Περιφέρεια Κρήτης και δήμος στην Ανατολική Κρήτη, ένα ίδιο «κόλπο» με πλαστές τραπεζικές σελίδες και 650.000 ευρώ «εξαφανισμένα» σε λίγες μέρες. Η επίσημη εκδοχή μιλά για εξωτερική απάτη, όμως πόσο σίγουροι είμαστε ότι δεν υπήρξε και εσωτερικό χέρι πίσω από την ακρίβεια του χτυπήματος; Το προηγούμενο του Μηχανολογικού δείχνει πόσο τρωτοί παραμένουν οι έλεγχοι στο δημόσιο χρήμα…
Μέσα σε λίγες μέρες δύο δημόσιοι φορείς στην Κρήτη εμφανίζονται να έχουν στοχοποιηθεί με το ίδιο σχεδόν μοτίβο: υπάλληλοι καταχώρησαν στοιχεία σε ιστότοπο που μιμούνταν το περιβάλλον της τράπεζάς τους.
Στην πρώτη υπόθεση, που επιβεβαίωσε η Αρχή Καταπολέμησης της Νομιμοποίησης Εσόδων, άγνωστοι απέκτησαν έλεγχο λογαριασμών υπηρεσίας της Περιφέρειας Κρήτης. Μεταφέρθηκαν περίπου 152.000 ευρώ μέσω 55 διαδοχικών μικρών συναλλαγών, τις μεταμεσονύκτιες ώρες, πρώτα σε ελληνικούς λογαριασμούς και αμέσως μετά στο εξωτερικό. Η Αρχή εντόπισε και δέσμευσε ποσό που υπερβαίνει το μισό.
Λίγες μέρες αργότερα δημοσιεύματα έκαναν λόγο για δεύτερη, μεγαλύτερη υπόθεση, ποσό που κυκλοφόρησε ως περίπου 500.000 ευρώ, με την ίδια μέθοδο.
- Η αρχική απόδοση σε δήμο του Ρεθύμνου διαψεύστηκε από τον ίδιο τον Δήμο Ρεθύμνης, που ανακοίνωσε ότι οι λογαριασμοί του δεν παραβιάστηκαν.
- Ο Δήμος Αγίου Νικολάου αναγνώρισε ότι υπήρξε περιστατικό, ότι ενημερώθηκαν αμέσως οι αρχές και ότι δεν υπέστη οικονομική ζημία.
Τα ερωτήματα παραμένουν, και είναι διοικητικά, όχι δικαστικά προαποφασισμένα και είναι απλά, αλλά ενοχλητικά:
- Πώς περνάει δύο φορές μέσα σε λίγες μέρες ένα τόσο μεγάλο ποσό δημοσίου χρήματος από τα χέρια εκπαιδευμένων υπαλλήλων σε λογαριασμούς που δεν ελέγχθηκαν ποτέ;
- Υπάρχει πρωτόκολλο διπλής επιβεβαίωσης πριν από μεταφορές τέτοιου ύψους σε δήμους και περιφέρειες, ή οτιδήποτε μοιάζει με τραπεζικό σύστημα γίνεται αυτόματα αποδεκτό;
- Γίνεται συστηματική εκπαίδευση αναγνώρισης phishing, ή η μόνη δικλίδα είναι η κρίση του υπαλλήλου εκείνη τη στιγμή;
- Οι δύο υποθέσεις έχουν κοινά τεχνικά ίχνη, με δεδομένο και το χρονικό διάστημα των λίγων ημερών;
- Υπήρξε άμεση ενημέρωση όλων των ΟΤΑ της Κρήτης μόλις χτυπήθηκε η πρώτη υπηρεσία; Διότι αν πέρασαν έξι μέρες και ξαναέγινε το ίδιο, αυτό είναι διοικητική αποτυχία από μόνη της…
- Και, το σημαντικότερο ίσως: θα μάθουμε ποτέ ποιοι κρύβονται πραγματικά πίσω από αυτό το κύκλωμα, ή η υπόθεση θα σβήσει στα χαρτιά μιας ανεπίλυτης δικογραφίας, όπως έχει συμβεί ξανά με διασυνοριακές απάτες;
Η επίσημη εκδοχή, μέχρι στιγμής, μιλά για εξωτερική ψηφιακή επίθεση. Δεν έχει τεθεί στη δημοσιότητα στοιχείο εσωτερικής υπόδειξης πληρωμής ή ΙΒΑΝ. Το ερώτημα αν υπάρχει και εσωτερική συνδρομή είναι θεμιτό και θα πρέπει λογικά να το θέσουν οι αρμόδιες αρχές. Η αλήθεια είναι πάντως ότι σε απάτες τύπου fake banking portal οι δράστες δεν χρειάζονται εκ των προτέρων το ΙΒΑΝ του πραγματικού δικαιούχου, αν έχουν ήδη τους κωδικούς.
