ב‑ 2 בנובמבר בערב, לפי הג'רוזלם פוסט ו‑ ynetnews, פנה מערך הסייבר הלאומי לרשתות קמעונאות, לחברות מזון ולמרכזים לוגיסטיים בישראל. בלשון הדיווח, הוא הנחה אותם להתגונן באופן מיידי מפני השתלטות על מערכות קירור. הפנייה כללה דרישה לבדוק את מערכות הקירור והבקרה, להתמקד תחילה באלו המאפשרות גישה מרחוק לטכנאים ולספקי שירות ולדווח למערך על תוצאות הבדיקה ועל האמצעים שהופעלו. חמשת האמצעים שהומלצו: וידוא כי מערכות הקירור והבקרה אינן חשופות ישירות לאינטרנט, החלפת סיסמאות ברירת מחדל, עדכון מערכות מחשוב מיושנות, אבטחת גישה מרחוק באמצעות אימות רב‑גורמי והפעלת התראות עצמאיות המזהות שינויי טמפרטורה חריגים.
מה שקרה באירופה באותו בוקר הוא הסיבה לפנייה הזו.
הלילה שבין ראשון לשני
מנהל סניף ICA נארה בבדה שבאי אלנד שבשוודיה סיפר לשידור הציבורי SVT שהגיע לעבודה ביום שני ומצא מקפיאים שמוגדרים ל‑ 55 מעלות צלזיוס ושלולית מים מתחתם. בשטוקהולם, בסניף זכיינות של אותה רשת, מסרה מנהלת המכירות אנגלה אינגוול לרויטרס שהמתקפה התרחשה בשתיים לפנות בוקר ואובחנה רק שעות אחר כך. לדבריה כל המקפיאים הגיעו ל‑ 50 מעלות. "הכול הושמד", אמרה.
שלושה שבועות קודם לכן, בלילה שבין 11 ל‑ 12 באוקטובר, קרה אותו דבר במאות סופרמרקטים בצרפת. את המנגנון עצמו, את הארכיטקטורה של בקר ניהול אחד ששולט במעגלי הקירור של סניף שלם ואת החולשות שתועדו בו מראש פירטנו במבזק על המתקפה ההיא – אפשר לקרוא אותו כאן. המבזק הזה עוסק בשאלה אחרת: מה קרה בשלושת השבועות שבין שני הגלים.
לפני הכול, הסתייגות שאין לדלג עליה. חוקרים לא קבעו שהגל השני קשור לראשון. SecurityWeek כותבת שהחוקרים לא ביססו קשר בין שני הגלים. The Hacker News מוסיפה את ההבחנה המדויקת: Danfoss אמרה שהמתקפות בהולנד הן מאותו סוג כמו בצרפת, Sabcobel אמרה שבבלגיה נעשה שימוש באותה שיטה ו‑ Kitman אמרה שבאסטוניה השיטה דומה — אך שיטה זהה אינה מוכיחה שאותם אנשים ביצעו את שתי המתקפות. גם הדרך שבה נכנסו התוקפים לא נקבעה רשמית באף אחד מהמקרים.
גם השיטה עצמה לא היתה אחידה. סטפן מולנס, מנכ"ל חברת הקירור הבלגית Sabcobel, מסר לסוכנות בלגה שבבלגיה הועברו מאיידי היחידות למצב הפשרה, כפי שקרה בצרפת. אבל במקרים אחרים הועלתה פשוט הגדרת הטמפרטורה: בסניף ICA בשיבו שבדרום שוודיה ובמקפיא ב‑ Selver באסטוניה הוגדרו 50 מעלות. בקצביה בהובה שמדרום לאנטוורפן הגיעו המקררים ל‑ 18 מעלות. BleepingComputer מתאר גם מקרים שבהם היחידות פשוט כובו.
מי נפגע ואיך בחר כל אחד לקרוא לזה
כדאי לקרוא את מפת הנפגעים לפי סוג האחזקה, מפני ששם מסתתרת התובנה.
בקבוצה הראשונה סניפים בניהול חברה. Delhaize מקבוצת Ahold Delhaize דיווחה על אירוע מערכות מידע שפגע בקירור בכמה עשרות סניפים, כ‑ 40 לפי הדיווחים, בבלגיה ובארבעה סניפים בלוקסמבורג. Carrefour מסרה שנפגעו 15 מתוך 700 סניפיה בפלנדריה ובוואלוניה, ללא אף היפרמרקט. את ההשפעה הגדירה הרשת כמוגבלת מאוד. בסניף IKEA במונס נפגעו המקררים והמקפיאים. אף סניף אחר של הרשת בבלגיה לא נפגע.
