בית משפט בארצות הברית גזר ב‑ 14 באוגוסט 2026 שנתיים מאסר על קמרון קרי בן ה‑ 27 מצפון קרוליינה, שהורשע במרץ 2026 בסחיטת סייבר נגד החברה שבה עבד. קרי לא היה תוקף חיצוני שחדר למערכות המחשוב של הארגון, הוא היה אנליסט נתונים בחוזה קבלנות בחברת Brightly Software — חברת SaaS בבעלות סימנס, המעסיקה מעל 700 עובדים ומשרתת למעלה מ‑ 12,000 לקוחות ברחבי העולם.
כיצד בוצעה מתקפת הסייבר
חוזה ההעסקה של קרי היה לחצי שנה והסתיים ב‑ 10 בדצמבר 2023. במהלך התקופה נחשף לחומרים רגישים במיוחד: נתוני שכר, מידע תאגידי ופרטים אישיים מזהים של עובדים — שמות, תאריכי לידה, כתובות מגורים ונתוני שכר. חלק מהחומר שאסף היה פשוט צילומי מסך של מידע רגיש שהוצג לו במערכות.
יום אחד בלבד לאחר סיום החוזה, ב‑ 11 בדצמבר, החל קרי לשלוח הודעות סחיטה מכתובת [email protected] — התכתבות שנמשכה עד 24 בינואר 2024. ההודעות נשלחו ישירות לעשרות מעובדי החברה, לא רק להנהלה. הדרישה: 2.5 מיליון דולר בקריפטו, עם איום שהסכום יעלה ב‑ 100 אלף דולר בכל חודש שיחלוף. במקביל איים להתחיל בפרסום נתוני השכר לכלל העובדים החל מ‑ 1 בינואר 2024. איום נוסף היה לדווח לרשות ניירות הערך האמריקאית על אי‑דיווח החברה על האירוע, לצד טענה לאי‑התאמות בספרים בהיקף של מעל 16 מיליון דולר.
Brightly שילמה בפועל 7,540 דולר בביטקוין לארנק שבשליטתו — סכום זעום ביחס לדרישה. במקביל פנתה לרשויות אכיפת החוק. ב‑ 24 בינואר 2024 ערך ה‑ FBI חיפוש בביתו של קרי ותפס מכשירים אלקטרוניים שקשרו אותו לפרשה. מהחברה נמסר שהיא שיתפה פעולה באופן מלא עם ה‑ FBI ועם משרד המשפטים.
מדוע איום סייבר פנימי שונה מכל תרחיש אחר
במתקפה חיצונית נדרש התוקף לפרוץ פנימה למערכות המחשוב של הארגון: לנצל חולשה, לגנוב אישורי גישה או להערים על עובד. איום פנים מדלג על השלב הזה לחלוטין. לקבלן, לפרילנסר או לעובד יש כבר הרשאה לגיטימית. הפעולות שלו נראות למערכות ההגנה בדיוק כמו עבודה שגרתית — שאילתה למאגר שכר היא בדיוק מה שאנליסט נתונים אמור לבצע. צילום מסך אינו מפעיל שום התראה.
שלושה כשלים חוזרים על עצמם כמעט בכל אירוע כזה: הרשאות רחבות מדי ביחס לתפקיד, היעדר בקרה על יציאת מידע מהארגון ותהליך עזיבה שמסתיים בביטול המשתמש בלבד — בלי לבדוק מה הועתק בשבועות שקדמו לו. הנקודה הרגישה ביותר היא דווקא החלון שבין הרגע שבו העובד יודע שהוא עוזב לבין יומו האחרון. זהו פרק זמן שבו המוטיבציה כבר השתנתה, אך ההרשאות עדיין פעילות במלואן.
יש כאן גם מימד שני, פחות מדובר: המידע שנגנב היה נתוני שכר של עובדים. סחיטה המבוססת עליו מכוונת לא רק אל כיס הארגון אלא גם אל האמון של העובדים בו. קרי שלח את ההודעות לעשרות עובדים במקביל, כך שכל אחד מהם הפך ללחץ נוסף על ההנהלה. בישראל, שבה חוק הגנת הפרטיות ותקנות אבטחת המידע מטילים אחריות ישירה על בעל מאגר המידע, אירוע כזה נושא גם חשיפה רגולטורית מיידית.
פתרונות הסייבר של 010
מניעת דלף מידע (DLP) היא הרובד המרכזי כאן. מערכת DLP מזהה ומגבילה יציאה של מידע רגיש מהארגון — העתקה להתקן חיצוני, העלאה לאחסון ענן פרטי, שליחה לכתובת מייל אישית או ייצוא המוני של רשומות. זהו בדיוק ההבדל בין ניסיון גניבה שנעצר בזמן לבין דרישת כופר של 2.5 מיליון דולר.
סקר סיכונים של 010 ממפה מי ניגש למה בפועל, לא לפי מה שכתוב בנהלים. הסקר חושף הרשאות עודפות, חשבונות קבלנים שנשארו פעילים אחרי סיום ההתקשרות, גישה של גורם חיצוני למאגרי משאבי אנוש ושכר ותהליכי כניסה ועזיבה שאינם נסגרים כראוי. עבור ארגון המעסיק פרילנסרים וקבלני משנה — מצב שגרתי בשוק הישראלי — זו נקודת הפתיחה המתבקשת.
SIEM/SOC מספק את שכבת הזיהוי ההתנהגותי. גישה לגיטימית שמתנהגת באופן חריג — נפח שאילתות גדול מהרגיל, ייצוא המוני של רשומות, פעילות בשעות לא אופייניות או פנייה למאגרים שאינם חלק מהתפקיד השוטף — היא בדיוק סוג האנומליה שמרכז ניטור אמור להתריע עליה בזמן אמת ולא בדיעבד.
מודעות עובדים לסייבר רלוונטית כאן במיוחד, משום שהודעות הסחיטה הגיעו אל עשרות עובדים ישירות. עובד שמקבל מייל כזה צריך לדעת לדווח מיד במקום להיכנס לדיאלוג עם התוקף. ההנהלה, מצדה, זקוקה לתרחיש מוכן מראש לניהול אירוע סחיטה.
שנתיים מאסר הן סוף הסיפור מבחינת מערכת המשפט. מבחינת הארגון, המסקנה פשוטה יותר: ההגנה על מידע פנימי אינה מתחילה ביום שבו העובד עוזב, אלא ביום שבו הוא מקבל את ההרשאה הראשונה.
למקור הידיעה ולקריאה נוספת לחצו כאן
