אחד מאגפי הסנאט של ברלין — האגף לניידות, תחבורה, הגנת האקלים והסביבה דיווח ב‑ 7 באוגוסט 2026 אודות זרימת מידע חריגה החוצה מרשת המחשוב הממשלתית של המדינה. הזליגה נמשכה עד ה‑ 12 בחודש. הניתוק בפועל של האגפים הפגועים מהרשת בוצע רק ב‑ 14 באוגוסט – שבעה ימים אחרי הדיווח הראשון. החיבור המלא הוחזר ב‑ 23 בחודש. ב‑ 28 באוגוסט תועדה בלוח ההדלפות של קבוצת הכופרה Rhysida רשומה בשם "Berlin, Germany". ראש עיריית ברלין וראש ממשלת המדינה – קאי וגנר, אמר אחרי ישיבת סנאט מיוחדת: "מדינת ברלין נסחטת". התשובה הרשמית היא סירוב לשלם.
מה נטען ומה אושר
כאן נדרשת הבחנה שאסור לטשטש: כל המספרים הגדולים מגיעים מהתוקפים עצמם. ברלין לא פרסמה אף נתון אודות היקף המידע שנגנב מרשת המחשוב. Rhysida טוענת שסרקה 5.79 טרה‑בייט וכ‑ 1.44 מיליון קבצים. הרשומה מפרטת 11 קטגוריות בלבד, שיחד מסתכמות בכרבע מכמות הקבצים שנטענה. הגדולה שבהן היא 124,823 קבצי מפות ונתונים גאו‑מרחביים. עוד נטען מידע אישי על 12,076 בני אדם. סכום כופר כלל לא צוין בפרסום.
איך עובד המנגנון הזה
Rhysida פועלת במודל של סחיטה כפולה: תחילה מוציאים עותק של המידע החוצה, לאחר מכן משביתים מערכות מחשוב. אם הקורבן מסרב לשלם, המידע מתפרסם באתר ייעודי שהקבוצה מנהלת — "לוח ההדלפות". הלחץ אינו נובע מההשבתה אלא מהאיום לפרסם. שירות ניטור כופרה ספר 280 קורבנות של הקבוצה נכון ל‑ 29 באוגוסט, תשעה מהם בגרמניה.
המקור אינו מפרט כיצד נכנסו התוקפים לרשת המחשוב של ברלין. מה שמתועד הוא הדפוס הכללי של הקבוצה: התרעה משותפת של ה‑ FBI ו‑ CISA מנובמבר 2023 מונה שלוש דרכי כניסה אופייניות. הראשונה היא חשבונות תקפים בשירותי גישה מרחוק שאינם מוגנים באימות רב‑שלבי — שם משתמש וסיסמה אמיתיים שנגנבו. במקרה כזה אין "פריצה" במובן הקלאסי: התוקף מתחבר כמו כל עובד. השנייה היא Zerologon (CVE-2020-1472), חולשת הסלמת הרשאות בפרוטוקול Netlogon של מיקרוסופט, שתוקנה ב‑ 11 באוגוסט 2020. בארגונים שלא התקינו את הטלאי היא נותרת נתיב מעשי אל בקר הדומיין. השלישית היא דיוג — הודעת דוא"ל אחת שמצליחה.
אף אחת מהשלוש אינה מתוחכמת. שלושתן מנצלות פערים תפעוליים שקיימים בארגונים ישראליים רבים ברגע זה: שער גישה מרחוק בלי MFA, שרת שלא עודכן, עובד שלא עבר הדרכה.
הסיכון: מה זה אומר לארגון ישראלי
באירוע מהסוג הזה הגיבוי אינו התשובה המלאה. מרגע שהמידע יצא החוצה, שחזור מערכות המחשוב מחזיר את הזמינות אך אינו מוחק את העותק שנמצא בידי התוקף. זהו ההבדל בין השבתה לבין סחיטה. ההחלטה אם לשלם הופכת כאן להחלטה עסקית, לא טכנית.