בקבוצה השנייה סניפים שאינם תחת ההגנות המרכזיות. קבוצת Colruyt מסרה ל‑ BleepingComputer שיש השפעה על מערכות הקירור בכחמישה סניפי Spar, שמופעלים בידי יזמים עצמאיים המחזיקים מערכות קירור משל עצמם. ICA הדגישה שהמערכות של הרשת עצמה לא נפגעו, בעוד שהסניפים שנפגעו מחוברים לרשת שמחוץ לרשת המרכזית שלה ועובדים עם ספק חיצוני; הרשת גם לא אישרה שמדובר במתקפת סייבר. בפינלנד מסרה Kesko שכמה מהסניפים הקטנים שלה חוו טמפרטורות חריגות, שהסיבה נמצאת בבדיקה ושציוד הסניפים האלו נמצא מחוץ להגנות המרכזיות של הרשת. Coop השוודית מסרה ל‑ BleepingComputer על שבעה סניפים מתוך למעלה מ‑ 800 (לסוכנויות אחרות נמסר על שישה). הרשת תיארה מצבים שנעו בין יחידות שכבו לחלוטין ליחידות שתפקדו חלקית. במקרה אחד תיארה מערכת שהחלה לייצר חום.
בקבוצה השלישית, זו שהרבה דיווחים פספסו, עסקים קטנים. בהולנד נפגעו לפי Danfoss לפחות 17 בתי עסק, בעיקר קצביות וחנויות שכונתיות. בבלגיה נפגעו גם חנויות שוקולד וסניפי Shop & Go בתחנות דלק של Q8. באירלנד הסירה Musgrave מזון טרי וקפוא כצעד זהירות ב‑ 13 מתוך 223 סניפי SuperValu. אחר הצהריים הודיעה הרשת שהאירוע נפתר. בקצביית De Laet & Van Haver בהובה העריך הבעלים לוק דה לאט, בשיחה עם רויטרס, שנזרק בשר בשווי כ‑ 15 אלף יורו — אך רשת הקצביות עצמה מסרה באותו יום שלא נפגעה התוצרת ושכל הסניפים פתוחים. שתי הגרסאות פורסמו באותו יום. זו דוגמה טובה לכמה הדיווח בשעות הראשונות אינו יציב.
כאן ראוי לעצור על הניסוח. חלק מהחברות קראו לזה מתקפת סייבר. אחרות דיברו על "אירוע מערכות מידע", על "תקלות במקררים" או על טמפרטורות חריגות שהסיבה להן נבדקת. Intermarché, למשל, אישרה בעיות טכניות בחלק מהסניפים בלי לייחס אותן לתוקף. זה אינו הבדל סמנטי: ארגון שמגדיר אירוע כתקלה תפעולית מפעיל נוהל אחר, מדווח אחרת לרגולטור ומנהל לוח זמנים אחר לחזרה לשגרה.
מה אומרים חוקרי סייבר על דרך הכניסה
חוקר האבטחה קוון בומונט כתב ביום המתקפה: "אימתתי עם אנשים שהמקפיאים שנפגעו במדינות שנפגעו היום הם כולם עם ממשק ניהול שפונה לאינטרנט, אותה בעיה ואותה חולשה כמו בפעם הקודמת." זו אמירה של חוקר שמסתמך על שיחות, לא קביעה של רשות. ראוי לקרוא אותה כך. בומונט הוסיף שרבים מהמקפיאים הגיעו לסוף חייהם ואין להם טלאי זמין.
בצד השוודי אמר יועץ הסייבר אמיל אולופסון מחברת Integrity 360 לסוכנות TT שבצרפת השיגו התוקפים פרטי גישה למערכות הבקרה, שהיו חשופות ישירות לאינטרנט ושהמתקפה אינה מורכבת במיוחד — עד כדי כך שלדעתו ייתכן שבוצעה בידי חובבים. אולופסון גם אמר שבמקרים מסוימים הגיעו הטמפרטורות ל‑ 80 מעלות ושכמה יחידות עלו באש, נתון ששונה ממה שדיווחה המשטרה.
