Επιθέσεις Κυβερνοασφάλειας: Τύποι και Τεχνικές

Μια κυβερνοεπίθεση (Cyberattack) είναι μια προσπάθεια εκμετάλλευσης τεχνικών αδυναμιών, λανθασμένων ρυθμίσεων ή ανθρώπινων λαθών με σκοπό την πρόσβαση σε συστήματα, την υποκλοπή ή αλλοίωση δεδομένων και τη διακοπή υπηρεσιών. Η κατανόηση των μεθόδων επίθεσης βοηθά στην πρόληψη, στην έγκαιρη ανίχνευση και στην αποτελεσματική απόκριση.

Οι παρακάτω περιγραφές έχουν εκπαιδευτικό και αμυντικό χαρακτήρα. Οι δοκιμές ασφάλειας πρέπει να πραγματοποιούνται αποκλειστικά σε δικά σου συστήματα ή σε περιβάλλοντα για τα οποία έχεις ρητή εξουσιοδότηση.

Επιθέσεις κοινωνικής μηχανικής (Social Engineering)

Phishing

Το phishing χρησιμοποιεί παραπλανητικά email, μηνύματα ή ιστοσελίδες που μιμούνται αξιόπιστους οργανισμούς, με στόχο να αποσπάσουν κωδικούς, στοιχεία πληρωμής ή προσωπικά δεδομένα. Παραλλαγές του είναι το spear phishing, που στοχεύει συγκεκριμένο άτομο, και το smishing, που πραγματοποιείται μέσω SMS.

Προστασία: έλεγξε προσεκτικά το domain του αποστολέα και του συνδέσμου, μην εισάγεις κωδικούς από συνδέσμους μηνυμάτων, χρησιμοποίησε MFA ή passkeys και επιβεβαίωσε ύποπτα αιτήματα από ανεξάρτητο κανάλι.

Pretexting και Baiting

Στο pretexting ο επιτιθέμενος κατασκευάζει μια ψεύτικη ιστορία ή ταυτότητα για να πείσει το θύμα να αποκαλύψει πληροφορίες. Στο baiting χρησιμοποιεί ένα δελεαστικό αρχείο, σύνδεσμο ή φυσικό μέσο για να προκαλέσει μια μη ασφαλή ενέργεια.

Επιθέσεις σε λογαριασμούς και διαπιστευτήρια

Brute Force

Η επίθεση brute force δοκιμάζει πολλούς πιθανούς συνδυασμούς κωδικών μέχρι να βρεθεί ο σωστός. Η αποτελεσματικότητά της εξαρτάται από την πολυπλοκότητα του κωδικού, τους περιορισμούς προσπαθειών και τους μηχανισμούς αυθεντικοποίησης.

Credential Stuffing και Password Spraying

Το credential stuffing αξιοποιεί ζεύγη username/password που έχουν διαρρεύσει από άλλες υπηρεσίες. Το password spraying δοκιμάζει λίγους συνηθισμένους κωδικούς σε πολλούς λογαριασμούς, ώστε να περιορίσει την πιθανότητα ενεργοποίησης μηχανισμών κλειδώματος.

Προστασία: μοναδικοί κωδικοί ανά υπηρεσία, password manager, MFA, passkeys, rate limiting, ανίχνευση ασυνήθιστων συνδέσεων και ασφαλής διαδικασία ανάκτησης λογαριασμού.

Κακόβουλο λογισμικό (Malware)

• Virus: κακόβουλος κώδικας που προσκολλάται σε αρχεία ή προγράμματα και ενεργοποιείται όταν εκτελεστούν.
• Worm: κακόβουλο λογισμικό που μπορεί να διαδίδεται αυτόνομα μεταξύ συστημάτων.
• Trojan: εμφανίζεται ως νόμιμο ή χρήσιμο λογισμικό, ενώ εκτελεί κρυφές κακόβουλες ενέργειες.
• Ransomware: κρυπτογραφεί ή αποκλείει την πρόσβαση σε δεδομένα και απαιτεί λύτρα.
• Spyware: συλλέγει πληροφορίες ή παρακολουθεί δραστηριότητα χωρίς τη συναίνεση του χρήστη.
• Keylogger: καταγράφει πληκτρολογήσεις με σκοπό, μεταξύ άλλων, την υποκλοπή διαπιστευτηρίων.
• Rootkit: επιχειρεί να αποκρύψει κακόβουλη δραστηριότητα ή να διατηρήσει προνομιακή πρόσβαση.

