ביום שני, 9 בנובמבר, פרסמה Nitori Holdings, חברת האחזקות של קבוצת הריהוט והבית היפנית Nitori, הודעה שרלוונטית לכל ארגון שמחזיק מאגר לקוחות גדול. לפי ההודעה, ייתכן שעד 37.62 מיליון רשומות לקוחות יצאו ממערכת שהחברה עצמה מנהלת. בין הפרטים: שמות, כתובות, טלפונים ותאריכי לידה, אך לא סיסמאות כניסה ולא פרטי כרטיסי אשראי. גם מועד תחילת האירוע עדיין לא ברור. הגישה זוהתה ב‑ 6 בנובמבר. הבדיקה שבאה אחרי הגילוי העלתה אפשרות שצד שלישי ניגש למערכת גם לפני כן.
מה עלול היה לדלוף
לפי ההודעה, הרשומות מתחלקות לשלוש קבוצות. לא כל רשומה כוללת את כל השדות:
- חברי מועדון פרטיים ומי שקנו מוצרים בקבוצת Nitori: מספר חבר, שם, כתובת דוא"ל, כתובת מגורים, טלפון, תאריך לידה ומגדר.
- חברי מועדון עסקיים: מספר חבר, שם החברה, המחלקה, שם המנהל המייצג של החברה, הכתובת והטלפון של החברה ופרטי איש הקשר בה, כלומר שם, דוא"ל וטלפון.
- נתוני הזמנות מאתר Nitori Net ומהחנויות הרשמיות של הרשת באתרי מסחר מקוונים.
המספר 37.62 מיליון הוא מספר רשומות. החברה מציגה את הנתונים כזמניים, כי הבדיקה עדיין נמשכת. דובר Nitori אמר ל‑ BleepingComputer שגם מספר הלקוחות שנפגעו טרם נקבע.
מתי זה התחיל: שלוש גרסאות
הודעת Nitori מבחינה בין מה שוודאי למה שאפשרי. הוודאי הוא הגילוי ב‑ 6 בנובמבר. האפשרי עלה אחר כך, כשהחברה חזרה לבדוק מה קדם לגילוי, בין השאר בניתוח יומנים: ייתכן שצד שלישי ניגש למערכת כבר בין אמצע אוקטובר לסופו.
בכלי התקשורת באנגלית הניסוח חד יותר. BleepingComputer כתבה שלתוקף הייתה ככל הנראה גישה למערכת "מאז" אמצע אוקטובר, ניסוח שמרמז על נוכחות רציפה עד הגילוי. Nitori עצמה לא קבעה זאת. בדיווח של סוכנות Kyodo שפרסם Straits Times נכתב שחקירה חיצונית מצאה שהפריצה התרחשה בין אמצע אוקטובר לסופו. בשלוש הגרסאות, הסימנים לאוקטובר עלו בבדיקה שנערכה אחרי הגילוי.
מה שעדיין לא ידוע הוא איך נכנס התוקף ומה גרם לאירוע. דובר Nitori אמר ל‑ BleepingComputer, בעדכון מ‑ 11 בנובמבר, שהחקירה בודקת גם אם הייתה מעורבת כופרה. אף מקור לא דיווח על הצפנת מערכות או על השבתה. בינתיים, לפי החברה, הגישה נחסמה וטופלו "נקודות תורפה" שלא פורטו.
ספק משותף או מערכת פנימית: שני דפוסים בגל היפני
Nitori מצטרפת לגל של עשרות חברות יפניות שדיווחו בשבועות האחרונים על חדירות, לפי AFP. בחלק מהמקרים המקור היה ספק אחד: לפי דיווחי Kyodo שפרסם Straits Times, הדליפות אצל SEGA, אצל Bic Camera ואצל עוד כמה חברות קשורות כולן למערכת הדיוור של Arara. בהודעה של Nitori, לעומת זאת, אין אזכור לספק חיצוני. לפי החברה, הגישה הבלתי מורשית הייתה ל"מערכת שהחברה מנהלת". ההבדל משנה את הלקח. פריצה לספק משותף עלולה לפגוע בכמה ארגונים בבת אחת, כפי שקרה ללקוחות של Arara. כשהמערכת מנוהלת בבית, השאלות על בקרת גישה, הרשאות וניטור מופנות אל הארגון עצמו. אלו בדיוק התחומים ש‑ Nitori הודיעה שתבחן מחדש.
