קבוצת Manchester Airports Group, המפעילה את נמלי התעופה מנצ'סטר, לונדון סטנסטד ומידלנדס המזרחי, אישרה כי נגנב מידע אודות לקוחותיה. דובר החברה מסר לאנשי אתר The Register כי מדובר ב- 8.7 מיליון לקוחות. לפי דיווחים בתקשורת הבריטית זוהתה התקרית ב- 25 באוגוסט. החברה מסרה כי בלמה מיד את הסיכון, נעזרה ביועצים חיצוניים ועדכנה את הרשויות הרלוונטיות, בהן נציבות המידע הבריטית (ICO).
איזה מידע נגנב במתקפת הסייבר?
התמונה מדורגת. מהרוב המכריע של הנפגעים נגנבה כתובת דוא"ל בלבד, שמקורה בהרשמה לרשת ה- Wi-Fi בתוך הטרמינלים. קבוצה קטנה יותר כללה הזמנות לחניה ולשירות Fast Track, לצד מספרי טלפון, מספרי רישוי של רכבים ומיקודים. הקבוצה הקטנה ביותר כללה גם הזמנות שהושלמו. פרטי אשראי ופרטי בנק לא נחשפו כלל.
לפי הדיווח מדובר בתקיפת סחיטה ולא בכופרה. התוקפים פרצו למערכת מחשוב אחת וממנה נגנבו קבצים ממסד נתונים של צד שלישי. MAG תיארה את האירוע כתקיפה מתוחכמת, לא ככשל אנושי מסוג פרטי גישה שנגנבו.
פעילות הנמלים לא הופרעה. בטיחות התעופה לא נפגעה באף שלב של מתקפת הסייבר. שירות ההזמנות המקוון "Manage My Booking" הושבת זמנית כצעד זהירות. עד למועד כתיבת שורות אלו לא נטלה אף קבוצת סחיטה אחריות פומבית על מתקפת הסייבר.
המערכת שאיש לא סיווג כנכס
כאן נמצא הלקח המרכזי. לא דווח על פגיעה במערכות התפעול של הנמלים ולא נחשפו פרטי תשלום. עיקר הרשומות שדלפו הגיע ממנגנון שכל תפקידו לאפשר לנוסע לגלוש באינטרנט בזמן ההמתנה לטיסה.
טופס הרשמה ל- Wi-Fi אורחים הוא בדיוק סוג המערכת שנופלת בין הכיסאות הארגוניים. הוא הוקם כדי לשפר שירות, לא כדי לאחסן מידע רגיש. הוא לרוב באחריות ספק חיצוני או מחלקת שיווק. הוא כמעט אף פעם אינו מופיע במסמכי סיווג הנכסים של הארגון. למרות זאת הוא עשוי לצבור לאורך שנים מאגר זהויות נרחב, לעיתים נרחב יותר ממה שמחזיקות מערכות הליבה.
לשם פרופורציה: שלושת הנמלים שירתו יחד כ- 66 מיליון לקוחות בשנת הכספים האחרונה. 8.7 מיליון הרשומות שדלפו אינן כלל הלקוחות, אלא מי שמילא טופס ופרטיו נשמרו. היקף כזה נצבר רק לאורך שנים. הוא מעלה שאלה שאיש לא נדרש אליה בזמן אמת: כמה זמן צריך טופס גישה לאינטרנט להחזיק את פרטי מי שמילא אותו? מי אמור להחליט על כך? MAG לא פרסמה מהי מדיניות השמירה שחלה על אותו מאגר.
הסיכון האמיתי מתחיל עכשיו
הנזק אינו בעצם הדלף. הוא בגל השני: תוקף שמחזיק כתובת מייל, מספר טלפון, מספר רישוי של רכב ופרטי הזמנת חניה יכול לשלוח הודעה שנראית אותנטית לחלוטין: "חיוב החניה נכשל, לחצו לעדכון אמצעי התשלום", בצירוף מספר הרכב הנכון והתאריך הנכון. דיוג שנשען על פרטים נכונים משכנע הרבה יותר מהודעה גנרית. העיתוי מחמיר את התמונה, שכן הדלף מתפרסם בתום חופשת הקיץ, כשלרבים יש הזמנות טריות לחניה וטיסה.
