מחלקת הסייבר בפרקליטות המדינה הגישה כתב אישום נגד מיכאל "מיקי" בר, בן 43 מאשקלון, ששימש מנהל אבטחת מידע (CISO) בקבוצת חמת. לפי כתב האישום הוא יצר, הפיץ והפעיל נוזקות באופן שיטתי משנת 2019 ועד מעצרו באוגוסט האחרון. ברשימה שצורפה לכתב האישום מופיעות 26 חברות, שני קיבוצים — גזית וכפר מנחם — לצד מחשבים של אנשים פרטיים. בין החברות הנזכרות בשמן: שלדור, גינדי ומכפל משמרות. קבוצת חמת עצמה אינה קשורה לאישומים. כל האמור להלן הוא בגדר טענות התביעה בלבד. הנאשם חף מפשע עד שיוכח אחרת.
מה בדיוק קרה
הכלים שבהם נעשה שימוש לא היו אקזוטיים. לפי כתב האישום, כבר ביוני 2019 הופעל חשבון טלגרם בשם MIKOSS ובו 19 בוטים ששימשו כלוח בקרה לנוזקות שהותקנו על מחשבי הקורבנות. היכולות המיוחסות לנוזקות הן קלאסיות של כלי ריגול: צילום מסך, הפעלה מרחוק של מצלמה ומיקרופון להקלטת וידאו ואודיו, שליפת שמות משתמש וסיסמאות השמורים במחשב, משיכת פרטי כרטיסי אשראי, מיפוי הקבצים השמורים, הורדת קבצים וכיבוי המחשב מרחוק. בשנה האחרונה, כך נטען, פותחו שתי נוזקות מתקדמות יותר. באמצעותן נשלחו למעלה מ- 1,200 פקודות שונות למחשבים שנפרצו.
הנקודה שהופכת את אירוע הסייבר הזה לחריג
ב- 30 באפריל פנו אל בר חוקרים ממערך הסייבר הלאומי. הם בדקו תקיפה רחבת היקף נגד חברות במשק הישראלי וחשדו שגם קבוצת חמת נפגעה. בתוקף תפקידו כמנהל אבטחת המידע הוא קיבל מהם את פרטי מתקפת הסייבר וגם כלי ייעודי לאיתור הנוזקה ברשת הארגונית. לפי כתב האישום, האדם שקיבל לידיו את כלי הזיהוי היה התוקף עצמו. הוא הסתיר את מעורבותו, המשיך לשוחח עם החוקרים כשבועיים ולא עצר את הפעילות. יתרה מזו: אחרי שהבין כי הנוזקה שלו זוהתה, נטען שפיתח גרסה חדשה ומתוחכמת יותר שבאמצעותה חדר לחברות נוספות. לפי התביעה, חלק מהנוזקות פותחו בעזרת כלי בינה מלאכותית. היסטוריית השימוש שלו ב- Claude נמצאה במחשביו.
הסיכון: מה זה אומר לארגון שלכם
כתב האישום מונה 11 אישומים. בין העבירות המיוחסות: 28 עבירות של חדירה לחומר מחשב, 44 עבירות של החדרת נגיף מחשב ו- 155 עבירות של פגיעה בפרטיות. הנזק המצטבר לחברות מוערך בכ- 1.5 מיליון שקל. אבל המספר שצריך להדאיג מנהלים הוא אחר לגמרי: שבע שנים. זה פרק הזמן שבו, לפי הנטען, פעלה תשתית ריגול אחת בתוך עשרות ארגונים מבלי שאיש עצר אותה.
שלוש מסקנות עסקיות עולות מכאן:
- גורם האיום לא ניסה לפרוץ למערכות המחשוב מבחוץ. הוא החזיק הרשאות לגיטימיות. מודל הגנה שכל כולו מבוסס על חומת מגן חיצונית פשוט לא רואה תרחיש כזה.
- גניבת המידע הייתה שקטה. אין הצפנה, אין דרישת כופר, אין השבתה — כלומר אין אף אחד מהאותות הרועשים שרוב הארגונים בנויים לשים לב אליהם. הדליפה נמשכת שנים בזמן שהעסק מתפקד כרגיל.
- החשיפה העסקית הייתה ממשית: בין החומרים שנמצאו, לפי כתב האישום, צילום מסך של שיחת זום שבה נדונו פרויקטים ועסקאות מהותיות, לצד צילום מסך של פלטפורמה בנקאית שדרכה ניתן היה להגיע לחשבונות החברה באיטליה. הפגיעה גם חצתה את גבול הארגון אל בתיהם ואל בני משפחותיהם של עובדים.
הנקודה הכואבת ביותר: הגילוי לא הגיע ממערכת הגנה פנימית של אף אחת מ- 26 החברות. הוא הגיע מגורם לאומי חיצוני שחקר מתקפת סייבר רחבה יותר.
010 הגנת סייבר מומלצת
- סקר סיכונים. התיק הזה הוא כשל של הרשאות-על. הבקרה הנדרשת היא מיפוי מסודר של מי מחזיק בהרשאות ניהול ואבטחה, הפרדת תפקידים ובדיקה תקופתית של החשבונות הפריווילגיים. השאלה "מי בודק את הבודק" אינה תיאורטית. עבור חברות בינוניות וקיבוצים שאין להם פונקציית אבטחה פנימית, מבט חיצוני הוא ההבדל בין שנה לשבע שנים.
- SIEM/SOC. הפעלת מצלמה, הקלטת מסך, תעבורה יוצאת חריגה ופקודות שליטה מרחוק מייצרות חתימות התנהגותיות שאפשר לזהות. שבע שנות פעילות הן שבע שנים של אותות שלא היה מי שיאזין להם. ניטור מתמשך עם צוות שמגיב בפועל הוא בדיוק ההבדל בין נוזקה שמתגלה בחודש הראשון לנוזקה שמתגלה במקרה.
- מניעת דלף מידע (DLP). אלפי קבצים יצאו מהמחשבים אל שרתי שליטה חיצוניים. ההגנה הרלוונטית כאן היא על התנועה היוצאת, לא רק על הכניסה.
- מודעות עובדים לסייבר. הגבול בין מחשב העבודה למחשב הבית נמחק בתיק הזה לחלוטין. עובדים צריכים לדעת לזהות סימני חדירה בסיסיים ולדעת למי לדווח.
הלקח המרכזי אינו טכנולוגי אלא מבני. מודל ההגנה הרווח מניח שהאיום מגיע מבחוץ. התיק הזה מציב שאלה אחרת לגמרי: מה קורה כשההרשאות הגבוהות ביותר בארגון נמצאות בידיים הלא נכונות, כשאין גורם חיצוני בלתי תלוי שמסתכל על התמונה.
למקור הידיעה ולקריאה נוספת לחצו כאן