Προστασία: ενημερωμένο λειτουργικό και λογισμικό προστασίας, εγκατάσταση εφαρμογών από αξιόπιστες πηγές, περιορισμός δικαιωμάτων διαχειριστή, φιλτράρισμα email και δοκιμασμένα offline ή immutable backups.

Επιθέσεις σε web εφαρμογές

SQL Injection (SQLi)

Το SQL Injection εμφανίζεται όταν μη έμπιστη είσοδος ενσωματώνεται με μη ασφαλή τρόπο σε SQL query. Μπορεί να οδηγήσει σε μη εξουσιοδοτημένη ανάγνωση ή τροποποίηση δεδομένων. Η βασική άμυνα είναι τα parameterized queries ή prepared statements, μαζί με validation και περιορισμένα δικαιώματα στη βάση.

Cross-Site Scripting (XSS)

Το XSS επιτρέπει την εκτέλεση μη έμπιστου script στον browser ενός επισκέπτη. Οι βασικές κατηγορίες είναι Stored, Reflected και DOM-based XSS. Η άμυνα περιλαμβάνει context-aware output encoding, ασφαλή χειρισμό HTML, sanitization όπου απαιτείται και Content Security Policy ως πρόσθετο επίπεδο προστασίας.

Cross-Site Request Forgery (CSRF)

Το CSRF προσπαθεί να προκαλέσει ενέργεια σε μια εφαρμογή μέσω ήδη αυθεντικοποιημένου browser. Χρησιμοποίησε CSRF tokens, κατάλληλα SameSite cookie settings και ελέγχους Origin ή Referer όπου ενδείκνυται.

Directory Traversal και File Inclusion

Οι αδυναμίες αυτές σχετίζονται με μη ασφαλή χειρισμό διαδρομών ή αρχείων. Η εφαρμογή πρέπει να χρησιμοποιεί allowlists, canonical path checks, περιορισμένη πρόσβαση στο filesystem και να μην επιτρέπει στον χρήστη να επιλέγει αυθαίρετα αρχεία.

Επιθέσεις σε δίκτυα και υποδομές

• DoS / DDoS: εξάντληση πόρων μιας υπηρεσίας. Χρήσιμα μέτρα είναι rate limiting, traffic filtering, CDN και υπηρεσίες DDoS protection.
• Man-in-the-Middle (MitM): παρεμβολή στην επικοινωνία. Προστασία με TLS, σωστή επαλήθευση πιστοποιητικών και ασφαλή Wi-Fi.
• DNS Spoofing / Cache Poisoning: αλλοίωση ή παραπλάνηση της επίλυσης ονομάτων. Μέτρα περιλαμβάνουν DNSSEC όπου υποστηρίζεται, ασφαλείς resolvers και προστασία των DNS υποδομών.
• ARP Spoofing: παραποίηση αντιστοιχίσεων IP και MAC σε τοπικό δίκτυο. Η άμυνα περιλαμβάνει network segmentation και κατάλληλες ρυθμίσεις switch, όπως Dynamic ARP Inspection όπου υποστηρίζεται.
• Session Hijacking: κατάληψη ενεργής συνεδρίας. Χρησιμοποίησε HTTPS, Secure και HttpOnly cookies, κατάλληλο SameSite και ανανέωση session identifiers.
• Εκμετάλλευση λανθασμένων ρυθμίσεων: εκτεθειμένες υπηρεσίες, δημόσια αρχεία, αδύναμα permissions ή προεπιλεγμένοι κωδικοί.

Βασικά στάδια μιας επίθεσης

Ένα συχνά χρησιμοποιούμενο μοντέλο για την κατανόηση της συμπεριφοράς ενός επιτιθέμενου είναι το Cyber Kill Chain. Δεν ακολουθούν όλες οι επιθέσεις ακριβώς την ίδια σειρά, αλλά το μοντέλο βοηθά να οργανώσεις τα σημεία ανίχνευσης και άμυνας.

