לקוח שיגיע הבוקר למוסך מורשה של כלמוביל עלול למצוא מצב מוזר: הרכב מתקבל, אך העבודה אינה מתקדמת כרגיל. ברקע עומד אירוע אבטחת מידע שהחברה דיווחה עליו ללקוחותיה ביום רביעי בערב. לפי הדיווח ב‑ CTech, נראה כי יבואנית הרכב הגדולה בישראל נפגעה ממתקפת סייבר ששיבשה את פעילותה. ההודעה שנשלחה ללקוחות מנוסחת בזהירות: צוות הטכנולוגיות זיהה את האירוע, החברה מסרה שנערכה מראש לאירוע מסוג זה והגורמים הרגולטוריים עודכנו בעוד צוותים ייעודיים בודקים את מקורו. מרכזי השירות, נמסר, ימשיכו לקבל רכבים ולתת שירות — במתכונת מצומצמת.
כלמוביל מייבאת לישראל את מיצובישי, יונדאי, מרצדס‑בנץ, אורה ו‑ Jaecoo. היא יבואנית הרכב הגדולה בשוק המקומי. לפי נתוני איגוד יבואני הרכב שצוטטו בדיווח, נמסרו על ידה 62,657 רכבים חדשים מתחילת השנה ועד סוף ספטמבר. בהקשר הישראלי האירוע חריג: לפי אותו דיווח, לא פורסמו באופן נרחב מקרים שבהם השביתה מתקפת סייבר פעילות של יבואן רכב בישראל, אף שהיקף השיבוש בכלמוביל עצמה אינו ברור.
מה נמסר, מה לא נמסר ומה עדיין לא ברור
זה המקום להיות מדויקים. אופי האירוע והיקפו לא פורסמו. גם לא נמסר אם מידע לקוחות או מערכות פנימיות נפגעו. בשלב זה אין ייחוס לקבוצת תקיפה. ההודעה אינה מזכירה כופרה, הצפנה או דרישת כופר. החברה עצמה השתמשה במילים "אירוע אבטחת מידע" בלבד. כל ניסיון להצמיד לאירוע תרחיש מלא הינו ניחוש. לכן הניתוח שלהלן עוסק במה שכן אפשר ללמוד: מדוע יבואנית רכב הינה מטרה אטרקטיבית ומה נשבר בפועל כשמערכות מחושב כאלו נופלות.
מדוע דווקא יבואנית רכב
יבואן רכב אינו חברה שמוכרת מכוניות. הוא מפעיל רשת תפעולית שרצה כולה על מערכות מידע: הזמנות ומסירות, יומני עבודה של מוסכים מורשים, היסטוריית טיפולים לכל רכב, מלאי חלפים, תביעות אחריות מול היצרן בחו"ל, מערכות אבחון שמתחברות למחשב הרכב ומסד נתוני לקוחות הכולל שם, מספר זהות, כתובת, פרטי מימון ומספר שלדה.
כשהשכבה הזאת נעלמת, אין "עבודה ידנית" שמחליפה אותה באמת. מוסך שאינו יכול לשלוף היסטוריית טיפולים, לבדוק אם חלק החילוף קיים במלאי או לפתוח קריאת אחריות – מקבל את הרכב פיזית, אך אינו מסיים את העבודה. כך בדרך כלל נראית מתכונת מצומצמת בארגון מהסוג הזה, אף שכלמוביל לא פירסמה אילו מערכות נפגעו. הנזק מצטבר בשקט: רכבים ממתינים בחניון, מסירות נדחות, תורים שאינם נקבעים. ברשת שמסרה למעלה מ‑ 60 אלף רכבים בתשעה חודשים, כל יום עולה כסף אמיתי.
התקדים שכדאי להכיר
כדי להבין את גודל הסיכון כדאי להסתכל מעבר לים. ל‑ CDK Global, ספקית תוכנה אמריקאית, יש מוצר אחד שבו למעלה מ‑ 15,000 סוכנויות רכב בצפון אמריקה מריצות מכירות, מימון, מלאי ושירות. ב‑ 18 ביוני 2024 נפגעה החברה ממתקפת כופרה. כדי לבלום אותה היא כיבתה את מערכות המידע שלה. התוצאה בשטח הייתה חזרה לעט ולנייר. הלקוחות נתקעו בשתי נקודות: רכישת רכב חדש וקבלת שירות לרכב קיים.