Danfoss מצידה הצביעה על שתי סיבות שונות. בשתיהן כדאי לדייק. לגבי הולנד מסרה החברה ל‑ NOS שהמערכות שנפגעו שם לא היו ברשת מאובטחת ועוד השתמשו בסיסמאות ברירת המחדל ושרוב החנויות בהולנד פעלו לפי ההנחיה שנתנה ב‑ 13 באוקטובר — לנתק את המערכות מהאינטרנט ולחבר אותן מחדש רק דרך רשת מאובטחת — ומספר קטן לא פעל. בנפרד אמרה החברה לשידור הבלגי VTM, לפי דיווח יורוניוז, שהחולשה נעוצה בעיקר בתוכנה מיושנת ושלקוחות שלא עדכנו נפגעו.
שתי האמירות האלו מתוחות זו מול זו. זה חשוב: החברה עצמה מסרה שרוב הציוד שנפגע בצרפת הוא ציוד מדור קודם שאינו מקבל עוד עדכונים, דגמי AK-SM 800 ו‑ AK-SC 355. "לקוחות שלא עדכנו" אינו תיאור שמתאים למכשיר שאין לו מה להתקין.
עוד פרט שראוי לשים לב אליו: Danfoss אינה היצרן היחיד שנפגע בגל הזה. לפי NOS, למיטב הידוע הציוד הממוקד נוצר בידי Danfoss ו‑ Copeland. קצב בלגי שנפגע סיפר לשידור ההולנדי שגם ציוד Copeland הותקף בבלגיה. Copeland לא נתנה ל‑ NOS תשובה ברורה.
הגורמים הרשמיים עצמם לא הסבירו בפומבי כיצד נכנסו התוקפים. המרכז הבלגי לאבטחת סייבר אמר ביום שני שאינו יודע מי עומד מאחורי המתקפות ושייתכן שהדבר לעולם לא ייקבע. הפרקליטות הפדרלית בבלגיה פתחה חקירה פלילית. בשוודיה אמר יון בילו, ראש מרכז הסייבר הלאומי, לרויטרס שצוותו מטפל בכמה אירועים במערכות קירור בחנויות מזון ברחבי המדינה. המרכז השוודי לא פירט בהודעתו כיצד נכנסו התוקפים.
מה שכן אפשר למדוד
הנתון המעניין ביותר באירוע הזה אינו מספר הסניפים אלא מספר הממשקים.
חברת המודיעין Censys סרקה את האינטרנט וספרה מעט למעלה מ‑ 1,000 ממשקי Danfoss StoreView נגישים ברשת בעולם כולו. בצרפת, שחטפה ראשונה, ירד מספרם מ‑ 1,825 לפני מתקפות אוקטובר ל‑ 220 — ירידה של כ‑ 88 אחוזים בשלושה שבועות. מבין אלו שנותרו מחוברים בצרפת, החברה מעריכה לפי תאריכי בניית הקושחה שכ‑ 41 אחוזים מריצים גרסה מעודכנת. בבלגיה נספרו 138 ממשקים חשופים, בהולנד 51 ובשוודיה 50. שיעור המעודכנים ביניהם הוא 68 אחוזים בבלגיה, 58 בשוודיה ו‑ 37 בהולנד בלבד. בלוקסמבורג, אירלנד ואסטוניה נמצאו בודדים.
עכשיו אזהרת פרשנות שהיא שלי בלבד. מפתה להצמיד את שיעור העדכון ההולנדי הנמוך לעובדה שבהולנד נפגעו לפחות 17 בתי עסק. אבל אותו מערך נתונים עצמו מושך בכיוון ההפוך: בלגיה היא המדינה עם שיעור המעודכנים הגבוה ביותר, 68 אחוזים, שהיא גם המדינה שנפגעה בגל הזה יותר מכולן. בנוסף, Censys לא ציינה אם בין המכשירים שנפרצו ביום שני היו מכשירים מעודכנים. אין כאן אפוא הוכחה שעדכון מנע פריצה. איני טוען זאת.
מה שכן יש הוא מראה: שלושה שבועות אחרי התראה פומבית, ירדה החשיפה בצרפת בכ‑ 88 אחוזים ובשאר אירופה בשיעורים צנועים בהרבה. ארגון שמחזיק ציוד כזה מוזמן לשאול היכן הוא נמצא על הסקאלה הזו.
