בשנתיים האחרונות סייבר הפך להיות שם גנרי לכל פינג על הרשת במקרה הקל ונפילת שרת במקרה היותר בעייתי. אתמול אפילו הגדיל אחד העיתונאים והגדיר את מי שביצע את הפריצה לאיביי כ"פורץ סייבר". מצד אחד אני מבינה שהמילה הזו מגניבה את כולם, אבל מצד שני ברגע שיהיה פה אירוע סייבר אמיתי, ככל הנראה נהיה כולנו כל כך עייפים מקריאות הזאב זאב שהדיווח עליו ידחק לאנשו שולי וזה אסור שיקרה.
נכון. השתלטות על מערכות ממוחשבות על ידי גוף זר (אדם או מכונה) יכולה להקרא פעולת סייבר, אבל בואו נדבר לרגע על המהות. מי מכם שכבר ראה את העונה החדשה של "24" (זהירות, ספוילר) ראה כיצד האויב משתלט על מערכת שיגור טילים אמריקנית, מכוון את הטיל כלפי חיילים בריטים ויורה. השבוע, בעוד אחד מאותם כ-10 אירועי "הכנס הבינ"ל השנתי לסייבר" אשר צצו לאחרונה בישראל כמו פטריות אחרי הגשם, דיבר שר המודיעין, הד"ר יובל שטייניץ, והסביר בחשיבות כי לוחמת הסייבר היא זירה החדשה מול איראן. לא מזלזלת חס וחלילה בהערכה של הד"ר, אבל לפחות על פי מקורות זרים, הוירוסים "סטוקסנט" -"ופליים" פגעו בחדרי המחשוב ובצנטריפוגות האיראניות עצמן כבר ב-2007. אולי אפילו קודם לכן. וזה בעצם שורש העניין.
למה סייבר זה טוב ליהודים כמו שזה טוב לסעודים
עד לפני שנתיים-שלוש, עולם אבטחת המידע היה עסוק וטרוד בשאלות אבטחה רבות, משונות ומגוונות. מנהלי IT החזיקו בצוות שלהם מומחי CISSP ואנשי אבטחת מידע, שנתנו מענה להתקנת פיירוולים, הקשחת חומרות, ניהול הרשאות גישה בארגון ועוד כהנה וכהנה תפקידים. ואז הגיע האקר סעודי, שהרים מהרצפה ערימות של קבצים לא מטופלים, פרסם אותם בפורומים פתוחים, הביך את אנשי האבטחה ואת אנשי חברות האשראי שלא הקפידו על נהלי PCI בסיסיים ויצר מהומה שבסופה הוכרע בתקשורת: האקר + כרטיסי אשראי + מחשב = סייבר (אם הוא מגיע ממדינה מוסלמית הכינוי ישודרג ל-מתקפת סייבר).
האמת, כולם ידעו שזו שטות אבל שיתפו פעולה כי פאניקה תמיד עושה טוב לעסקים ומה יותר טוב מאשר סייבר. מונח ערטילאי שמעורר את הדמיון המופרע של כולנו. בפועל, אותו האקר סעודי, ניצל באמת חולשת אבטחת מידע מאוד בסיסית אבל המטוס כבר המריא ומאז כל דבר נחשב סייבר. אז אני רוצה להרגיע אתכם: לא כל דבר נחשב סייבר. ממש לא.
סייבר, בגדול מאוד, מגדיר אירועים מחשוביים שמתרחשים בהיקפים גדולים, שמושקעים בהם הרבה מאוד כספים וזמן ומחשבה, שבדרך כלל מעורבות בהן מדינות ושמטרתן הסופית היא פגיעה בתשתיות של ממש. כל השאר, הוא לא סייבר!! לא ההתקפות של אנונימוס על הרשת הישראלית ולא הפריצה ל-eBay ולא ריגול עסקי בין יצרניות חליפות. פשוט לא. הפריצה ל-eBay בוצעה באמצעות השתלטות על חשבון משתמש של אחד העובדים, באמצעות הנדסה חברתית, טכניקה ותיקה ומוכרת של האקינג בסיסי המנצלת את חוסר תשומת הלב או הידע של העובד ואינה דורשת ידע מורכב למעט כתיבת קוד ויצירתיות.
בשבועות האחרונים גם ערוצי התקשורת החליטו שהם צריכים להרוויח מביצת הזהב הזו שנקראת סייבר. אם ביבי והמדען הראשי משקיעים כל כך הרבה כסף בעולם הזה, הם יכולים וצריכים לגזור קופון. וכמובן, זכות הציבור לדעת.
כיועצת תקשורת, קיבלתי בשבועות האלה עשרות רבות של פניות מגופי חדשות מכובדים ונחשבים שסיפרו לי בהתלהבות על ערוץ הסייבר שהם פותחים אצלם, ושתמורת כמה עשרות אלפי שקלים, לקוחותיי יוכלו ליהנות בו מחשיפה תקשורתית. במקביל אליהם התחילו אנשי מכירות של כמעט כל מחלקה למדעי המחשב בכל מוסד אקדמי וכל חברת הפקה להזמין את לקוחותיי להשתתף ולהציג את הידע שלהם בכנסי סייבר בין לאומיים שנתיים שהם מקיימים.
כמה זה עולה לנו? לא הרבה כמו שהייתם חושבים
לא יודעת לגביכם, אותי זה מעצבן. מעצבן ונמאס. נמאס מהזלזול בכם הקוראים. נמאס שחושבים שתמורת כמה אלפי שקלים (או יותר. כל מדיה ואיך שהיא תופסת את עצמה) אפשר להמשיך ולמכור לכם סיפורי מעשיות, רק בגלל שאין לכם את היכולת לשפוט מה אמיתי ומה שקר. נמאס שיצרניות של פתרונות אבטחה באמת מעולים, נגררות גם הן לתוך הפארסה הזו ומשתפות פעולה רק בגלל שסייבר נחשב היום לבאזז. נמאס שאנשים שמעולם לא ראו ולא ניהלו אירוע בקנה מידה של אירוע סייבר, מדברים ומנתחים אותו כאילו הם באמת מבינים על מה הם מדברים. נמאס.
האמת היא שכל עוד הרמזורים עובדים בסדר ויש מספיק כסף בכספומטים, ואין הרעלה מסתורית והמונית כתוצאה משתיית מי ברז.. איכשהו, אני יכולה להגיד לכם שאנחנו בסדר. אנחנו לא חווים אירוע סייבר.
כל מי שמנסה לספר לכם סיפורי מעשיות על התקפת סייבר שהשביתה אתר לשיווק בלונים לימי הולדת, עובד עליכם. או לפחות, כמו ככל הנראה בסיפור של eBay, מנסה לכסת"ח על עובד עם הרשאה דיי גבוהה שיתכן ופשוט יצא דביל.
* הכותבת מנהלת את www.meyron-mc.com ומלווה חברות אבטחת מידע 14 שנים