1. Reconnaissance: συλλογή πληροφοριών για τον στόχο.
2. Weaponization: προετοιμασία μέσου ή μεθόδου επίθεσης.
3. Delivery: μεταφορά του κακόβουλου περιεχομένου ή αιτήματος.
4. Exploitation: αξιοποίηση μιας αδυναμίας.
5. Installation: εγκατάσταση ή διατήρηση κακόβουλου μηχανισμού, όπου απαιτείται.
6. Command and Control: επικοινωνία με υποδομή ελέγχου.
7. Actions on Objectives: επίτευξη του στόχου, όπως κλοπή δεδομένων ή διακοπή υπηρεσίας.

Πώς οργανώνεις την άμυνα

• Διατήρησε απογραφή συστημάτων, λογαριασμών και εκτεθειμένων υπηρεσιών.
• Εφάρμοσε ενημερώσεις ασφαλείας και διαχείριση ευπαθειών με προτεραιότητα βάσει κινδύνου.
• Χώρισε το δίκτυο σε κατάλληλα segments και περιόρισε την πλευρική μετακίνηση.
• Ενεργοποίησε MFA και least privilege για χρήστες και διαχειριστές.
• Συγκέντρωσε logs και παρακολούθησε ασυνήθιστες συνδέσεις και αλλαγές.
• Διατήρησε backups, δοκίμασε την επαναφορά τους και όρισε διαδικασία incident response.
• Εκπαίδευσε τους χρήστες στην αναγνώριση phishing και στην αναφορά ύποπτων περιστατικών.