הפער התפעולי הבולט הוא לוח הזמנים. שבעה ימים חלפו בין הדיווח על הזליגה לבין הניתוק מהרשת. כל שעה בפער הזה פירושה מידע נוסף שיוצא. המחיר לאזרח היה מוחשי: לאורך תקופת הבידוד לא ניתן היה להגיש בקשות לסיוע בדיור. גם התשלומים לא בוצעו. סנאטורית הפנים איריס שפרנגר מסרה כי נכון לשלב זה לא יצא מידע מהאזורים הרלוונטיים לניהול הבחירות לבית הנבחרים של ברלין ב‑ 20 בספטמבר.
בישראל אירוע כזה מתורגם מיד לשתי שכבות.
- הראשונה רגולטורית: דלף מידע אישי מפעיל את חובות אבטחת המידע והדיווח מול הרשות להגנת הפרטיות.
- השנייה חוזית: ארגון בינוני אשר משרת גוף ציבורי או תאגיד גדול מחזיק אצלו מסמכים של אחרים — חוזים, תוכניות ורשומות לקוחות. דלף מידע אצלו אינו תקלה פנימית אלא הפרת התחייבות מול הלקוח.
ראוי לשים לב גם לתמהיל המידע: הקטגוריה הגדולה כאן היא מפות ונתונים מרחביים, לא רשימת אזרחים. מסמכים כאלו בידי תוקף הינם חומר גלם למיפוי מטרות בהמשך. המקבילה בארגון עסקי היא שרטוטים, תמחירים ומסמכי ספקים — נכסים ששוויים בעיני התוקף גבוה משוויה של רשימת לקוחות.
010 אבטחת סייבר מקצועית
אירוע כזה נבלם בשלבים, לא במוצר אחד:
- סקר סיכונים מאתר בדיוק את הפערים המופיעים בהתרעת ה‑ FBI: שערי גישה מרחוק בלי אימות רב‑שלבי, בקרי דומיין שלא עודכנו וחשבונות שירות מיותרים.
- עדכוני תוכנה ואבטחה מהווים את התשובה הישירה ל‑ Zerologon. טלאי משנת 2020 שעדיין רלוונטי בשטח מעיד על כשל תהליכי, לא על כשל טכנולוגי.
- מודעות עובדים לסייבר וסינון דוא"ל מצמצמים את וקטור הדיוג. הסינון עוצר את רוב ההודעות לפני תיבת הדואר. ההדרכה מטפלת במיעוט שעובר.
- SIEM/SOC הוא הרכיב שמקצר את שבעת הימים ההם. זיהוי זליגה חריגה הוא חצי מהעבודה. החצי השני הוא מי שמנטר ברציפות, מתריע ומביא להחלטת בידוד בזמן אמת.
- מניעת דלף מידע (DLP) נועדה לסמן ולהגביל בדיוק את סוג הזרימה הזה. תנועת מידע בסדר גודל כזה אינה עוברת בשקט. השאלה היחידה היא אם מישהו מסתכל על הערוץ.
- גיבוי והמשכיות עסקית יחד עם הגנה אקטיבית מכופר מנטרלים את החלק בסחיטה שאפשר לנטרל — הזמינות. את הפרסום אי אפשר להחזיר לאחור. לכן הוא נבלם מוקדם יותר בשרשרת, לפני שהמידע יוצא.
- מודיעין סייבר מספק את ההתרעה המוקדמת: על מתקפות סייבר פעילות בענף שלכם ועל אזכור של הארגון בזירות שבהן נסחר מידע גנוב.
ברלין קיבלה החלטה נכונה. ההחלטה הזאת עולה כסף רק למי שלא נערך לה מראש. נקודת הפתיחה המעשית היא סקר סיכונים — הוא שמראה מי מהפערים ברשימת ה‑ FBI קיים אצלכם ברגע זה.
למקור הידיעה ולקריאה נוספת לחצו כאן
