπωνία, δύο εταιρείες ανακοίνωσαν πληρωμές προς πελάτες μετά από παραβιάσεις, ενώ η μία προβλέπει έκτακτη ζημιά δισεκατομμυρίων γιεν. Η εξέλιξη δείχνει το επόμενο στάδιο του cyber risk: αποζημιώσεις, δωρεάν υπηρεσίες, απώλεια εσόδων και χρηματιστηριακή πίεση. Για την Ελλάδα, το ερώτημα δεν είναι αν θα συμβεί ένα περιστατικό, αλλά ποιος θα πληρώσει όταν συμβεί.
Τα βασικά σε 30’’
- Η GMO Internet Group θα καλύψει ζημιές πελατών από μη εξουσιοδοτημένη πρόσβαση στην υπηρεσία συναλλάγματος και θα δώσει 5.000 γιεν σε όλους τους πελάτες της, μαζί με έξι μήνες δωρεάν εναλλακτικής υπηρεσίας.
- Η Park24 ανακοίνωσε πληρωμή 3.000 γιεν σε πελάτες που επηρεάστηκαν από διαρροή δεδομένων και υπολογίζει έκτακτη ζημιά 5,5 δισ. γιεν.
- Οι αναφορές περιστατικών κυβερνοασφάλειας στην Ιαπωνία έφθασαν τις 723 έως τις 20 Οκτωβρίου, ξεπερνώντας ήδη τα σύνολα ολόκληρων των ετών 2024 και 2025.
- Για τις ελληνικές επιχειρήσεις, GDPR και NIS2 μετατρέπουν την κυβερνοασφάλεια σε ευθύνη διοίκησης, με κόστος που μπορεί να φανεί σε αποζημιώσεις, διακοπές λειτουργίας, απώλεια πελατών και πρόσθετες επενδύσεις.
Όταν η απολογία γίνεται πληρωμή
Η GMO Internet Group, ένας από τους μεγαλύτερους ιαπωνικούς ομίλους διαδικτυακών υποδομών και χρηματοοικονομικών υπηρεσιών, ανακοίνωσε ότι θα αποζημιώσει πελάτες για ζημιές που συνδέονται με μη εξουσιοδοτημένη πρόσβαση στην υπηρεσία διαπραγμάτευσης συναλλάγματος. Πέρα από την κάλυψη των συγκεκριμένων απωλειών, θα καταβάλει 5.000 γιεν, περίπου 32 δολάρια, σε κάθε πελάτη ως κίνηση καλής θέλησης και θα προσφέρει δωρεάν εναλλακτική υπηρεσία για έξι μήνες.
Η εταιρεία επιβεβαίωσε επίσης ότι έλαβε απαίτηση καταβολής χρημάτων με απειλή δημοσιοποίησης εταιρικών και πελατειακών πληροφοριών. Δήλωσε ότι δεν θα πληρώσει και ότι συνεργάζεται με την αστυνομία και τις αρμόδιες αρχές. Η οικονομική επίπτωση των αποζημιώσεων δεν έχει ακόμη υπολογιστεί πλήρως, όμως η αγορά αντέδρασε άμεσα: η μετοχή της GMO υποχώρησε κατά 15%, την ώρα που ο βασικός δείκτης του Τόκιο ενισχυόταν.
Η δεύτερη προειδοποίηση: 5,5 δισ. γιεν έκτακτο κόστος
Η Park24, που λειτουργεί την υπηρεσία κοινόχρηστων αυτοκινήτων Times, ανακοίνωσε πληρωμή 3.000 γιεν σε πελάτες που επηρεάστηκαν από παραβίαση προσωπικών δεδομένων. Ταυτόχρονα, αναμένει έκτακτη ζημιά 5,5 δισ. γιεν για την αντιμετώπιση του περιστατικού και τις αποζημιώσεις. Η εταιρεία αποφάσισε ακόμη ότι δεν θα διατηρεί πλέον εικόνες εγγράφων ταυτοποίησης μετά την ολοκλήρωση της εγγραφής.
