ביום רביעי, 11 בנובמבר, פרסמה ענקית הספנות והלוגיסטיקה הדנית Maersk הודעה על אירוע אבטחת מידע. לפי ההודעה, חדר גורם בלתי מורשה לאחת המערכות המקומיות הישנות של הקבוצה והוציא ממנה מידע. את המערכת הזו Maersk לא בנתה בעצמה: היא הגיעה לקבוצה יחד עם חברה שנרכשה בעבר. כמה ימים קודם לכן, בסוף השבוע, הופיע שמה של Maersk באתר ההדלפות של קבוצת WhiteArmor. הקבוצה דורשת 5 מיליון דולר בביטקוין, קצבה 30 יום לתשלום ומאיימת לפרסם כ‑ 100GB של מידע.
מה מאשרת Maersk ומה עדיין לא ידוע
ההודעה של Maersk אומרת מעט על האירוע עצמו והרבה על גבולותיו. ללקוחות שעובדים מולה, הפרט הרלוונטי הוא החיבורים: לפי החברה, עד כה לא נמצא סימן לפגיעה במערכות של לקוחות ושותפים שמחוברות אליה דרך ממשקי API ו‑ EDI. גם במערכות אחרות של Maersk לא נמצא סימן כזה. בחיבורים מהסוג הזה, מערכת של ארגון אחד שולחת למערכת של ארגון אחר הזמנות, מסמכי משלוח ועדכוני סטטוס, בלי שאדם מקליד דבר.
לפי Maersk, בשלב זה אין צפי לשיבוש בעבודת הלקוחות מול הפלטפורמות שלה. לגבי המידע עצמו, הממצאים עד כה מצביעים, לדבריה, על כך ש"לא נחשף מידע רגיש". החקירה טרם הסתיימה. גם אבטחת המערכת שנפגעה עדיין בעיצומה.
גרסת התוקפים מול גרסת Maersk
Maersk אינה חברת הלוגיסטיקה היחידה ש‑ WhiteArmor טוענת שפרצה אליה. לפי ISMG, הקבוצה כבר הכריזה על יותר מ‑ 20 ארגונים, ביניהם חברות לוגיסטיקה גדולות, אף שהיא פעילה רק מאז 21 באוקטובר. ISMG מתארת אותה כקבוצת סחיטה וכופרה. לטענת WhiteArmor, המידע של Maersk נלקח מפלטפורמת OCF/LF Logistics.
את פירוט המידע מספקת הקבוצה בלבד. בגרסה שהביאו BleepingComputer ו‑ Security Affairs, היא טוענת שבידיה 33 חשבונות SUPER_ADMIN, כמעט 30,000 רשומות נהגים לצד סיסמאות שנשמרו כטקסט גלוי, 27,842 רשומות של מכשירים ניידים עם מספרי טלפון, כתובות דוא"ל ומספרי IMEI (המזהה הייחודי של כל מכשיר טלפון) ואישורי מסירה חתומים. חשבון SUPER_ADMIN הוא בדרך כלל החשבון שיכול ליצור משתמשים, לשנות הרשאות ולגשת לכל רשומה. ב‑ Cybernews הטענה מנוסחת אחרת: יותר מ‑ 16,000 סיסמאות של נהגים, בטקסט גלוי.
Maersk השיבה ל‑ Cybernews על הגרסה שלו, זו שעוסקת בסיסמאות. לפי החברה, התוקפים גנבו קודים חד‑פעמיים שתוקפם כבר פג. דובר החברה אמר ל‑ Cybernews: "הטענות על הסיסמאות אינן מדויקות. הסיסמאות במערכת שמורות בצורה מוגנת". לשאר הפריטים שברשימה של BleepingComputer ו‑ Security Affairs החברה לא התייחסה בנפרד.
באותה תגובה, שנוספה לכתבה של Cybernews בערב 11 בנובמבר, אישרה Maersk גם שמדובר באותו אירוע שעליו הכריזה WhiteArmor. Splash247, שפרסם את הידיעה כמה שעות לפני כן, ציין אז ש‑ Maersk לא אישרה קשר כזה. לפי ISMG, WhiteArmor מסרה ש‑ Maersk לא פנתה אליה כדי לנהל משא ומתן. אף מקור לא דיווח על הצפנת מערכות או על השבתה.