הסריקות שנראו שבוע לפני המתקפה
חברת Lupovis המפעילה חיישנים המדמים בקרי קירור, מסרה ל‑ SecurityWeek נתון מטריד. בין 20 ל‑ 30 באוקטובר היא זיהתה פעילות חשודה נגד חיישני בקר Danfoss AK-SM שלה, בהם חיישנים בחלק מהאזורים שנפגעו אחר כך. לזהות את הרכיבים המדויקים של הבקר ניסו רק חלק מהפונים; רוב ניסיונות ההתחברות הסתמכו על פרטי גישה של ברירת מחדל מהיצרן, אותם פרטים ש‑ Danfoss מתעדת בפומבי. מנכ"ל החברה, קסבייה בלקנס, הוסיף שהפעילות הגיעה לשיא ב‑ 26 באוקטובר ושלא נראתה התנהגות כזו על אותם חיישנים לפני 20 באוקטובר. כל ניסיונות ההזדהות נדחו.
שבוע לפני הגל השני התנהל אפוא גישוש מתועד, בשיטה הפשוטה ביותר שקיימת, מול בדיוק אותו סוג ציוד. חשוב לומר מה זה אינו: שום גורם לא קיבל התראה מוקדמת. Lupovis פרסמה את הנתון ב‑ 3 בנובמבר, אחרי הגל, בלי לקשור אותו לתוקפים. בלקנס אמר רק שהתזמון ראוי לתשומת לב.
מה מציעות הרשויות
ההנחיה המעשית המפורטת ביותר למפעיל ציוד כזה אינה של היצרן. היא של CERT-FR, גוף התגובה לאירועים של סוכנות הסייבר הצרפתית ANSSI. ההתראה שלו פורסמה ב‑ 12 באוקטובר, הורחבה למחרת לציוד נוסף ועודכנה לאחרונה ב‑ 16 באוקטובר. היא מכסה בקרי Danfoss מסדרות AK-SM ו‑ AK-SC וכן מערכות Copeland xweb ו‑ Dixell xweb — כלומר מחלקת ציוד, לא יצרן אחד.
הצעדים שהיא מורה עליהם מתחילים בהסרת החשיפה: לנתק מהאינטרנט את היחידות הנוגעות בדבר ואת כל היחידות שחשופות על כתובת ציבורית. לפני ניתוק הזנת הנתונים אל קבלן הקירור לבדוק את תנאי חוזה הביטוח. אחר כך לבדוק את התצורה כולה, בעיקר את לוחות הזמנים של ההפשרה. לאחר מכן להחזיר את הגישה רק דרך VPN מאובטח או רשת מוגנת; סינון כתובות של קבלני הקירור בחומת אש אפשרי כפתרון חירום, אך ההתראה אומרת במפורש שאין לראות בו פתרון קבוע. לבסוף, ליישם את המומלץ מטעם היצרן: לעדכן קושחה, להגדיר את רמת האבטחה למצב Strict ולוודא שסיסמאות ברירת המחדל הוחלפו.
ההתראה גם קובעת שמתקפות נגד הציוד הזה כנראה עדיין מתנהלות, בתוספת המשפט החד ביותר בה: ציוד שהגיע לסוף חייו ואינו מקבל עוד טלאי אבטחה, אם נותר חשוף לאינטרנט, נמצא בהסתברות גבוהה מאוד להיפרץ; במקרה כזה איפוס להגדרות יצרן לבדו אינו מספיק, מפני שהוא מסיר את ההשתלות אך משאיר את המכשיר פגיע — והוא ייפרץ שוב בוודאות.
גם המרכז הלאומי השוודי לאבטחת סייבר נתן הנחיה פשוטה להפליא: לערוך רשימה של המכשירים שמחוברים לאינטרנט, להכריע לגבי כל אחד מהם אם הוא צריך להיות מחובר ולדאוג שמה שנשאר מחובר יהיה מעודכן ומוגן בכמה שכבות.
מה עם היצרן? בדקתי את עמוד התראות האבטחה של Danfoss. אין בו התראה על המתקפות. ההתראה היחידה שם לשנת 2026 נוגעת למשפחת מוצרי iC7, שאינה קשורה לאירוע, שעודכנה לאחרונה ב‑ 18 בספטמבר; ההתראות האחרונות שנוגעות לסדרת AK-SM הן משנת 2025. מי שמנטר רק את עמוד היצרן שלו לא ראה דבר.