Πίνακας: Επίθεση και βασική άμυνα

Επιθέση	Περιγραφή
Phishing	Η προσπάθεια παραπλάνησης των χρηστών για να βρουν ευαίσθητες πληροφορίες, όπως κωδικούς πρόσβασης ή στοιχεία πιστωτικής κάρτας, μέσω πλαστών email ή ιστότοπων.
SQL Injection	Εκμετάλλευση μιας ευπάθειας σε μια εφαρμογή που αλληλεπιδρά με βάση δεδομένων, εισάγοντας κακόβουλους SQL κώδικες για πρόσβαση ή χειρισμό των δεδομένων.
Denial of Service (DoS)	Επίθεση που στοχεύει να καταστήσει μια υπηρεσία μη διαθέσιμη στους χρήστες της, συνήθως με υπερφόρτωση του συστήματος.
(MitM)	Επίθεση κατά την οποία ο επιτιθέμενος παρεμβάλλεται στην επικοινωνία μεταξύ δύο μερών για να παρακολουθεί ή να τροποποιεί τα δεδομένα που μεταφέρονται.
Cross-Site Scripting (XSS)	Εκμετάλλευση μιας ευπάθειας σε μια ιστοσελίδα για την εισαγωγή κακόβουλων σεναρίων που εκτελούνται στους browsers των χρηστών, επιτρέποντας την κλοπή δεδομένων ή την παραπλάνηση των χρηστών.
Ransomware	Κακόβουλο λογισμικό που κρυπτογραφεί τα δεδομένα του θύματος και ζητά λύτρα για την αποκατάστασή τους.
Brute Force Attack	Μέθοδος δοκιμής όλων των πιθανών συνδυασμών κωδικών πρόσβασης μέχρι να βρεθεί ο σωστός, συνήθως με τη χρήση αυτοματοποιημένων εργαλείων.
Zero-Day Exploit	Επίθεση που εκμεταλλεύεται μια ευπάθεια σε λογισμικό την οποία δεν γνωρίζει ακόμη ο κατασκευαστής του λογισμικού, δίνοντας στους επιτιθέμενους ένα πλεονέκτημα.
Social Engineering	Μέθοδοι που εκμεταλλεύονται την ανθρώπινη ψυχολογία για να παραπλανήσουν τους χρήστες ώστε να αποκαλύψουν ευαίσθητες πληροφορίες ή να εκτελέσουν συγκεκριμένες ενέργειες.
Malware	Γενικός όρος για κακόβουλο λογισμικό που σχεδιάζεται να προκαλέσει ζημιά σε υπολογιστές, δίκτυα ή χρήστες. Περιλαμβάνει ιούς, worms, trojans και άλλα.
Insider Threat	Απειλή για την ασφάλεια που προέρχεται από έναν εσωτερικό χρήστη, όπως ένας εργαζόμενος ή συνεργάτης, ο οποίος έχει πρόσβαση σε κρίσιμες πληροφορίες ή συστήματα.
DNS Spoofing	Η αλλοίωση των εγγραφών DNS για την ανακατεύθυνση της κυκλοφορίας από τον νόμιμο διακομιστή σε έναν κακόβουλο διακομιστή, χωρίς τη γνώση του χρήστη.
Birthday Attack	Μια κρυπτογραφική επίθεση που εκμεταλλεύεται τα μαθηματικά του προβλήματος των γενεθλίων για να βρει σύγκρουση σε hash functions, επιτρέποντας την παραγωγή της ίδιας hash τιμής για διαφορετικά δεδομένα.
Spear Phishing	Στοχευμένη μορφή Phishing όπου οι επιτιθέμενοι χρησιμοποιούν προσωπικές πληροφορίες για να πείσουν το θύμα ότι η επικοινωνία είναι αξιόπιστη, με στόχο την αποκάλυψη ευαίσθητων δεδομένων ή την εκτέλεση κακόβουλων ενεργειών.
Credential Harvesting	Η συλλογή στοιχείων σύνδεσης, όπως ονόματα χρήστη και κωδικούς πρόσβασης, μέσω phishing επιθέσεων, malware ή κακόβουλων ιστοσελίδων, για να αποκτήσει ο επιτιθέμενος πρόσβαση σε λογαριασμούς.
Data Poisoning	Η διαδικασία κατά την οποία οι επιτιθέμενοι εισάγουν σκόπιμα κακόβουλα ή ψευδή δεδομένα σε ένα σύστημα εκμάθησης μηχανής ή βάσης δεδομένων, με στόχο να αλλοιώσουν την απόδοση του μοντέλου ή να προκαλέσουν εσφαλμένες προβλέψεις.
Deepfake	Η χρήση τεχνολογίας τεχνητής νοημοσύνης για τη δημιουργία ή την τροποποίηση βίντεο, εικόνων ή ήχου με σκοπό να παρουσιαστεί μια ψεύτικη, αλλά πολύ ρεαλιστική, αναπαράσταση κάποιου ατόμου, συχνά με στόχο την παραπλάνηση ή την εξαπάτηση.
Malvertising	Η πρακτική της εισαγωγής κακόβουλου κώδικα σε διαφημίσεις που εμφανίζονται σε νόμιμες ιστοσελίδες, με στόχο να μολυνθούν οι υπολογιστές των χρηστών όταν κάνουν κλικ ή ακόμη και όταν απλά φορτώσουν τη σελίδα με τη διαφήμιση.
Downgrade Attack	Μια επίθεση κατά την οποία ο επιτιθέμενος αναγκάζει μια εφαρμογή ή πρωτόκολλο ασφαλείας να επιστρέψει σε μια λιγότερο ασφαλή έκδοση ή ρύθμιση, εκμεταλλευόμενος αδυναμίες ή παραλείψεις για να παρακάμψει την προστασία και να αποκτήσει μη εξουσιοδοτημένη πρόσβαση ή να υποκλέψει δεδομένα.
