משירביט ועד "מחדל הסייבר הגדול בכל הזמנים": סיכום שנה מופרעת במיוחד

אומרים שהנבואה ניתנה לשוטים, אז לא נחזור לסוף שנת 2019 ונבדוק מה היו התחזיות שלנו לשנה הנוכחית. איש מאיתנו לא דמיין ששלושה רבעים מהשנה נבלה בבתים או לפחות בעבודה מהבית, שנלך לכל מקום עם מסיכות, שנחליף את הפגישות פנים אל פנים בשיחות זום ושנשכח איך נראה הבפנוכו של מטוס נוסעים.

אבל 2020 לא ממש שאלה אותנו מה אנחנו רוצים ופשוט ניפצה את כל התחזיות. אולי הדבר היחיד שקרה במהלכה ולא הפתיע איש הוא פעילות הסייבר. קיימת בשנים האחרונות מגמה יציבה של עליה בפעילות סייבר עולמית (מכל הסוגים - מדינתית, פשיעה וכו'). במובן זה, שנת 2020 דווקא התנהגה בדומה לתחזית שהניחה עליה מתונה במספר וגודל תקריות הסייבר. עקב האופי המיוחד של השנה הזו חלו מספר שינויים (חלקם עמוקים וחלקם אבולוציה של מגמות קיימות) ששווה להתעמק בהם, על מנת להבין טוב יותר מה בעצם קרה לנו השנה.

השינוי המהותי ביותר שחוללה הקורונה בהיבטי הסייבר הוא שארגונים שלחו את העובדים לעבוד מהבית, ובכך ויתרו למעשה על חלק ממנגנוני ההגנה המסורתיים שהגנו על רשתות ומיקומים פיזיים. העבודה מהבית יוצרת קשיים ומעמידה בפני ארגונים אתגרים רבים שפשוט לא נדרשו להתמודד איתם בעבר- הנפקת ציוד IT לעובדים בזמן קצר ולא תהליך מסודר, הגדלת הרשאות לגישה מרחוק למערכות ארגוניות, קושי באכיפת מדיניות אבטחה, התרופפות משמעת של עובדים בהיבטי אבטחה, קושי בעדכון מערכות ותוכנות, שימוש ביתי בציוד מחשוב של העבודה, גלישה ברשת ממקומות לא מאובטחים ועוד ועוד ועוד.

רוב הארגונים נאלצו לבצע את המהלך הזה בזמן קצר ביותר וללא הכנה מספקת. כיום, כחצי שנה לאחר פרוץ הקורונה, אפשר להניח שרוב הארגונים כבר הסתגלו ברמה כזו או אחרת וביצעו את ההתאמות הנדרשות. מצד שני, ככל שעובר הזמן ברור שהעתיד הוא "היבריד", כלומר משלב עבודה מהבית ומשרד, וארגונים יצטרכו לחשוב כיצד הם משמרים את רמת האבטחה הנדרשת בהינתן שעובדים "מדלגים" בין עמדות, מיקומים ומערכות.

המעבר לעבודה מהבית והצורך בעדכונים תכופים גרם לעלייה משמעותית במתקפות על עובדים ואינדיבידואלים. פושעי סייבר הפנימו מהר מאוד שתחת כסות הקורונה הם יכולים לגרום להרבה יותר אנשים לפתוח מיילים או להקליק על קישורים חשודים, והם שינו את המיקוד העסקי שלהם בהונאות ומתקפות שקשורות לקורונה. גם תוקפים מתוחכמים וחזקים יותר פעלו בצורה אינטנסיבית בזמן הקורונה- האקרים בשירות רוסיה וסין פעלו ללא הרף להשיג מידע על פיתוח חיסוני הקורונה, לנסות לגנוב את החיסון ולחבל בשרשרת האספקה, האכסנה והשינוע של החיסונים, מתוך כוונה להמשיך ולערער את הדמוקרטיות במערביות ברחבי העולם.

הקורונה פגעה כמובן גם בעובדים של אותם ארגונים- רבים מהם איבדו את עבודתם או שהוצאו לחל"ת. על אף הפגיעה שספג שוק העבודה, יש סקטור אחד שבו חסרים בכל רגע נתון עשרות ידיים עובדות (או מקלידות על המקלדת) ¬- תחום הסייבר. על אף שהוגדר תחום חיוני, ושנעשות פעולות להכשרת עובדים לתפקידים, עדיין התחום סובל ממחסור כרוני בכוח אדם.