התגובה הממשלתית כבר בדרך. ראשת ממשלת יפן, סנאה טאקאיצ'י, הזהירה בסוף אוקטובר מפני נזק לאזרחים משימוש לרעה במידע שדלף, לפי The Record שציטט את Japan Times. מאז היא מקדמת חבילת חירום, שלפי דיווחי Yomiuri Shimbun ו‑ Jiji Press שהביאה AFP כוללת גם "צוות חילוץ סייבר" ממשלתי‑פרטי. לפני שבועיים פורסם כאן מבזק על מתקפת הכופרה בשירות הענן של GMO, שגם היא חלק מהגל הזה. אין מקור שקושר בין האירוע שם לאירוע ב‑ Nitori.
הסיכון לארגון שלכם
מידע בלי סיסמאות עדיין שימושי למתחזים. הודעה שפונה ללקוח בשמו, מכירה את כתובתו ומזכירה הזמנה שביצע נראית אמינה בהרבה מפישינג כללי. Nitori עצמה מזהירה מפני הודעות ושיחות טלפון מתחזות, שעשויות להיראות כאילו הגיעו ממנה, מחברת שליחויות או מאתר מסחר מקוון. הכלל שעולה מכאן פשוט: פרטי קשר שמופיעים בהודעה אינם דרך לאמת אותה. בודקים דרך ערוץ שכבר מוכר מראש.
כל ארגון שמאגר הלקוחות שלו דולף עלול להגיע לאותה נקודה: לקוחותיו עלולים לקבל פניות בשמו. ההודעה של Nitori מדגימה שלושה רכיבים שכדאי לכלול בהודעה ללקוחות במצב כזה: רשימה של המידע שאולי דלף, הבהרה מה הארגון לעולם לא מבקש וערוץ רשמי לבירור. Nitori, למשל, מבהירה שלא תבקש בדוא"ל או בטלפון סיסמאות, מספרי כרטיס אשראי או קוד סודי.
לקוחות עסקיים פותחים תרחיש נוסף. הרשומות שלהם עשויות לכלול את שם המנהל המייצג, את המחלקה ואת פרטי איש הקשר. פרטים כאלו עלולים לאפשר הודעה שנראית כאילו נשלחה מהספק, אל האדם שעובד מולו בפועל. ארגון ישראלי שרשום כלקוח עסקי אצל ספק גדול עלול להימצא באותו מצב אם מאגר הלקוחות של הספק ידלוף.
בישראל, חלק מהתמונה כבר זמין לתוקפים. כפי שתואר כאן במבזק על שירות שהציע חיפושים במרשם הבוחרים, לפי תחקיר ynet היה אפשר לשלוף בתשלום פרטים על כמעט כל אזרח ישראלי, כולל קרובי משפחה, טלפונים וכתובות שעשויות להיות ישנות. אילו דלף מאגר לקוחות של רשת ישראלית, הוא היה מוסיף לזה הקשר: כתובת דוא"ל והיסטוריית הזמנות. במקרה של לקוח עסקי מתווספים גם איש הקשר והמחלקה. ההצלבה היא שהופכת רשימה לכלי התחזות.
ההיבט השני הוא הדיווח. Nitori מדווחת לנציבות להגנת מידע אישי של יפן ולמשטרה. בישראל, בעל מאגר מידע נדרש לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור מיד כשנודע לו עליו, לפי תקנות אבטחת מידע מ‑ 2017. מאז אוגוסט 2025, עם כניסת תיקון 13 לתוקף, הרשות יכולה להטיל עיצום כספי ישיר גם על הפרת חובת הדיווח. ביולי 2026 עשתה זאת לראשונה: 256,000 ש"ח על קופת חולים שלא דיווחה בזמן. לפי משרד עורכי הדין Pearl Cohen, הרשות סימנה שתמשיך לתת עדיפות לאכיפת חובת הדיווח. אילו היה זה ארגון ישראלי, שאלת הדיווח הייתה עולה כבר ב‑ 6 בנובמבר, לא כשהתבררה התמונה המלאה. השאלה לכל ארגון היא אם נקבע מראש מי מכריע שאירוע הוא חמור ומי מדווח. שאלה נוספת: האם הנוהל הזה תורגל.