Pass-the-Hash Attack	Μια επίθεση κατά την οποία ο επιτιθέμενος κλέβει και χρησιμοποιεί το hash ενός κωδικού πρόσβασης (όχι το ίδιο το κωδικό πρόσβασης) για να αποκτήσει πρόσβαση σε συστήματα ή υπηρεσίες, εκμεταλλευόμενος αδυναμίες στην αποθήκευση ή στη διαχείριση των hashes.
Kerberoasting	Μια επίθεση κατά την οποία ο επιτιθέμενος ζητάει και συλλέγει υπηρεσίες Kerberos Ticket Granting Tickets (TGTs) από έναν διακομιστή, και στη συνέχεια προσπαθεί να αποκρυπτογραφήσει τα hashes κωδικών πρόσβασης που περιέχονται σε αυτά τα tickets, για να αποκτήσει πρόσβαση σε κρίσιμους πόρους ή υπηρεσίες.
Domain Spoofing	Η τεχνική της παραποίησης ή του μιμητισμού ενός νόμιμου τομέα (domain) με σκοπό την παραπλάνηση των χρηστών ώστε να επισκεφτούν έναν κακόβουλο ιστότοπο που φαίνεται παρόμοιος με τον αυθεντικό.
Email Spoofing	Η διαδικασία κατά την οποία οι επιτιθέμενοι πλαστογραφούν την αποστολή email ώστε να φαίνεται ότι προέρχεται από αξιόπιστη πηγή, με στόχο την παραπλάνηση των παραληπτών για την αποκάλυψη ευαίσθητων πληροφοριών ή την εκτέλεση κακόβουλων ενεργειών.
ARP Spoofing	Η επίθεση κατά την οποία ένας επιτιθέμενος στέλνει ψευδή ARP (Address Resolution Protocol) μηνύματα σε ένα τοπικό δίκτυο για να αντιστοιχίσει τη δική του MAC διεύθυνση με την IP διεύθυνση ενός άλλου συστήματος, επιτρέποντας την υποκλοπή ή την τροποποίηση των δεδομένων που διακινούνται στο δίκτυο.
Rootkits	Κακόβουλο λογισμικό σχεδιασμένο για να παρέχει μυστική πρόσβαση και έλεγχο σε ένα σύστημα, ενώ ταυτόχρονα αποκρύπτει την παρουσία του από τα συστήματα ανίχνευσης. Συχνά εγκαθίστανται από επιτιθέμενους για να διατηρήσουν την πρόσβαση σε έναν υπολογιστή ή δίκτυο χωρίς να ανιχνεύονται.
Trojan	Ένα είδος κακόβουλου λογισμικού που παριστάνει τον εαυτό του ως χρήσιμο ή ακίνδυνο πρόγραμμα, προκειμένου να πείσει τους χρήστες να το εγκαταστήσουν. Μόλις εγκατασταθεί, μπορεί να παρέχει στους επιτιθέμενους πρόσβαση ή έλεγχο στο σύστημα, να κλέψει δεδομένα ή να εκτελέσει άλλες κακόβουλες ενέργειες.
Adware	Λογισμικό που εμφανίζει ή διανέμει διαφημίσεις στον υπολογιστή του χρήστη, συχνά χωρίς τη συναίνεση του. Ενώ μπορεί να μην είναι άμεσα κακόβουλο, μπορεί να επηρεάσει την απόδοση του υπολογιστή και την ιδιωτικότητα του χρήστη, καθώς συλλέγει δεδομένα για τις συνήθειες περιήγησης και τις προτιμήσεις του.
Worms	Κακόβουλο λογισμικό που αυτοαναπαράγεται και διαδίδεται από υπολογιστή σε υπολογιστή μέσω δικτύων, χωρίς την ανάγκη ανθρώπινης παρέμβασης. Τα worms εκμεταλλεύονται συνήθως ευπάθειες του λογισμικού για να επηρεάσουν και να καταστρέψουν συστήματα ή να προκαλέσουν συμφόρηση στο δίκτυο.
Whaling (Είδος Phishing)	Στοχευμένη επίθεση phishing που απευθύνεται σε υψηλόβαθμα στελέχη μιας εταιρείας, με σκοπό την απόσπαση ευαίσθητων πληροφοριών ή χρημάτων.
Social Media Phishing	Απάτες μέσω κοινωνικών δικτύων όπου οι επιτιθέμενοι προσποιούνται ότι είναι φίλοι ή γνωστοί για να αποσπάσουν πληροφορίες ή να εξαπατήσουν τον χρήστη.
Clone Phishing	Δημιουργία ψεύτικου email που μοιάζει με ένα αυθεντικό, αλλά περιέχει κακόβουλους συνδέσμους ή συνημμένα.
Pharming (Είδος Phishing)	Τεχνική που ανακατευθύνει τον χρήστη από μια γνήσια ιστοσελίδα σε μια ψεύτικη, με σκοπό την υποκλοπή προσωπικών δεδομένων.
QR Code Phishing	Εκμετάλλευση QR codes για να παραπέμψουν τον χρήστη σε κακόβουλες ιστοσελίδες ή να εγκαταστήσουν κακόβουλο λογισμικό.
Infected USB Drive	Χρήση μολυσμένων USB sticks που, όταν συνδεθούν σε υπολογιστή, εγκαθιστούν κακόβουλο λογισμικό χωρίς να το αντιληφθεί ο χρήστης.
Smishing and Vishing	Smishing είναι phishing μέσω SMS, ενώ Vishing είναι phishing μέσω τηλεφωνικών κλήσεων – και τα δύο στοχεύουν στην απόσπαση ευαίσθητων πληροφοριών.

