"צריך להדאיג אתכם": הסכנה מאחורי דליפת מאגר פייבוקס ופנקס הבוחרים

בסרטון: מייקי לוי על הונאות בווטסאפ.

אנשים שעוסקים בעולמות אבטחת המידע מדווחים מדי יום על מקרים ברחבי העולם שבהם מידע מגיע לידיים הלא נכונות ונוצר נזק. כספים שלא מגיעים ליעדם, מידע חשוב שנופל לידיים הלא נכונות והופך למוצפן, מכונות שמשותקות ולא מתפקדות - כל אלה ואחרים הם דוגמאות לנזק ששדה הקרב החדש הזה של עולם הסייבר מייצר בכל מקום.

התפיסה הרווחת היא שפושעי הסייבר- ההאקרים - נרדשים להפעיל מאמצים גדולים, ולעיתים משאבים רבים כדי להשיג את המידע הדרוש להם לבצע מתקפה מוצלחת. כל פרט מזהה דוגמת שם מלא, כתובת מגורים, כתובת אי מייל, תעודת זהות, תאריך לידה, ספרות אחרונות בכרטיס האשראי ועוד - מקדמים את התוקף צעד אחד קדימה בדרך להשגת היעד. אם תחשבו רגע על עצמכם תבינו מהר מאד למה. רבים מאיתנו בוחרים ססמאות שמבוססות על אחד מהפרטים המזהים הללו. מרבית השירותים הדיגיטליים בהם אנחנו משתמשים מבצעים זיהוי אישי דרכם. היום, בעולם המחובר שבו אנחנו חיים, המידע הזה הוא המפתח להכנס אל החיים שלנו.

לכן, העובדה שמאגרים רגישים כל כך, כמו פייבוקס מחד ופנקס הבוחרים שהיה באלקטור מאידך, דולפים לרשת ומגיעים לידיים שלא אמורות להחזיק בו - צריך באמת ובתמים להדאיג אותנו. לא מדובר רק ברשלנות מעצבנת - מדובר בסיכון ממשי שנכפה על חלק עצום מאזרחי המדינה על לא עוול בכפם. בוא ננסה להמחיש את זה במושגים יומיומיים. כשאנחנו מתקשרים לספק שירותים חשוב דוגמת בנק, חברת אשראי, חברת סלולר או אפילו שירות ממשלתי כלשהו, אנחנו מתבקשים להזדהות על ידי פרטים מזהים.

שם מלא, שם האב או האם, ארבע הספרות האחרונות בכרטיס האשראי, כתובת מגורים ועוד. הסיבה שמשתמשים בנתונים אלו כדי לזהות אותנו היא שמדובר במידע שלא אמור להיות קיים אצל אחרים וקשה לשנותו. אלא שזה בדיוק סוג המידע שהיה קיים ברשימות שדלפו לרשת בשבועות האחרונים. הצלבה של הרשימות הללו - עניין טכני פשוט מאד בימינו - משיג שורה ארוכה ומרשימה של פרטים מזהים על כל אחד ואחת מהאנשים שמצויים בשתי הרשימות הללו. במילים מקצועיות - זהות דיגיטלית.

בהנחה הסבירה שהמאגרים האלה נופלים לידיים הלא נכונות, המנעד של הנזק שיכול להיווצר הוא פועל יוצא של סוג התוקף שמשיג את המידע. אם זה פושע סייבר שמחפש כסף - הוא יכול להשתמש באחד מהפרטים הללו כדי להתקשר במקומכם לספקי שירותים , להזדהות באמצעות הפרטים שמצויים בידיו מהרשימות הללו ולהזמין במקומכם - ועל חשבונכם - הזמנות שונות או לבצע העברות כספים למקורות לא ידועים. מדינה או שחקן מדינתי יכולים להשתמש בפרטי המידע כדי לייצר מיפוי של כתובות מגורים של אנשים חשובים או להשתמש במידע המזהה כדי לבצע התקפה ממוקדת באדם תוך שימוש בפרט מזהה שלו (מה שבאופן טבעי מגביר את האמון בפנייה שאותו אדם מקבל ויגביר את הסיכוי שהוא יפעל בהתאם למה שיבקשו ממנו).קשת האפשרויות שנפתחת כאן היא באמת עצומה, והיא ממש לא תיאורטית.

עליכם להסתכל על החשבונות שלכם ולראות באם יש חיובים שאתם לא מכירים. כאמור, הסיכוי לכך קיים ברגע שפרטים אישיים דוגמת ארבע ספרות אחרונות של כרטיב האשראי דלף. כדאי להחליף ססמאות שמבוססות על פרט מידע שהיה קיים ברשימות הללו - ובכך לצמצם את הסיכון שגורמים שליליים ידעו את ההסמאות שלכם. מומלץ לשנות את שאלות הזיהוי שאתם משתמשים בהן כדי לזהות אתכם לכאלה שלא מכילים פרטים מהסוג שדלף וכן להשתמש בכל מקום שאפשר באימות דו שלבי בשירותים שחשובים לכם. במקרה שאחד מהתיאורים הללו קרו לכם - חשוב לעדכן את המשטרה (מוקד 100) או את מערך הסייבר הלאומי (מוקד 119) במה שקרה בכדי שאלו יוכלו לבדוק באם אכן נעשה שימוש במידע מהמאגרים הללו ולהזהיר את הציבור בהתאם. דליפת מידע רב כל כך היא בפירוש "אחת יותר מדי", וכשמדובר בשתיים - אי אפשר להיות יותר מדי זהירים.

הכותב הינו לוטם פינקלשטיין, ראש מחלקת מודיעין סייבר בצ'ק פוינט.