Αυτή η αλλαγή είναι ίσως πιο σημαντική από την ίδια την πληρωμή. Δείχνει ότι η ελαχιστοποίηση δεδομένων δεν αποτελεί απλώς νομική αρχή, αλλά μέθοδο περιορισμού μελλοντικών ζημιών. Ένα αρχείο που δεν παραμένει αποθηκευμένο δεν μπορεί να κλαπεί σε επόμενη επίθεση. Η απόφαση μεταφέρει τη συζήτηση από το «πόσο ισχυρό είναι το τείχος προστασίας» στο «ποια δεδομένα χρειάζεται πραγματικά να κρατά η εταιρεία».
Το νέο cyber P&L
Μέχρι πρόσφατα, πολλές διοικήσεις αντιμετώπιζαν την κυβερνοασφάλεια ως γραμμή κόστους του τμήματος πληροφορικής. Η ιαπωνική εμπειρία δείχνει ότι το πραγματικό οικονομικό αποτύπωμα απλώνεται σε ολόκληρο τον ισολογισμό. Περιλαμβάνει διακοπή υπηρεσιών, έρευνες και τεχνική αποκατάσταση, νομική υποστήριξη, επικοινωνία κρίσης, δωρεάν περιόδους χρήσης, επιστροφές χρημάτων, αποζημιώσεις, αυξημένα ασφάλιστρα και χαμένες πωλήσεις.
Προστίθεται και ένα κόστος που δεν καταγράφεται εύκολα: η εμπιστοσύνη. Όταν ο πελάτης μιας τράπεζας, ενός παρόχου τηλεπικοινωνιών ή μιας ψηφιακής πλατφόρμας αμφιβάλλει αν τα στοιχεία του είναι ασφαλή, η αποχώρηση μπορεί να έρθει μήνες μετά το περιστατικό. Γι’ αυτό η αποκατάσταση δεν μετριέται μόνο σε ώρες λειτουργίας, αλλά και σε ποσοστά διατήρησης πελατών.
Η ένταση του προβλήματος αυξάνεται. Στην Ιαπωνία καταγράφηκαν 723 περιστατικά έως τις 20 Οκτωβρίου, περισσότερα από όσα καταγράφηκαν σε ολόκληρο το 2024 ή το 2025. Παράλληλα, η τεχνητή νοημοσύνη επιταχύνει τη σάρωση για αδυναμίες, την παραγωγή παραπλανητικών μηνυμάτων και την προσαρμογή επιθέσεων. Αυτό δεν σημαίνει ότι κάθε πρόσφατη παραβίαση προκλήθηκε από AI. Σημαίνει όμως ότι ο χρόνος ανάμεσα στην αποκάλυψη μιας ευπάθειας και την απόπειρα εκμετάλλευσής της γίνεται δραματικά μικρότερος.
Η ελληνική διάσταση: από τη συμμόρφωση στην ευθύνη
Στην Ευρωπαϊκή Ένωση, το άρθρο 82 του GDPR προβλέπει δικαίωμα αποζημίωσης για υλική ή μη υλική ζημιά που προκύπτει από παραβίαση του Κανονισμού. Αυτό δεν δημιουργεί αυτόματη, ενιαία πληρωμή για κάθε διαρροή: πρέπει να συντρέχουν παράβαση, ζημιά και αιτιώδης σύνδεση. Ωστόσο, η ιαπωνική πρακτική δείχνει ότι οι εταιρείες μπορεί να επιλέξουν οικειοθελείς καταβολές ή πιστώσεις υπηρεσιών, πριν ολοκληρωθούν πολυετείς δικαστικές διαδικασίες, ώστε να αποκαταστήσουν την εμπιστοσύνη και να περιορίσουν τη φήμη της κρίσης.
Η Ελλάδα έχει ενσωματώσει τη NIS2 με τον νόμο 5160/2024 και έχει θεσπίσει εθνικό πλαίσιο απαιτήσεων για βασικές και σημαντικές οντότητες. Οι υποχρεώσεις διαχείρισης κινδύνων, αναφοράς περιστατικών και εποπτείας αφορούν κρίσιμους τομείς, μεταξύ των οποίων ψηφιακές υποδομές, τηλεπικοινωνίες και υπηρεσίες που στηρίζουν τη λειτουργία της οικονομίας. Η Εθνική Αρχή Κυβερνοασφάλειας διαθέτει εποπτικό, ελεγκτικό και κυρωτικό ρόλο.