010 הגנה על מידע
כאמור, Nitori לא פירטה אילו "נקודות תורפה" טופלו. נתיב החדירה עדיין נחקר. לכן אין כאן חולשה מפורסמת שאפשר להמליץ לתקן. ההמלצות שלהלן נשענות על מה שפורסם: מאגר לקוחות גדול של קמעונאי, סימנים לגישה אפשרית מאוקטובר שעלו בבדיקה בדיעבד ומידע שמתאים להתחזות.
SIEM/SOC. הסימנים לאוקטובר עלו בבדיקה לאחור. בדיקה כזו אפשרית רק כשהיומנים נאספו ונשמרו מספיק זמן. ניטור רציף נועד להציף בזמן אמת סימנים כמו שאילתות חריגות מול מאגר לקוחות, שליפה בהיקף חריג או התחברות בשעה או מכתובת לא שגרתית. יש לכך שני תנאים. הראשון: יומני מסדי הנתונים והיישומים נאספים למערכת ה‑ SIEM. השני: הפעילות חורגת מהשגרה. גישה דרך חשבון לגיטימי ובקצב רגיל עלולה שלא לבלוט. איך פעל התוקף אצל Nitori לא פורסם.
מניעת דלף מידע (DLP). בקרות DLP נועדו לזהות ולעצור העברה חריגה של מידע אישי אל מחוץ לארגון, בהיקף או ביעד. הן רואות רק את הערוצים שהן בוחנות, כמו דוא"ל, גלישה, עמדות קצה או העלאה לענן. שליפה ישירה משרת בידי תוקף לא תמיד עוברת בהם. האופן שבו יצא המידע מ‑ Nitori, אם יצא, לא פורסם. לכן זו המלצה שמצטרפת לאירוע ולא נגזרת ממנו.
סקר סיכונים. סקר סיכונים בודק לפני אירוע חלק מהתחומים ש‑ Nitori הודיעה שתבחן מחדש אחריו, בקרת גישה והרשאות: היכן יושבים מאגרי הלקוחות, אילו מערכות וחשבונות ניגשים אליהם ובאילו הרשאות. הסקר מצביע על הפערים. את הבקרות עצמן, כמו אימות רב‑שלבי והגבלת הרשאות, מיישמים בנפרד. הסקר יכול לבדוק גם לכמה זמן נשמר כל סוג מידע, כי מידע שלא נשמר לא יכול לדלוף. זו המלצה שמצטרפת לאירוע: אף מקור לא דיווח ש‑ Nitori שמרה מידע שלא נזקקה לו.
מודעות עובדים לסייבר וסינון דוא"ל. הדרכה שמלמדת עובדים שגם פנייה שמכירה את שמם, את כתובתם ואת ההזמנה שלהם עלולה להיות מזויפת נוגעת ישירות לסיכון ש‑ Nitori מזהירה מפניו. כדאי שתכסה גם שיחות טלפון ותטמיע את הכלל שתואר למעלה: אימות דרך ערוץ שמוכר מראש. סינון דוא"ל משלים את ההדרכה בערוץ הדוא"ל בלבד. הוא נועד לסמן הודעות שמתחזות למותגים ולספקים מוכרים, למשל מדומיינים דומים או משולחים לא מאומתים. הודעה מחשבון לגיטימי שנפרץ עלולה לעבור אותו.
מודיעין סייבר. מעקב אחר פורומים ושווקים שבהם מוצע מידע שדלף, כדי לדעת מוקדם אם פרטי הארגון, העובדים או הלקוחות שלו מופיעים בהם. זה אפשרי רק כשהמידע מוצע בזירות שאפשר לנטר. חלק מהמידע הגנוב נמכר באופן פרטי. בשלב זה אף מקור לא דיווח שהמידע של Nitori מוצע למכירה.
שלושה שירותים אינם נגזרים מהאירוע כפי שפורסם. הגנה אקטיבית מכופרה, לצד גיבוי והמשכיות עסקית: אף מקור לא דיווח על הצפנה או על השבתה, אך החקירה עדיין בודקת אם הייתה מעורבת כופרה. אם יתברר שכן, התמונה תשתנה. עדכוני תוכנה ואבטחה: Nitori לא פירטה אם "נקודות התורפה" שטופלו קשורות לעדכון תוכנה.
למקור הידיעה ולקריאה נוספת לחצו כאן
