Η Εθνική Αρχή Κυβερνοασφάλειας απαντά για τη διαρροή προσωπικών δεδομένων του πρωθυπουργού και άλλων αξιωματούχων

Σοβαρά ερωτήματα για την προστασία των προσωπικών δεδομένων κρατικών αξιωματούχων, αλλά και ευρύτερα των πολιτών, προκαλεί το δημοσίευμα του «Βήματος της Κυριακής», σύμφωνα με το οποίο στοιχεία επικοινωνίας του πρωθυπουργού, υπουργών, στρατιωτικών και στελεχών κρίσιμων κρατικών υπηρεσιών εμφανίζονται διαθέσιμα μέσω διαδικτυακών πλατφορμών εμπορίας δεδομένων.

Με αφορμή δημοσιεύματα στον τύπο και με αφετηρία αυτών το πρωτοσέλιδο της εφημερίδας «ΤΟ ΒΗΜΑ ΤΗΣ ΚΥΡΙΑΚΗΣ» υπό τον τίτλο «Το τηλέφωνο του Πρωθυπουργού δεν είναι απόρρητο» η Εθνική Αρχή Κυβερνοασφάλειας επισημαίνει:

Στις 7 Σεπτεμβρίου 2026, πολλοί Έλληνες αξιωματούχοι συμπεριλαμβανομένου και του Διοικητή της, καθώς και Έλληνες δημοσιογράφοι, έλαβαν μηνύματα από ένα ιταλικό τηλεφωνικό νούμερο στην εφαρμογή Whatsapp τα οποία επεσήμαναν την διαρροή προσωπικών δεδομένων που αφορούσαν ανώτατα κυβερνητικά στελέχη. Στον Διοικητή της Αρχής κοινοποιήθηκαν τρείς εικόνες οθόνης (screenshots) από υποτιθέμενη εφαρμογή συλλογής πληροφοριών, οι οποίες αφορούσαν τον ίδιο, τον Πρωθυπουργό και τον Πρόεδρο της Κυπριακής Δημοκρατίας, και οι οποίες με ιδιαίτερα φλύαρο και πολύχρωμο τρόπο που παραπέμπει σε σκηνές κινηματογραφικής ταινίας, παρέθεσαν email και τηλεφωνικούς αριθμούς.

Στην περίπτωση του Πρωθυπουργού, ο αριθμός κινητού τηλεφώνου που «διέρρευσε» κατά τον αποστολέα των μηνυμάτων είναι παλιός και έχει μάλιστα εμφανιστεί σε δημόσια προσβάσιμη σελίδα στο διαδίκτυο από το 2018.

Στην περίπτωση του Διοικητή της ΕΑΚ, κάποιοι από τους τηλεφωνικούς αριθμούς ανήκαν σε συνεργάτες του και όχι στον ίδιο (πιθανότατα από δημόσια προσβάσιμες καταχωρήσεις διαδικτυακής ονοματοδοσίας που έγιναν πριν 25 και πλέον χρόνια) και όπως και στην περίπτωση του Πρωθυπουργού, το κινητό τηλέφωνο που εμφανίζεται είναι πολύ παλιό και έχει κοινοποιηθεί σε δεκάδες εφαρμογές και ιστοσελίδες ενώ η διεύθυνση ηλεκτρονικού ταχυδρομείου ήταν επίσης δευτερεύουσας σημασίας με βασική της χρήση την κοινοποίηση σε ιστοσελίδες και διαδικτυακές εφαρμογές.

Δηλαδή: το υλικό δεν προέκυψε από παραβίαση συστήματος, από κακόβουλη πρόσβαση σε κρατική υποδομή ή από υποκλοπή. Πρόκειται για συσσώρευση παλαιών, δημοσίως διαθέσιμων ή εθελοντικά κοινοποιημένων στοιχείων, τυπικό προϊόν εμπορικών πλατφορμών συγκέντρωσης δεδομένων (data brokers) που ανακυκλώνουν παλαιές καταχωρήσεις WHOIS, καταλόγους, διαρροές τρίτων υπηρεσιών και δημόσια προφίλ.

Με βάση τα παραπάνω, οι συγκεκριμένες καταγγελίες δεν περιείχαν καμία ουσιαστική νέα πληροφορία που να δικαιολογεί την έναρξη τεχνικής διερεύνησης περιστατικού κυβερνοασφάλειας: δεν υπήρξε ένδειξη συμβάντος σε δίκτυο ή σύστημα φορέα, ούτε τεκμήριο μη εξουσιοδοτημένης πρόσβασης.

Είναι προφανές σε όλους ότι από τη στιγμή που κοινοποιούμε τον αριθμό του τηλεφώνου μας ή αποστέλλουμε ηλεκτρονικό μήνυμα, δεν τίθεται θέμα απορρήτου αυτών των στοιχείων: αυτά καθίστανται προσβάσιμα στο διαδίκτυο με διάφορους τρόπους και πολύ συχνά χρησιμοποιούνται εναντίον των κατόχων τους.