Μια σύμπτωση χρονισμού τέτοιας ακρίβειας, δύο φορές στη σειρά, δύσκολα εξηγείται μόνο με τυχαίο «phishing» στο διαδίκτυο.
Υπάρχει, ωστόσο, προηγούμενο που δείχνει πόσο εύθραυστοι μπορεί να είναι οι εσωτερικοί έλεγχοι στην Κρήτη, και αυτό αξίζει να μπει στη συζήτηση χωρίς να ταυτίζεται με την υπόθεση του 2026.
Το 2022, στη Διεύθυνση Μεταφορών και Επικοινωνιών της Π.Ε. Ηρακλείου (Μηχανολογικό), αποκαλύφθηκε κομπίνα ιδιωτικού γραφείου διεκπεραίωσης μεταβιβάσεων οχημάτων, με συμμετοχή υπαλλήλου της υπηρεσίας. Οι αποδείξεις κατάθεσης παραποιούνταν (στο χέρι) ώστε να μην φαίνεται το πραγματικό ποσό που είχε καταβληθεί στο Δημόσιο. Οι πρώτες εκτιμήσεις στα μέσα έφταναν έως 1,2 εκατ. ευρώ, ο ειδικός λογιστικός έλεγχος προσδιόρισε τη ζημιά σε τουλάχιστον 874.780 ευρώ.
Στη συνέχεια, όταν η υπόθεση οδηγήθηκε στη δικαιοσύνη και στα δικαστήρια, οι κατηγορούμενοι για συνέργεια υπάλληλοι ή εμπλεκόμενοι αθωώθηκαν, με το βάρος της κακουργηματικής απάτης (ζημιά άνω των 840.000 ευρώ) να καταλογίζεται στους ιδιώτες. Συνεπώς, δεν αποδείχθηκε ούτε υφίσταται συνεργασία εν ενεργεία υπαλλήλου στην ίδια την κομπίνα.
Εκεί η απάτη ήταν πολυετής. Εδώ, με τα έως τώρα δεδομένα, έχουμε οξεία εξωτερική ψηφιακή επίθεση.
Δύο διαφορετικά μοντέλα. Ένα κοινό συμπέρασμα: οι δικλείδες ασφαλείας πριν «φύγει» δημόσιο χρήμα έχουν αποδειχθεί επανειλημμένα ανεπαρκείς, είτε απέναντι σε πλαστή απόδειξη επί χρόνια, είτε απέναντι σε πλαστή ιστοσελίδα σε μία νύχτα.
Αν ένα ταμείο μπορεί να αδειάσει επειδή μια οθόνη έμοιαζε αξιόπιστη, το θέμα δεν είναι μόνο ποιοι είναι οι δράστες. Είναι γιατί δήμοι και περιφέρειες εξακολουθούν να πληρώνουν χωρίς δεύτερο ανεξάρτητο έλεγχο…
Και υπάρχουν δυο ακόμη ερωτήματα που δεν μπορούν να αγνοηθούν:
- Αν υπάλληλοι δήμων και περιφέρειας πέφτουν θύματα τόσο εξελιγμένης ψηφιακής παγίδευσης, πόσο επαρκής είναι τελικά η εκπαίδευσή τους σε θέματα κυβερνοασφάλειας;
- Γίνονται σεμινάρια αναγνώρισης τέτοιων απειλών, ή η μόνη «ασφάλεια» είναι η καλή πίστη του κάθε υπαλλήλου απέναντι σε μια οθόνη που μοιάζει αξιόπιστη;
Αν σήμερα ένα δημόσιο ταμείο μπορεί να αδειάσει με ένα κλικ σε ψεύτικη ιστοσελίδα, πόσο ασφαλή είναι στ’ αλήθεια τα δημόσια χρήματα που διαχειρίζονται καθημερινά δήμοι και περιφέρειες σε όλη τη χώρα;
Και βέβαια πόσο θωρακισμένοι μπορεί να αισθάνονται τελικά και οι ίδιοι οι πολίτες απέναντι σε τέτοιες απειλές;
Τέλος, οι τράπεζες ευθύνονται καθόλου όταν οι επίσημες ιστοσελίδες τους «κλωνοποιούνται» συνεχώς με σκοπό την εξαπάτηση των πολιτών ακόμα και των δημόσιων υπηρεσιών;