Συχνές ερωτήσεις

Ποια είναι η πιο συνηθισμένη κυβερνοεπίθεση;

Δεν υπάρχει μία απάντηση για όλους τους οργανισμούς. Το phishing και η κατάχρηση διαπιστευτηρίων παραμένουν σημαντικές κατηγορίες κινδύνου, ενώ οι web εφαρμογές και οι λανθασμένες ρυθμίσεις αποτελούν επίσης συχνές πηγές έκθεσης.

Τι πρέπει να κάνω αν υποψιάζομαι ότι παραβιάστηκε ένας λογαριασμός;

Από ασφαλή συσκευή άλλαξε τον κωδικό, τερμάτισε ενεργές συνεδρίες, ενεργοποίησε MFA, έλεγξε στοιχεία ανάκτησης και πρόσφατη δραστηριότητα και ενημέρωσε τον πάροχο της υπηρεσίας. Αν πρόκειται για εταιρικό λογαριασμό, ακολούθησε άμεσα τη διαδικασία αναφοράς περιστατικού.

Πού μπορώ να εξασκηθώ με ασφάλεια;

Χρησιμοποίησε εκπαιδευτικά labs όπως TryHackMe, Hack The Box και PortSwigger Web Security Academy. Μην δοκιμάζεις τεχνικές σε δημόσιες ιστοσελίδες ή δίκτυα χωρίς ρητή άδεια.

Για πρακτική συνέχεια, επισκέψου τα εργαλεία κυβερνοασφάλειας.

Χρήσιμοι ιστότοποι

Ιστοσελίδα	Περιγραφή
Hack The Box	Πλατφόρμα πρακτικής εξάσκησης στην κυβερνοασφάλεια, με εικονικές μηχανές, διαδραστικές προκλήσεις και εργαστήρια για την ανάπτυξη δεξιοτήτων στο Ethical Hacking και το Penetration Testing.
CyLab Security Academy	Δωρεάν εκπαιδευτική πλατφόρμα του Carnegie Mellon University με προκλήσεις Capture The Flag (CTF), εκπαιδευτικές διαδρομές και ασκήσεις σε τομείς όπως η κρυπτογραφία, η ψηφιακή εγκληματολογία και η ασφάλεια εφαρμογών.
HackTricks	Εκτενής τεχνική βάση γνώσεων με οδηγούς, μεθοδολογίες και πρακτικές πληροφορίες για Ethical Hacking, Penetration Testing, Red Teaming και ανάλυση ευπαθειών.
PortSwigger	Πλατφόρμα εκμάθησης ασφάλειας διαδικτυακών εφαρμογών, με δωρεάν εκπαιδευτικό υλικό και διαδραστικά εργαστήρια για SQL Injection, Cross-Site Scripting (XSS), Authentication και άλλες ευπάθειες.
TryHackMe	Διαδραστική πλατφόρμα εκμάθησης κυβερνοασφάλειας με καθοδηγούμενα εργαστήρια και εκπαιδευτικές διαδρομές για Linux, Ethical Hacking, Penetration Testing και Blue Team.
OverTheWire	Προσφέρει παιχνίδια και προκλήσεις που βοηθούν στην εκμάθηση Linux, τερματικού, δικτύων και βασικών τεχνικών κυβερνοασφάλειας μέσα από πρακτικές ασκήσεις.
CyberDefenders	Πλατφόρμα εκπαίδευσης Blue Team με εργαστήρια σε Digital Forensics, Incident Response, Threat Hunting και ανάλυση ψηφιακών αποδεικτικών στοιχείων.
CTFtime	Κατάλογος διαγωνισμών Capture The Flag (CTF), με ημερολόγιο διοργανώσεων, πληροφορίες για ομάδες και αποτελέσματα διαγωνισμών κυβερνοασφάλειας.
pwn.college	Εκπαιδευτική πλατφόρμα με δομημένα μαθήματα και πρακτικές ασκήσεις σε Binary Exploitation, Linux, System Security και Reverse Engineering.
Exploit Database	Βάση δεδομένων με δημοσιευμένα exploits και πληροφορίες για γνωστές ευπάθειες, χρήσιμη για έρευνα ασφάλειας και μελέτη τεχνικών εκμετάλλευσης.