מערכת שהגיעה עם הרכישה
Maersk לא נקבה בשם החברה שהמערכת הגיעה ממנה. WhiteArmor מצביעה על LF Logistics. צוות המחקר של Cybernews הגיע למסקנה שהפריצה אכן קשורה אליה. LF Logistics הינה חברת לוגיסטיקה מהונג קונג ש‑ Maersk רכשה ב‑ 2022 מקבוצת Li & Fung, לפי Splash247 בעסקה של 3.6 מיליארד דולר. לפי BleepingComputer, היא זו שפיתחה את הפלטפורמה שהקבוצה טוענת שפרצה אליה. הסכנה שבחשבונות הניהול, לפי הערכת Cybernews, היא שינוי נתונים בחשבונות של לקוחות כדי ליצור הזמנות או למחוק אותן.
לפי Maersk, האירוע מוגבל ל"מערכת מקומית". החברה לא הסבירה את המילה "מקומית" ולא מסרה אם המערכת עדיין שימשה לעבודה שוטפת ואם הייתה מחוברת לשאר הרשת. ברור רק שמערכת שהגיעה עם רכישה עדיין החזיקה מידע בזמן החדירה. אם אכן מדובר ב‑ LF Logistics, הרכישה נעשתה לפני כארבע שנים.
NotPetya: אותה חברה, אירוע מסוג אחר
השם Maersk מזוהה בעולם אבטחת המידע עם NotPetya. ב‑ 2017 התפשטה הנוזקה ההרסנית ברשת של החברה. עשרה ימים נמשך השיקום, כך סיפר ב‑ 2018 בפורום הכלכלי העולמי יו"ר Maersk דאז, ג'ים האגמן סנאבה. באותם עשרה ימים הותקנו 4,000 שרתים ו‑ 45,000 מחשבים חדשים. גם 2,500 יישומים הוחזרו לפעולה. לפי The Register, החברה העריכה אז את הנזק בכ‑ 300 מיליון דולר.
אבל ההשוואה בין שני האירועים מטעה. NotPetya השביתה את המערכות. באירוע הנוכחי, לפי מה שפורסם, מידע יצא ממערכת אחת והוא משמש לסחיטה, בלי דיווח על השבתה. גם The Register מעריך, לפי ניסוח ההודעה, שהפעם הנזק לא יהיה קטסטרופלי כמו ב‑ 2017. ההבדל משנה את ההגנה הנדרשת: גיבוי ושחזור מחזירים ארגון לפעולה אחרי השבתה, אך אינם מחזירים מידע שכבר יצא.
הסיכון לארגון שלכם
ארגון שגדל ברכישות יורש יותר מלקוחות ועובדים. הוא יורש מערכות, חשבונות משתמשים, הרשאות ניהול ומידע שהוא לא תכנן ולא אבטח. כל עוד מערכת כזו לא הועברה למערכות המרכזיות ולא נסגרה, היא ממשיכה להחזיק מידע. השאלה אם היא מנוטרת, מעודכנת ומוגנת כמו שאר הארגון נשארת פתוחה עד שמישהו בודק.
סיכון נוסף הוא המידע שלכם אצל ספקים. יבואנים, יצואנים ומשלחים עובדים מול פלטפורמות של חברות לוגיסטיקה. בפלטפורמות האלו שמורים פרטי ההזמנות, הנמענים והכתובות. לפי Cybernews, רוב המידע בפלטפורמה שנפרצה שייך לחברות לוגיסטיקה אחרות ולא ל‑ Maersk עצמה. כפי שתואר כאן במבזק על המתקפה על Ceva Logistics, לקוחות של ספק לוגיסטיקה יכולים לגלות שפרטים של הלקוחות שלהם נגנבו ממערכת שהם עצמם לא מפעילים.
בישראל יש לכך תקדים מוכר. ב‑ 2020 הפכה פריצה ל‑ Amital Data, ספקית תוכנה לענף השילוח והמכס, לדרך פנימה אל כ‑ 40 מלקוחותיה, באמצעות פרטי התחברות שנגנבו ממנה. כך דיווח CTech של כלכליסט. את המספר מסרו מקור שדיבר בעילום שם ודיווח שמסרה לבורסה בעלת מניות בחברה. Amital עצמה טענה אז שבשלב ההוא הנזק מבודד. לכן, מבחינת הלקוחות של Maersk, המשפט על ממשקי API ו‑ EDI הוא כנראה החשוב ביותר בהודעה. בשלב זה, התשובה שהוא נותן היא שלא נמצא סימן לכך שהפריצה עברה אליהם.
לבסוף, האירוע עצמו עלול לשמש פיתיון. Maersk ממליצה ללקוחותיה לבדוק כל פנייה בלתי צפויה בנושא האירוע מול איש הקשר הקבוע שלהם בחברה. אירוע מתוקשר נותן לתוקפים תירוץ מוכן לפנייה, למשל בקשה לאמת פרטים בעקבות האירוע.