זוהי אינה תופעה שמיוחדת למדינת ישראל- מוערך שבעולם כולו חסרים כשלושה מיליון וחצי עובדים בתחום הסייבר. בישראל הסיבה העיקרית לכך היא שתעשיית הסייבר "שואבת" אליה את הכישרונות בתחום, וכך בגופים המסורתיים יותר (כגון בנקים, משרדי ממשלה, וחברות תעשייתיות) קיים מחזור באנשי תפעול סייבר שיפעילו את מערכות ההגנה. הדבר גורם לכך שארגונים אלו נאלצים להסתמך על כוח אדם שאינו מיומן או להוציא למיקור חוץ תפקידים אלו, או לרכוש שירותי אבטחה מנוהלים עד כמה שהתקציב מאפשר. כמובן שהדבר משפיע על רמת האבטחה, וכך ראינו שבתקריות הסייבר הגדולות שאירעו השנה נפגעו חברות וגופים שלא היו להם אנשי אבטחת מידע ייעודיים או שלא רכשו ניטור אבטחה מתמשך (לדוגמא- ניטור רק בימי השבוע ולא בסופי שבוע).

ארגון מודרני מסתמך על עשרות ולפעמים מאות ספקי משנה בתחומים של כוח אדם, מוצרים, תשתיות ומוצרי תוכנה. שרשרת אספקה זו חושפת את הארגון למגוון איומים גדול בהרבה מאלו ששייכים לארגון "עצמו". כך לדוגמא, תוקפים יכולים לנצל ספק משנה ללא מערכות הגנה מספקות ולחדור דרכו למערכות רגישות של הארגון. הדוגמא העכשווית לכך הינה המתקפה המדינתית שניצלה חולשה במוצר תוכנה של חברת Solarwinds ודרכה השיגה נגישות לקרוב ל-20 אלף ארגונים וחברות בעולם, נגישות שנוצלה בכדי לפרוץ לחלק מארגונים אלו במה שכבר הוגדר כמחדל הסייבר הגדול בכל הזמנים.

תוקפים מדינתיים (כלומר, האקרים שפועלים בשירות מדינות או לוחמי סייבר צבאיים ממש של מדינות) פעלו כנגד מטרות בישראל, אולם בשנת 2020 פעילות זו עלתה מדרגה וגם צפה מעל פני השטח, במה שנראה כמו מלחמת סייבר (גלויה, אך לא מוכרזת) בין ישראל ואיראן, במסגרתה ישראל תקפה והשביתה נמלים מרכזיים באיראן ואילו האיראנים ביצעו פה שלל של פעולות, חלקן מטרידות, חלקן מביכות וחלקן עם פוטנציאל נזק ממשי (כגון השתלטות על מתקן טיהור שפכים).

פושעי הסייבר איבדו את הסבלנות. הם רוצים את הכסף של הארגונים, ומהר. לשם כך הם שינו את הטקטיקה שלהם השנה, ובמקום להצפין את המידע הארגוני ולאיים שאם לא יקבלו תשלום הם "יזרקו את המפתח" (טקטיקה שנידונה לכישלון כי לרוב הארגונים יש איזשהו סוג של גיבוי) הם עברו לטקטיקת הפחדה - אם לא תשלמו לנו, נדליף את המידע שגנבנו ממכם. האיום הזה הרבה יותר קונקרטי - אם מידע נגנב לא יעזור גיבוי, לתוקפים יש עותק ממנו והם יוכלו לפרסם ולהביך את הארגון. ההפחדה הזו עובדת לרוב וגורמת לארגון לפתוח במשא ומתן זריז עם התוקפים על שחרור המידע לפני שהדבר יתגלה. אולם, במקרים מסוימים (שירביט, לדוגמא) התוקפים לא לקחו סיכון וניהלו מו"מ פומבי מעל גלי הרשתות החברתיות, מתוך כוונה להפעיל מנוף לחץ נוסף (או פשוט להביך את הארגון הנתקף).

השנה הזו לא הייתה שנה קלה לאיש, ובטח לא לאנשים שאמונים על אבטחת המידע בארגונים. מגיעה להם מילה טובה מאיתנו - רובם עושים עבודה טובה ועובדים במסירות כדי שהמידע של כולנו יהיה בטוח. אם אפשר לבקש דבר אחד לשנה הבאה הוא שינתנו לאנשים האלו כלים ותקציבים מספיקים להמשיך ולעשות את עבודתם.

יותם גוטמן הוא מנהל השיווק של חברת הסייבר SentinelOne