Διευκρινίζεται, τέλος, ότι η νομιμότητα της εμπορικής εκμετάλλευσης προσωπικών δεδομένων από τέτοιες πλατφόρμες αποτελεί ζήτημα του Γενικού Κανονισμού Προστασίας Δεδομένων και εμπίπτει στην αρμοδιότητα της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, η οποία έχει ήδη επισημάνει τη σοβαρότητα του φαινομένου, ενώ τυχόν ποινικές διαστάσεις αφορούν τις δικαστικές και αστυνομικές αρχές.

Η ΕΑΚ δεν υποβαθμίζει το ζήτημα — το τοποθετεί στη σωστή του διάσταση. Ένας αριθμός τηλεφώνου ή ένα email δεν είναι «κλειδί» σε κανένα σύστημα· είναι όμως σημείο εισόδου κοινωνικής μηχανικής. Οι πραγματικές απειλές είναι:

*Στοχευμένο phishing / smishing / vishing και προσποίηση ταυτότητας τρίτου, συχνά με χρήση συνθετικής φωνής.
*Απάτες τύπου «φαρσέρ», όπου η πρώτη επαφή γίνεται μέσω εντοπισμένης διεύθυνσης email και ακολουθεί απόσπαση πληροφοριών από τον ίδιο τον στόχο — τακτική που έχει ήδη απασχολήσει δημόσια τη χώρα.
*Αντικατάσταση κάρτας SIM και καταχρήσεις επαναφοράς κωδικών όπου το κινητό λειτουργεί ως δεύτερος παράγοντας.
*Συσχέτιση δεδομένων: το ανησυχητικό δεν είναι το μεμονωμένο στοιχείο, αλλά η δυνατότητα μαζικής διασύνδεσης αριθμών, ρόλων και σχέσεων — ζήτημα που αγγίζει και την εθνική ασφάλεια.
*Doxxing (κακόβουλη συλλογή και δημοσιοποίηση προσωπικών πληροφοριών ενός ατόμου στο διαδίκτυο, χωρίς τη συγκατάθεσή του) και εκφοβισμός δημοσίων λειτουργών, δημοσιογράφων και στελεχών των Σωμάτων Ασφαλείας.
Η Αρχή συνιστά σε αξιωματούχους, δημόσιους λειτουργούς και πολίτες:

*Διαχωρισμό ταυτοτήτων: αυστηρά διακριτά στοιχεία για (α) υπηρεσιακή χρήση, (β) εγγραφές σε υπηρεσίες/εμπορικές πλατφόρμες, (γ) στενό προσωπικό κύκλο. Ποτέ κοινός αριθμός για τα τρία.
*Τα κρίσιμα στοιχεία δεν δηλώνονται πουθενά: ο αριθμός που χρησιμοποιείται για δεύτερο παράγοντα ταυτοποίησης δεν δίνεται σε ιστοσελίδες, εφαρμογές, διαγωνισμούς ή προγράμματα πιστότητας.
*Κατάργηση SMS ως δεύτερου παράγοντα και μετάβαση σε φυσικά κλειδιά FIDO2/passkeys για λογαριασμούς υψηλής αξίας.
*Καθαρισμό ιστορικού αποτυπώματος: έλεγχος και ανωνυμοποίηση παλαιών καταχωρήσεων WHOIS, αφαίρεση στοιχείων από παλιές σελίδες φορέων, αιτήματα διαγραφής προς data brokers.
*Θεσμική υποχρέωση των φορέων να μην αναδημοσιεύουν προσωπικά κινητά και ιδιωτικά email σε ανακοινώσεις, διαύγεια, παρουσιολόγια και συνημμένα αρχεία.
*Επαλήθευση δεύτερου καναλιού σε κάθε αίτημα που φτάνει από άγνωστο αριθμό, όσο «επίσημο» ή «επείγον» και να εμφανίζεται.
Αναφορά περιστατικών σε τεκμηριωμένη βάση: η Αρχή εξετάζει κάθε αναφορά με τεχνικά κριτήρια και όχι βάσει εντυπωσιακής παρουσίασης.
Η ΕΑΚ θα συνεχίσει να αξιολογεί κάθε αναφορά με βάση τα πραγματικά περιστατικά και την τεχνική τεκμηρίωση, χωρίς να τροφοδοτεί κλίμα ανασφάλειας από υλικό που δεν αντέχει σε στοιχειώδη έλεγχο. Ταυτόχρονα, θεωρεί χρήσιμο ότι η δημόσια συζήτηση στρέφεται προς ένα υπαρκτό διαρθρωτικό πρόβλημα: την ανεξέλεγκτη εμπορία προσωπικών δεδομένων και την ανάγκη θεσμικής αντιμετώπισής της σε ευρωπαϊκό επίπεδο. Η Αρχή παραμένει στη διάθεση των φορέων και των πολιτών για τεχνική καθοδήγηση και ενημέρωση.