010 הגנה על מידע
Maersk לא מסרה איך נכנס התוקף, מתי החלה החדירה ואיזו מערכת בדיוק נפגעה. על המידע שיצא מסרה רק שלפי הממצאים עד כה אינו רגיש ושנגנבו קודים חד‑פעמיים שתוקפם פג. לכן ההמלצות שלהלן נשענות על מה שידוע: מערכת ישנה שהגיעה עם רכישה, מידע שיצא ממנה, טענה פומבית של קבוצת סחיטה עוד לפני ההודעה הרשמית ואזהרה מפני פניות מתחזות.
סקר סיכונים. אחרי רכישה, סקר סיכונים בודק אילו מערכות של החברה הנרכשת עדיין פועלות, איזה מידע הן מחזיקות, כמה חשבונות ניהול יש בהן ומי מחזיק בהם, איך נשמרות בהן סיסמאות ואיך הן מחוברות למערכות המרכזיות. המחלוקת בין Maersk ל‑ WhiteArmor על אופן שמירת הסיסמאות ממחישה שזו שאלה עובדתית שאפשר לבדוק מראש. הסקר מצביע על הפערים. את ההחלטה אם להעביר, לחזק או לסגור מערכת מקבלים בנפרד.
SIEM/SOC. לא פורסם אם המערכת שנפגעה נוטרה. Maersk מסרה רק שצוות הסייבר שלה גילה את הבעיה. לטענת WhiteArmor, בידיה כ‑ 100GB של מידע ופרטים של 33 חשבונות ניהול. ניטור רציף נועד להציף פעילות כמו שימוש חריג בחשבונות ניהול או שליפת מידע בהיקף חריג. יש לכך שני תנאים. הראשון: המערכת מתעדת ביומנים כניסות ושליפות. השני: היומנים נאספים ל‑ SIEM. מערכת ישנה שהגיעה ברכישה עשויה שלא לעמוד בתנאי הראשון. את זה כדאי לבדוק לפני אירוע.
מניעת דלף מידע (DLP). Maersk מאשרת שמידע יצא מהמערכת. בקרות DLP נועדו לזהות ולעצור העברה חריגה של מידע אל מחוץ לארגון. הן רואות רק את הערוצים שהן בוחנות. שליפה ישירה משרת בידי תוקף לא תמיד עוברת בהם. האופן שבו יצא המידע לא פורסם. לכן זו המלצה כללית שהאירוע מזכיר, לא לקח שנגזר ממנו.
מודיעין סייבר. שמה של Maersk הופיע באתר ההדלפות של WhiteArmor ימים לפני ההודעה הרשמית. מעקב אחר אתרי הדלפה ופורומים נועד לזהות מוקדם לא רק את שם הארגון אלא גם את שמות הספקים שלו. ספק שמופיע ברשימה כזו עשוי להיות הסימן הראשון לכך שמידע של הארגון בסיכון. רשימת הארגונים ש‑ WhiteArmor טוענת שפרצה אליהם, שכוללת כאמור חברות לוגיסטיקה, היא דוגמה לרשימה שבה כדאי לחפש גם שמות של ספקים. המעקב רואה רק טענות שמתפרסמות בפומבי.
מודעות עובדים לסייבר וסינון דוא"ל. האזהרה של Maersk רלוונטית לכל מי שעובד מולה. היא נוגעת בעיקר לעובדי רכש, יבוא, כספים ולוגיסטיקה, שמקבלים ממילא הודעות על משלוחים וחשבוניות. הדרכה טובה מטמיעה כלל אחד: פרטי קשר שמופיעים בהודעה אינם דרך לאמת אותה. בודקים מול ערוץ שמוכר מראש. סינון דוא"ל משלים את ההדרכה בערוץ הדוא"ל בלבד. הוא נועד לסמן הודעות שמתחזות למותגים מוכרים, למשל הודעות מדומיין שנראה כמעט זהה לדומיין המקורי. הודעה מחשבון לגיטימי שנפרץ עלולה לעבור אותו.
שלושה שירותים נוספים אינם נגזרים מהאירוע כפי שפורסם. הגנה אקטיבית מכופרה, לצד גיבוי והמשכיות עסקית: אף מקור לא דיווח על הצפנה או על השבתה. עדכוני תוכנה ואבטחה: לא פורסם אם החדירה עברה דרך חולשה שלא תוקנה.
למקור הידיעה ולקריאה נוספת לחצו כאן