Για ΟΤΕ/COSMOTE, Vodafone και Nova, το θέμα είναι ιδιαίτερα πρακτικό. Διαχειρίζονται εκατομμύρια σχέσεις πελατών, στοιχεία ταυτοποίησης και χρέωσης, ψηφιακά κανάλια εξυπηρέτησης και υποδομές που πρέπει να παραμένουν διαθέσιμες. Ένα περιστατικό μπορεί να απαιτήσει ταυτόχρονα τεχνική αποκατάσταση, ρυθμιστική ενημέρωση, πιστώσεις λογαριασμών και επενδύσεις σε νέα μέτρα. Το ίδιο ισχύει για τράπεζες, εταιρείες cloud, data centers, ηλεκτρονικό εμπόριο, μεταφορές και παρόχους λογισμικού.
Τι αλλάζει για επιχειρήσεις και καταναλωτές
Οι διοικήσεις χρειάζονται πλέον προϋπολογισμό για το «μετά», όχι μόνο εργαλεία πρόληψης. Ένα ρεαλιστικό σχέδιο πρέπει να ορίζει ποιος αποφασίζει πιθανές επιστροφές χρημάτων, πώς υπολογίζονται οι ζημιές των πελατών, ποια υπηρεσία συνεχίζει να λειτουργεί εναλλακτικά και ποιος ενημερώνει αρχές, συνεργάτες και κοινό. Χρειάζεται επίσης χαρτογράφηση προμηθευτών, επειδή μια ευπάθεια σε τρίτη πλατφόρμα μπορεί να καταλήξει στον λογαριασμό της εταιρείας που έχει τη σχέση με τον τελικό πελάτη.
Για τους καταναλωτές, η ουσιαστική αλλαγή είναι ότι η προστασία δεδομένων συνδέεται με χειροπιαστή οικονομική ζημιά. Πρέπει να κρατούν αποδεικτικά μη εξουσιοδοτημένων συναλλαγών, να αλλάζουν κωδικούς, να ενεργοποιούν πολυπαραγοντικό έλεγχο και να παρακολουθούν λογαριασμούς μετά από ειδοποίηση παραβίασης. Η γενική «δωρεάν πίστωση» μπορεί να είναι χρήσιμη, αλλά δεν υποκαθιστά την κάλυψη μιας τεκμηριωμένης μεγαλύτερης απώλειας.
Γιατί έχει σημασία
Η υπόθεση της Ιαπωνίας ορίζει ένα νέο σημείο αναφοράς: η κυβερνοασφάλεια δεν κρίνεται μόνο από το αν μια εταιρεία απέκρουσε την επίθεση, αλλά από το αν μπορεί να απορροφήσει δίκαια και γρήγορα το κόστος που μεταφέρθηκε στους πελάτες της. Όσο οι ψηφιακές υπηρεσίες γίνονται κρίσιμες, τόσο η αποζημίωση, η συνέχιση λειτουργίας και η ελαχιστοποίηση δεδομένων θα γίνονται μέρος της αξιολόγησης μιας επιχείρησης από πελάτες, επενδυτές και ρυθμιστές.
Τι πρέπει να παρακολουθήσουμε
- Αν οι εθελοντικές καταβολές εξελιχθούν σε συνηθισμένη πρακτική μετά από μεγάλες παραβιάσεις.
- Αν οι εταιρείες αρχίσουν να δημοσιοποιούν ξεχωριστά το κόστος αποκατάστασης και αποζημιώσεων στα οικονομικά τους αποτελέσματα.
- Πώς θα εφαρμοστούν στην πράξη οι απαιτήσεις NIS2 στην Ελλάδα και πόσο γρήγορα θα αναφέρονται σοβαρά περιστατικά.
- Αν τα ασφαλιστήρια cyber risk και οι συμβάσεις με προμηθευτές θα καλύπτουν ρητά επιστροφές χρημάτων και πιστώσεις υπηρεσιών.
- Πόσο θα μειωθεί ο χρόνος αντίδρασης καθώς η AI αυτοματοποιεί τόσο την επίθεση όσο και την άμυνα.