ראוי להוסיף שההתראה הראשונה כאן לא באה מאף אחד מאלו. TechCrunch מזכיר שחברת האבטחה Claroty הזהירה עוד באוגוסט שיחידות הקירור האלו חשופות לפריצה מרחוק ולהשבתה.
למה טלאי לבדו אינו התשובה
מולנס מ‑ Sabcobel אמר את הדבר שאף אחד לא רוצה לשמוע: עדכון תוכנה אינו מספיק כדי לפתור את החולשה שאפשרה את המתקפה. לדבריו יחידות הקירור צריכות גם שינוי פיזי. שינוי פיזי עולה כסף ודורש תזמון מול פעילות החנות. לדבריו הפתרון הפשוט ביותר הוא חיבור אינטרנט מאובטח לניהול המקררים, הפתרון שרוב לקוחותיו אימצו אחרי צרפת. רוב.
מתוך מאות יחידות שהחברה מתחזקת בבלגיה הוא מכיר כ‑ 20 שנפגעו. לדבריו התוקפים הגיעו למערכות של סניפים בודדים ולא למערכות של חברות הקירור עצמן. המתקפה החלה סביב חצות. הטכנאים עבדו כל הלילה והבוקר כדי לנתק את היחידות שנפגעו מהרשת.
כאן סיכון הסייבר מפסיק להיות החלטה של מחלקת מערכות מידע והופך להחלטת תקציב. אפשר להורות לעדכן קושחה. קשה יותר לאשר החלפת ציוד שעובד מצוין מבחינה תפעולית ושהתקציב שלו נסגר מזמן. קשה עוד יותר לאשר שינוי פיזי במתקן פעיל. CERT-FR מצביעה בדיוק על נקודת הכשל הזו כשהיא אומרת שאיפוס לבדו לא יעזור לציוד שאינו מקבל טלאים.
הסיכון האמיתי לארגון שלכם
ההנחיה של מערך הסייבר אינה מבקשת לקנות מוצר. היא מבקשת לבדוק ולדווח. מתוכה נגזרות ארבע שאלות מעשיות:
ראשית, מי מחזיק גישה מרחוק לציוד התפעולי שלכם. חלק ניכר מהנפגעים בגל הזה הם מקרים שבהם התשובה מורכבת: סניף בזיכיון עצמאי שמחזיק מערכת קירור משל עצמו, סניף שמחובר לרשת שמחוץ לרשת המרכזית, ציוד שנמצא מחוץ להגנות המרכזיות, סניף שהיה האחרון שעוד לא הועבר למערכת חדשה. ראוי לומר שזה אינו כל הסיפור: שתי הקבוצות הגדולות ביותר במפת הנפגעים הן סניפים בניהול חברה של רשתות גדולות, עם קבלן קירור מקצועי. להערכתי, המבנים האלו נפוצים גם בישראל — סניפי זיכיון, קבלני תחזוקת קירור ומיזוג, מרכזים לוגיסטיים של ספק שלישי ומתקנים שהותקנו בידי מתקין ששומר על גישת התחזוקה. אין בדיווחים ממצא על ישראל בעניין הזה. זו הערכה שלי.
שנית, האם אתם יודעים מה חשוף. Censys מצאה למעלה מ‑ 1,000 ממשקי ניהול נגישים מהאינטרנט. CERT-FR אומרת שחשיפת ממשק ניהול לאינטרנט מנוגדת לפרקטיקה טובה; לפי The Hacker News הממשקים האלו מחוברים כדי שקבלני הקירור יוכלו לנטר ולתקן מרחוק. בילו, ראש מרכז הסייבר השוודי, אמר שהרשויות בשוודיה הבחינו בשבועות האחרונים שקיימים במדינה לא מעט מכשירי תפעול חשופים ושהובהר שהם חייבים להיות מעודכנים או מתוקנים.
שלישית, האם אתם יודעים מה הגיע לסוף חייו. זו שאלה של מלאי נכסים, לא של חומת אש — אף שראוי לציין שגם CERT-FR מציעה סינון כתובות בחומת אש, אך אומרת באותה נשימה שזה פתרון חירום בלבד.