שלושה פרטים מאותה פרשה ראויים לתשומת לב דווקא בישראל של היום. הראשון הוא הזירה האנושית: CDK עצמה הזהירה שבמהלך האירוע תוקפים מתקשרים לסוכנויות ומתחזים לנציגים מטעמה, כדי להשיג גישה למערכות שלהן. השני הוא שחלון ההתאוששות הינו שלב תקיפה בפני עצמו, שכן בזמן שהחברה שיקמה מערכות מחשוב, היא ספגה מתקפה שנייה שאילצה אותה לכבות הכול מחדש. השלישי הוא ממד הזמן: כשבועיים לאחר המתקפה הודיעה CDK שהיא מצפה לחבר את כל הסוכנויות בחזרה למערכת המרכזית, בעוד שחזור יישומים נוספים עדיין נמשך.
הסיכון האמיתי לארגון שלכם
המשפט "החברה נערכה לאירוע מסוג זה" הינו המשפט הנכון להיאמר, אך כל ארגון צריך לדעת לפרוט אותו לפרטים לפני שהוא נדרש לומר אותו. היערכות נמדדת בשלושה דברים: כמה זמן לוקח לזהות שמשהו קורה, כמה זמן לוקח לשחזר את המערכות הקריטיות מגיבוי שנבדק בפועל ובאיזו מידה אפשר להמשיך לתת שירות בזמן שהשחזור רץ. ארגון שאינו יודע לנקוב במספרים האלו אינו ערוך, אלא מקווה.
לשרשרת האספקה תפקיד מרכזי כאן. יבואן, מפיץ או רשת שירות מחזיקים מידע על רבבות לקוחות ומחוברים למערכות של יצרנים, מוסכים וחברות ליסינג, כך שפגיעה בחוליה אחת מקרינה מיד על כל השאר. מנהל שמסתכל על האירוע מבחוץ צריך לשאול לא רק מה ההגנות שלו, אלא גם מי מהספקים שלו מחזיק מפתח למערכות שלו.
010 אבטחת מידע והמשכיות עסקית
בכל אירוע שמפיל מערכות, בלי קשר לאופיו, השאלה המעשית הראשונה הינה כמה מהר חוזרים לפעול. שירות גיבוי והמשכיות עסקית של 010 בנוי לנקודה הזאת: עותקים מופרדים שאינם נגישים לתוקף שהשתלט על הרשת, לצד תרגול שחזור שמוכיח שהנתונים אכן חוזרים ובתוך כמה זמן. לתרחיש הכופרה, הנפוץ מבין התרחישים שמשביתים ארגונים, נועד שירות הגנה אקטיבית מכופרה — לעצור את שלב ההשתלטות וההצפנה עוד בזמן התרחשותו.
שירות SIEM/SOC מקצר את הזמן שבין החריגה הראשונה לבין ההבנה שמדובר באירוע. זמן הזיהוי אינו המשתנה היחיד שקובע את משך ההשבתה, אך הוא אחד המעטים שארגון יכול לשפר מראש. סקר סיכונים מוסיף את התמונה הארגונית: אילו מערכות קריטיות לרצף השירות ומי מהספקים מחובר אליהן. שירות מודעות עובדים לסייבר מקבל משנה חשיבות דווקא בימי האירוע: כפי שהתריעה CDK בזמן אמת, ימי השיבוש הם הזמן שבו מצפים צוותים עמוסים לשיחות מהספק — וגם הזמן המושלם להתחזות לנציג מטעמו. מניעת דלף מידע (DLP) מצמצמת את התרחיש הגרוע מכולם, שבו מעבר לשיבוש התפעולי יוצא מהארגון גם מסד נתוני הלקוחות.
בשלב זה היקף האירוע בכלמוביל אינו ידוע. ייתכן שהתמונה תתבהר בימים הקרובים. השאלה שכל מנהל בישראל צריך לשאול את עצמו הבוקר אינה מה קרה בכלמוביל, אלא כמה זמן היה הארגון שלו ממשיך לתת שירות באותן נסיבות — יום, שבוע או שבועות.
למקור הידיעה ולקריאה נוספת לחצו כאן