יש כאן היבט נוסף שקשה להפנים. סיסמה שנגנבה אפשר להחליף. מספר רישוי, מיקוד ומספר טלפון נשארים איתכם. המידע הזה יישאר שמיש בידי פושעי סייבר שנים קדימה, שכן מאגרים כאלו נסחרים ומשולבים במאגרים אחרים כדי לבנות פרופיל שלם על אדם.
המשמעות לארגון הישראלי
לא צריך להפעיל נמל תעופה כדי להיות חלק מהסיפור הזה. כל ארגון ישראלי שמפעיל רשת Wi-Fi לאורחים, פורטל הזמנות, טופס יצירת קשר, מערכת רישום לכנס או אפליקציית מועדון לקוחות – מחזיק בדיוק את אותו סוג נכס: מערכת שנבנתה לנוחות, מתוחזקת בשוליים וצוברת מידע אישי בהיקף שאיש לא בדק.
פרט אחד באירוע ראוי לתשומת לב מיוחדת. המידע נגנב ממסד נתונים של צד שלישי. כלומר גם ארגון שמיפה היטב את המערכות שלו עצמו עדיין נשען על ספקים שמחזיקים מידע בשמו. הדין מול הלקוחות יינתן תחת השם שלו, לא תחת שם הספק.
שאלה פשוטה למנהל IT: אם היינו נפרצים מחר, האם אנחנו יודעים לומר כמה רשומות אישיות יש לנו, איפה הן יושבות ומי הספק שמחזיק אותן?
הזווית של 010
סקר סיכונים. זהו הבסיס לכל השאר. סקר מקצועי אינו מסתפק במערכות הליבה. הוא ממפה גם את הנכסים השוליים, את הטפסים המקוונים, את ממשקי הספקים ואת המידע שנצבר בהם. הפער בין מערכות המחשוב שאנחנו מגנים עליהן לבין מערכות המחשוב שיש בהן מידע, הוא בדיוק סוג הפער שסקר כזה נועד לחשוף.
מניעת דלף מידע (DLP). בקרות דלף נועדו לזהות הוצאה של נפחי מידע חריגים ממערכת מחשוב שכלל אינה אמורה לייצא רשומות בכמויות כאלו. במקרים כאלו זהו לעיתים הסימן היחיד שקיים, משום שהגישה עצמה נראית תקינה.
מודעות עובדים לסייבר. הגל השני יגיע כהודעות אישיות, לא כתקיפה טכנית על הארגון. עובד שמזהה שהודעה על "חיוב חניה שנכשל" היא ניסיון דיוג מהווה שכבת הגנה חיונית מול מידע שכבר דלף.
סינון דוא"ל. מתקפת דיוג אשר נשנעת על מאגר אמיתי נראה לגיטימי הרבה יותר. סינון מתקדם שמנתח מוניטין שולח, דומיינים דומים וקישורים חשודים נועד לעצור הודעות כאלו לפני שהן מגיעות לתיבה של העובד.
גיבוי והמשכיות עסקית. MAG בחרה להשבית זמנית את שירות ההזמנות המקוון שלה כצעד זהירות. היכולת להמשיך לתת שירות ללקוחות כשמערכת מחשוב מרכזית מושבתת אינה מותרות.
שורה תחתונה
המידע שדלף לא ישב במערכת התפעולית הקריטית של הנמלים. הוא ישב במערכת שירות היקפית, חלקו אצל ספק צד שלישי. זוהי תזכורת לכך שהמידע האישי לא תמיד יושב במקום שבו מרוכזת ההגנה.
השאלה שכל ארגון צריך לשאול את עצמו היום אינה האם המערכות הקריטיות שלנו מוגנות. השאלה היא אילו מערכות מחשוב שאינן קריטיות מחזיקות אצלנו מידע אישי, מי אחראי עליהן ומתי מישהו בדק אותן לאחרונה.
למקור הידיעה ולקריאה נוספת לחצו כאן