רביעית, מי מקבל את ההתראה בשתיים לפנות בוקר — ומה הוא יכול לעשות איתה. כאן נדרש תיקון לאינטואיציה הנוחה. קל להניח שהבדל התוצאות נובע מזמן הזיהוי. באסטוניה אכן הוגדרו 50 מעלות, הטמפרטורה עלתה בשתיים עד שלוש מעלות בלבד, הבעיה נפתרה בתוך כעשר דקות ולא נפגע מלאי. אבל הנתונים לא מאפשרים להסתפק בהסבר הזה. SecurityAffairs מדווח ש‑ Delhaize זיהתה עליות טמפרטורה חריגות במערכות הקירור שלה באותו יום שני. BleepingComputer מדווח שהרשת התריעה למנהלי סניפים בהודעות SMS סביב ארבע לפנות בוקר ושחלק מהסניפים נעזרו במשאיות קירור כדי להציל מלאי. עם זה, מנהל סניף Proxy Delhaize באוברייסה תיאר ל‑ RTL את התוצאה כ"קטסטרופלית" ואמר שנאלץ לזרוק את כל התוצרת הטרייה והקפואה. יתרה מזו, מנהל סניף ICA מסר ל‑ TV4 שהגדרת הטמפרטורה שונתה בלילה ל‑ 50 מעלות ושלא היה אפשר לשנות אותה, לפיכך הושמד המזון הקפוא.
כלומר הזיהוי התרחש, לפעמים מהר. מה שחסר היה היכולת לפעול: להיכנס למערכת, להחזיר את ההגדרה ולנתק את הבקר מהרשת. אף מקור לא קבע מה הבדיל בין המקרים. איני קובע זאת כאן.
המשמעות הכספית שונה מאירוע מידע. מזון שהתקלקל אינו משוחזר מגיבוי. נציב החקלאות של האיחוד האירופי, כריסטוף הנסן, הגדיר את המתקפות כניסיון מכוון לשבש את שרשרת אספקת המזון ולשחוק את אמון הצרכנים. "ההישנות החוזרת של מתקפות הסייבר האלו מדאיגה מאוד", אמר. לדבריו ביטחון המזון של האיחוד אינו בסכנה כרגע, תוך הכרה בנזק למזון שנזרק ולבתי העסק.
010 אבטחת מידע והמשכיות עסקית
קודם כל ההקשר: דרך הכניסה לא נקבעה רשמית ואף גורם לא לקח אחריות. להלן מה שכל שירות עושה ומה הוא מחפש, בלי לטעון שהיה מונע את האירוע הזה.
סקר סיכונים הוא השירות שההנחיה הישראלית בעצם מבקשת. מערך הסייבר ביקש מהרשתות לבדוק, להתמקד בגישה מרחוק של טכנאים וספקים ולדווח על הממצאים — וזה בדיוק תוצר של סקר. מה שסקר כזה מוסיף מעל רשימת תיוג הוא הכרעה בשאלת האחריות: מי בעל הציוד בסניף זיכיון, מי מחזיק את פרטי הגישה של קבלן הקירור ומי מוסמך להורות על ניתוק. בגל הזה דווקא הסניפים שמחוץ לרשת המרכזית ומחוץ להגנות המרכזיות הם אלו שנפגעו, לפיכך השאלה הראשונה אינה מה מנטרים אלא מה בכלל בתחום האחריות שלכם.
עדכוני תוכנה ואבטחה — והפעם עם האזהרה שהיצרן וספק הקירור מסרו בעצמם. מולנס אמר שעדכון לבדו אינו פתרון מלא ושנדרש גם שינוי פיזי. Danfoss אמרה שרוב הציוד שנפגע בצרפת הוא ציוד שאינו מקבל עוד עדכונים. לכן תפקידו של ניהול עדכונים כאן אינו רק להתקין טלאים, אלא לכסות גם ציוד תפעולי שאינו בשליטת מערכות המידע ולסמן במפורש מה הגיע לסוף חייו. הסימון הזה הוא מה שמעמיד את ההחלטה על שולחן ההנהלה כפריט תקציבי מוגדר, במקום דחייה שנתית.
