Το παρασκήνιο της σιωπής από την τηλεματική – Τέσσερις μέρες στο σκοτάδι

Τέσσερις ολόκληρες ημέρες χρειάστηκε η διοίκηση του ΟΑΣΑ για να πει στους επιβάτες των λεωφορείων και των τρόλεϊ αυτό που γνώριζε ουσιαστικά από την πρώτη στιγμή: ότι πίσω από το πρωτοφανές μπλακάουτ της τηλεματικής βρισκόταν κυβερνοεπίθεση.

Το σύστημα κατέρρευσε τα ξημερώματα της Πέμπτης 27 Αυγούστου. Περίπου 1.000 «έξυπνες» στάσεις έπαψαν να παρέχουν πληροφορίες πραγματικού χρόνου, ενώ αντίστοιχα προβλήματα παρουσιάστηκαν στην ενημέρωση του επιβατικού κοινού και μέσω της εφαρμογής στα κινητά τηλέφωνα. Χιλιάδες επιβάτες, ανάμεσά τους και ξένοι επισκέπτες της Αθήνας, περίμεναν στις στάσεις χωρίς να γνωρίζουν εάν το επόμενο λεωφορείο ή τρόλεϊ θα ερχόταν σε δύο, δέκα ή είκοσι λεπτά.

Την Πέμπτη, ο ΟΑΣΑ περιορίστηκε να μιλήσει για «προσωρινή διακοπή», ανακοινώνοντας ότι τα αρμόδια τεχνικά κλιμάκια εργάζονταν για την αποκατάσταση και διαβεβαιώνοντας ότι «θα ακολουθήσει νεότερη ανακοίνωση». Αργά χθες το βράδυ, δηλαδή έπειτα από τέσσερα ολόκληρα 24ωρα πλήρους σιωπής, ο ΟΑΣΑ παραδέχθηκε ότι το σύστημα τηλεματικής είχε δεχθεί κυβερνοεπίθεση, ενώ ανέφερε ότι «από την πρώτη στιγμή» ενεργοποίησε τις προβλεπόμενες διαδικασίες και γνωστοποίησε το περιστατικό στην Εθνική Αρχή Κυβερνοασφάλειας και στην Εθνική Αρχή Αντιμετώπισης Ηλεκτρονικών Επιθέσεων, η οποία μάλιστα παρείχε τεχνική συνδρομή.

Κι εδώ ακριβώς, σύμφωνα με τεχνικούς του ΟΑΣΑ, γεννιούνται πλέον κρίσιμα ερωτήματα: Αφού ο Οργανισμός γνώριζε από την πρώτη στιγμή τη σοβαρότητα του περιστατικού και είχε κινητοποιήσει τις αρμόδιες κρατικές Αρχές, γιατί χρειάστηκαν τέσσερις ημέρες για να ενημερώσει τους επιβάτες;

Γιατί στο διάστημα αυτό δεν υπήρξε καμία επίσημη ενημέρωση, ούτε για την πραγματική αιτία του προβλήματος ούτε για την έκτασή του, ούτε για τον εκτιμώμενο χρόνο πλήρους αποκατάστασης; Επίσης, υπήρχε επιχειρησιακός ή λόγος κυβερνοασφάλειας που επέβαλε να μη δημοσιοποιηθεί το περιστατικό όσο βρισκόταν σε εξέλιξη; Εάν ναι, γιατί δεν υπήρξαν τουλάχιστον καθημερινές ενημερώσεις προς το επιβατικό κοινό για την πορεία αποκατάστασης; Και εάν δεν υπήρχε τέτοιος λόγος, ποιος αποφάσισε ότι εκατοντάδες χιλιάδες επιβάτες δεν χρειαζόταν να γνωρίζουν τι είχε συμβεί;

Ο ΟΑΣΑ αναφέρει ότι το περιστατικό «περιορίστηκε στα συστήματα τηλεματικής», χωρίς επιπτώσεις σε άλλα πληροφοριακά συστήματα του Ομίλου ή των θυγατρικών του. Δεν εξηγεί, όμως, όπως επισημαίνουν τεχνικοί του Οργανισμού, τι είδους κυβερνοεπίθεση σημειώθηκε, ποιο τμήμα της υποδομής παραβιάστηκε, εάν υπήρξε μη εξουσιοδοτημένη πρόσβαση, εάν επηρεάστηκαν ή εκλάπησαν δεδομένα και, κυρίως, ποιο κενό ασφαλείας επέτρεψε την επίθεση.

Αναπάντητο παραμένει επίσης γιατί ένα τόσο κρίσιμο σύστημα χρειάστηκε τέσσερα 24ωρα για να επανέλθει. Υπήρχε εφεδρικό σύστημα; Υπήρχε σχέδιο επιχειρησιακής συνέχειας και ανάκαμψης από κυβερνοεπίθεση; Ενεργοποιήθηκε; Και εάν ναι, γιατί απαιτήθηκε τόσο μεγάλο διάστημα για την αποκατάσταση; Στα ερωτήματα αυτά προστίθεται και ένα ακόμη, ίσως το σημαντικότερο: τι αλλάζει από σήμερα ώστε μια επόμενη κυβερνοεπίθεση να μη βυθίσει ξανά τις συγκοινωνίες της Αθήνας – και τους επιβάτες τους – στο σκοτάδι;

Το περιστατικό σημειώνεται σε μια ιδιαίτερη χρονική συγκυρία, καθώς η 12ετής σύμβαση για την τηλεματική έχει ήδη λήξει και το σύστημα λειτουργεί πλέον σε μεταβατικό καθεστώς. Η τηλεματική της Αθήνας λειτουργούσε στο πλαίσιο 12ετούς σύμβασης ΣΔΙΤ, η οποία υπεγράφη το 2014 και έφτασε στη λήξη της τον περασμένο Ιούνιο.

Η ημερομηνία λήξης ήταν γνωστή εδώ και 12 χρόνια. Παρ’ όλα αυτά, ο νέος διεθνής διαγωνισμός για τη λειτουργία, την τεχνική διαχείριση και τη συντήρηση του συστήματος προκηρύχθηκε μόλις τον Φεβρουάριο του 2026. Η νέα σύμβαση δεν ολοκληρώθηκε εγκαίρως και ακολούθησε 70ήμερη μεταβατική παράταση, ενώ, σύμφωνα με πληροφορίες, αναμένεται νέα παράταση έως το τέλος του έτους. Δεν υπάρχει μέχρι στιγμής κανένα στοιχείο που να συνδέει τη λήξη της αρχικής σύμβασης με την κυβερνοεπίθεση.

Υπάρχουν, όμως, ερωτήματα που αποκτούν ακόμη μεγαλύτερη σημασία μετά το περιστατικό: ποιος είχε την ευθύνη κυβερνοασφάλειας και τεχνικής υποστήριξης του συστήματος όταν εκδηλώθηκε η επίθεση; Ποιες υποχρεώσεις προβλέπει η μεταβατική σύμβαση; Υπάρχουν συγκεκριμένοι χρόνοι αποκατάστασης και ρήτρες; Και ποιος ελέγχει ότι τηρούνται οι απαιτήσεις ασφαλείας ενός τόσο κρίσιμου πληροφοριακού συστήματος;