Πώς ένα ransomware σε δήμο οδηγεί σε διπλή εκβίαση και έκθεση δεδομένων πολιτών

Offensive Scenario — Δήμοι / Τοπική αυτοδιοίκηση. Ένας δήμος κρατά δεδομένα
πολιτών: μητρώα, ληξιαρχείο, αιτήσεις, πληρωμές. Ένα ransomware σε δήμο σήμερα δεν
είναι μόνο κρυπτογράφηση — είναι διπλή εκβίαση: πρώτα εξαγωγή δεδομένων πολιτών, μετά κλείδωμα
συστημάτων. Το ερώτημα για τη διοίκηση: θα εντοπίζατε την εξαγωγή δεδομένων πριν
δημοσιοποιηθεί η απειλή διαρροής;

Σημείωση: το παρακάτω σενάριο παρουσιάζεται σε υψηλό, υπεύθυνο επίπεδο. Δεν περιλαμβάνει λειτουργικά payloads ή copy-paste βήματα εκμετάλλευσης. Όλα τα ονόματα, IP, domains και χρήστες είναι ανωνυμοποιημένα εργαστηριακά παραδείγματα (π.χ. contoso.local, 10.10.x.x, CORP-DC01) και αντιστοιχούν σε πραγματικά μοτίβα που έχει συναντήσει η Audax σε ελεγχόμενα έργα υπό NDA.

Executive Summary

Το σενάριο δείχνει πώς ένα ransomware σε δήμο συνδυάζει exfiltration δεδομένων
πολιτών με κρυπτογράφηση συστημάτων (διπλή εκβίαση). Η Audax το αναπαράγει ελεγχόμενα (χωρίς
πραγματικά PII ή κρυπτογράφηση) ώστε να αποδειχθεί αν το SOC βλέπει το staging, την εξαγωγή και τη
διαγραφή backups — και πόσο γρήγορα.

Το επιχειρησιακό ρίσκο

Για έναν δήμο, μια τέτοια επίθεση σημαίνει διακοπή υπηρεσιών προς πολίτες, αδυναμία έκδοσης
πιστοποιητικών, έκθεση ευαίσθητων προσωπικών δεδομένων (GDPR), υποχρεώσεις NIS2,
πολιτικό και κοινωνικό κόστος και σοβαρή απώλεια εμπιστοσύνης. Η διαρροή δεδομένων πολιτών έχει
μακροχρόνιες συνέπειες πέρα από το downtime.

Πώς θα μπορούσε να εξελιχθεί ένα αντίστοιχο σενάριο επίθεσης

1. Valid Accounts (T1078): πρόσβαση μέσω παραβιασμένων διαπιστευτηρίων υπαλλήλου
   (phishing/leak).
2. Discovery (T1135): εντοπισμός shares με δεδομένα πολιτών και υπερβολικά
   δικαιώματα.
3. Exfiltration (T1567): staging και εξαγωγή δεδομένων προς εξωτερικό cloud.
4. Inhibit Recovery & Impact (T1490/T1486): διαγραφή backups και κρυπτογράφηση
   — διπλή εκβίαση.

Το διπλό ρίσκο (διαρροή + κρυπτογράφηση) είναι το σύγχρονο μοτίβο ransomware — και τα δύο σκέλη
αφήνουν ίχνη:

Τι δοκιμάζει η Audax ελεγχόμενα

• External & internal penetration testing: αποτύπωση
  έκθεσης, αδύναμων διαπιστευτηρίων και attack paths.
• Ransomware readiness simulation: ελεγχόμενη
  αναπαραγωγή exfiltration και προ-κρυπτογραφικής συμπεριφοράς, χωρίς πραγματικά PII.
• Active Directory assessment: εντοπισμός υπερβολικών
  δικαιωμάτων και attack paths σε shares.
• SOC/SIEM/EDR effectiveness: επικύρωση ανίχνευσης staging,
  exfiltration και shadow deletion.

Τι πρέπει να ανιχνεύσει το SOC, το SIEM και το EDR

• μαζική πρόσβαση/αντιγραφή από shares με δεδομένα πολιτών·
• εξαγωγή δεδομένων προς εξωτερικά cloud endpoints (T1567)·
• εντολές διαγραφής shadow copies/backups (pre-ransomware)·
• ασυνήθιστη χρήση λογαριασμών υπαλλήλων εκτός ωραρίου·
• συσχέτιση file + network + endpoint και ο χρόνος μέχρι το πρώτο alert.

Τακτική (Tactic)	ATT&CK ID	Τεχνική	Τι σημαίνει στο σενάριο
Valid Accounts	T1078	Valid Accounts	Πρόσβαση με διαπιστευτήρια υπαλλήλου δήμου.
Discovery	T1135	Network Share Discovery	Εντοπισμός shares με δεδομένα πολιτών.
Exfiltration	T1567	Exfiltration Over Web Service	Εξαγωγή δεδομένων πολιτών προς cloud.
Impact	T1490	Inhibit System Recovery	Διαγραφή shadow copies/backups.
Impact	T1486	Data Encrypted for Impact	Κρυπτογράφηση συστημάτων δήμου.

Τι τεχνική απόδειξη παράγεται

Επικυρωμένη αλυσίδα exfiltration + pre-ransomware με anonymized αποδείξεις, σημεία όπου η
ανίχνευση έπρεπε να ενεργοποιηθεί, αξιολόγηση σοβαρότητας με έμφαση σε δεδομένα πολιτών και business
impact mapping. Ενδεικτικοί δείκτες:

Τύπος	Ένδειξη (anonymized)	Πλαίσιο ανίχνευσης
Account	contoso-city.local\m.papadopoulos	Λογαριασμός υπαλλήλου με ευρεία πρόσβαση.
Share	CITY-FS01\Politis$ (μητρώο πολιτών)	Ευαίσθητα δεδομένα πολιτών, write access.
Behavior	12+ GB προς cloud endpoint	Δείκτης μαζικής exfiltration.
Tooling	vssadmin delete shadows (sim)	Inhibit System Recovery (pre-ransomware).
Pattern	Διπλή εκβίαση (leak + encrypt)	Σύγχρονο μοτίβο ransomware.

Τι παραδίδεται στη διοίκηση

Executive summary με κοινωνικό/λειτουργικό/νομικό ρίσκο, ιεραρχημένο remediation roadmap (MFA,
least privilege, immutable backups, DLP), παρατηρήσεις ανίχνευσης, συσχέτιση με NIS2
και GDPR, και πλάνο retesting.

Πώς μειώνεται ο κίνδυνος

• MFA, least privilege και τακτικός καθαρισμός υπερβολικών δικαιωμάτων σε shares·
• immutable/offline backups και ανίχνευση διαγραφής shadow copies·
• DLP/egress monitoring για ανίχνευση exfiltration·
• purple teaming για επικύρωση ανιχνεύσεων διπλής εκβίασης·
• τακτικό retesting και ασκήσεις απόκρισης.