מודיעין סייבר — וכאן אני מתקן ניסוח מתבקש אך שגוי. הפער כאן אינו פער בזמן אלא פער בערוץ. אצל מי שנפגע, ההתראה ברוב המקרים כבר הגיעה: Claroty הזהירה באוגוסט, CERT-FR פרסמה ב‑ 12 באוקטובר והרחיבה ב‑ 13 בו ו‑ Danfoss הנחתה את לקוחותיה בהולנד ב‑ 13 באוקטובר. הבעיה היא שכל אלו יושבים בערוצים שונים, שאחד מהם — עמוד ההתראות של היצרן — לא נשא דבר על המתקפות. מודיעין סייבר הוא מי שמנטר את הערוצים האלו יחד, עבור הציוד שבאמת נמצא אצלכם. הוא גם היה מראה את מה ש‑ Lupovis תיעדה: גישוש בפרטי ברירת מחדל מול אותו דגם בקר, שבוע קודם.
SIEM/SOC, עם שתי הפרדות שחייבות להיאמר. ההמלצה החמישית של מערך הסייבר, התראות עצמאיות על שינויי טמפרטורה, היא בקרה של מערכת הקירור ושל ספק הקירור, לא של מרכז ניטור אבטחה — וראוי לא לבלבל ביניהן. מה ששכבת ניטור אבטחה כן עושה הוא לחפש את החריגה בשכבת הגישה ולא בשכבת הטמפרטורה: התחברות ניהולית לקונסולת קירור בשעה שאין בה תחזוקה מתוכננת, שינוי תצורה גורף בכמה אתרים בפרק זמן קצר וגישה מרחוק של ספק מחוץ לשעות העבודה. ההפרדה השנייה חשובה יותר: ציוד שאינו מדווח לשום מקום אינו מנוטר בשום מקום. הסניפים שנפגעו כאן הם לפי הדיווחים בדיוק אלו שהיו מחוץ לרשת המרכזית, כלומר מחוץ לטווח של ניטור מרכזי. הצעד הראשון הוא להכניס את הציוד הזה לטווח, לא להניח שהוא שם.
גיבוי והמשכיות עסקית, במשמעות שונה מהרגיל, מפני שהנזק פיזי. המבחן כאן אינו שחזור קובץ אלא נוהל מתורגל: מי מוסמך להורות על ניתוק בקר מהרשת בשתיים לפנות בוקר, מה עושים עם המלאי ומה תיעוד הנזק הנדרש לביטוח. לכך מוסיפה CERT-FR פרט שקל לפספס ושהוא בדיוק סוג הדבר ששייך לתוכנית המשכיות: לפני ניתוק הזנת הנתונים אל קבלן הקירור יש לבדוק את תנאי חוזה הביטוח. פעולת ההגנה המיידית עשויה להתנגש בהתחייבות חוזית. ההכרעה הזו צריכה להיות מוכנה מראש.
לסיום, שלוש הבהרות שעדיף לומר מלהתחמק מהן. ראשית, שלושה מהשירותים שלנו אינם רלוונטיים לאירוע הזה: לא דווח על נתיב שעבר בדואר אלקטרוני, לפיכך סינון דוא"ל אינו הבקרה שנבחנה כאן; לא דווח על הצפנת קבצים ולא על דרישת כופר, לפיכך הגנה אקטיבית מכופרה אינה הנושא; לא דווח על הוצאת מידע, לפיכך מניעת דלף מידע אינה הסיפור. שנית, גם מודעות עובדים לסייבר אינה הבקרה כאן, מפני שלא תועד נתיב שעבר דרך עובד; מה שכן עלה מהאירוע הוא שאלה תפעולית, מי בסניף מזהה טמפרטורה חריגה בשתיים לפנות בוקר ולמי הוא מתקשר. זה נוהל ולא הדרכה.
שלישית, החשובה מכולן: שתיים מחמש ההמלצות של מערך הסייבר — החלפת סיסמאות ברירת מחדל ואימות רב‑גורמי לגישה מרחוק — הן בקרות חיזוק זהות שאין להן שירות מתאים ברשימת השירותים שלנו. הן עולות כממצא של סקר הסיכונים, אך סגירתן היא עבודה של הארגון מול ספק הקירור שלו ולא שירות שאנחנו מוכרים. ראוי לציין שדווקא הן נוגעות בממצא המתועד ביותר בכל האירוע: סיסמאות ברירת מחדל שהיצרן מתעד בפומבי, שלפי Danfoss עוד היו בשימוש במערכות שנפגעו בהולנד ושלפי Lupovis הן מה שרוב הפונים לחיישנים שלה ניסו להשתמש בו.
למקור הידיעה ולקריאה נוספת לחצו כאן
