|
אתם מגיעים בבוקר לעבודה, מנסים לפתוח את המחשב, ולאחר שנחלתם כישלון מנסים לפתוח מחשב אחר. גם הוא לא עובד. על המסכים של כולם מופיעה אותה הודעה: הקבצים נעולים וכדי לשחרר אותם עליכם להעביר סכום כסף נכבד לפי ההוראות המפורטות.
תרחישים מהסוג הזה נשמעים כמו סצנות מסרטי מתח עתידניים, אבל הם קורים כבר היום, ומדירים שינה מעיני אנשים וארגונים ברחבי העולם. אם בעבר הניירת והטלפון הקווי היו אמצעי התקשורת והתיעוד המרכזיים, היום רוב ההתנהלות שלנו נעשית בעולם הדיגיטלי. גם ארגונים עוברים בקצב מזורז למרחב האינטרנטי, מרחב הסייבר – וההתפתחויות האלו מיתרגמות גם לסיכונים.
הכתבה מופיעה בגיליון יוני של פורבס ישראל
לרכישת הגיליון חייגו 077-4304645
לרכישת מנוי למגזין פורבס ישראל
לכל העדכונים, הכתבות והדירוגים: עשו לנו לייק בפייסבוק
בפברואר האחרון בוצעה מתקפה משולבת נגד 100 בנקים ברחבי העולם, שבמהלכה נגנבו מאות מיליוני דולרים. מתקפות מדוברות בשנים האחרונות כללו גניבה של עשרות מיליוני פרטי כרטיסי אשראי ב־2013 ממאגרי רשת הקמעונאות האמריקאית טארגט. שנה לאחר מכן נפרצו מחשבי חברת סוני והודלף מהם מידע במתקפה שיוחסה להאקרים שנתמכו על ידי צפון קוריאה. אך הסיכונים האלו לא שמורים לארגונים פרטיים בלבד. גם משרדים ממשלתיים בעולם נתונים למתקפות, וכך למשל, בינואר השנה חוו האוקראינים השבתה ראשונה אי פעם של מערכת חשמל מדינתית, במתקפה שיוחסה לרוסיה.
האיומים בעולם הסייבר, מסביר אייל בליצר, ששימש עד לאחרונה כראש תחום המחקר במטה הסייבר הלאומי, משפיעים על פעילותן של תשתיות קריטיות לחיינו, על זמינותם של שירותים ציבוריים עבור האזרחים ועל הפעילות העסקית של תאגידים, כולל פגיעה בלקוחותיהם.
גם התוקפים הם שונים ומגוונים: החל באלו שעושים זאת עבור התהילה, דרך האקרים משוכללים יותר שמבצעים הונאות קטנות, האקרים בדרגה גבוהה יותר, שהם חלק מפשע מאורגן, ועד כאלו שמבצעים ריגול תעשייתי ומעצמות שתוקפות מעצמות אחרות. ישנם גם האקרים אקטיביסטיים שפועלים ממניעים אידיאולוגיים, כמו קבוצת אנונימוס, המבצעת באופן שיטתי אחת לשנה מתקפה על ישראל.
בליצר. מה תפקידה של המדינה?
ההתפתחויות הטכנולוגיות האחרונות, כמו עובדים שמשתמשים בניידים ובלפטופים האישיים גם בעבודה, ושימוש גובר יותר במשאבי ענן למטרות ארגוניות – גורמות לכך שאותה חומה בצורה שהגנה על החברות בעבר, כבר לא כל כך בצורה.
נקודת תורפה נוספת, המשמשת מקור פוטנציאלי לתקיפות, היא כניסתם של מוצרי האינטרנט של הדברים (IoT). מדובר במכשירי חשמל ביתיים, מכוניות ותשתיות עירוניות, כמו רמזורים, שמולבשים עליהם חיישנים שמקבלים פרטים עלינו ועל סביבתינו ומעבירים אותם דרך האינטרנט. "כל המידע הזה שמועבר, יוצר מצד אחד ניהול ארגוני ריכוזי, אך מאפשר גם לאסוף תובנות לגבי החיים והעסקים שלנו", מסביר בליצר. "לצד הדברים הטובים – התועלות שנלוות למוצרי IoT, יש מן הסתם סיכונים. אנחנו מאצילים את הסמכויות שלנו לתוכנות ממוחשבות ומסתמכים עליהן יותר ויותר. יש הרבה יותר מידע על לקוחות ועובדים, מה שמעלה חששות גם לגבי פרטיות וגם לגבי העברת המידע הזה לגורמים עוינים".
לרשימת 10 חברות הסייבר המבטיחות בישראל
אחת הסיבות לדאגה היא מה שנקרא "א־סימטריה במרחב" בין המגן לבין התוקף. על המגן לעקוב בצורה שוטפת אחר כל הארגון, לוודא שאין בו פריצה ולמנוע פגיעה, וגם להצדיק את הכסף שהוא משקיע עבור משאבי הארגון. לעומת זאת, על התוקף להצליח לנצל חולשה של הארגון פעם אחת בלבד, ללא צורך בניסיון ומשאבים ועם יכולת להערים על המגן שוב ושוב. יש לכך השלכות חמורות כלפי ארגונים וחברות, שנמצאים כיום בעמדה בעייתית במיוחד, מכיוון שפגיעה משמעותית ממתקפת סייבר יכולה להשבית אותם לחלוטין. "מאחר שלוקח זמן לטפל במתקפת סייבר, נגיע בסוף למקום שבו אם חברה לא תטפל באבטחת הסייבר שלה, אף אחד לא ירצה לרכוש את המוצר שלה ולהתקשר בחוזה איתה", אומר בליצר.
נזק כלכלי עצום
את הבעיות האלו חברות וממשלות רבות כבר חוו על בשרן. "ב־2015 בלבד, הנזק הכלכלי שנגרם לשוק העסקי ממתקפות סייבר, עמד על 300 מיליארד דולר", מציין טל מוזס, שותף ומנהל מרכז Cyber Security בשלוחה הישראלית של ארנסט אנד יאנג.
מהסקר הגלובלי השנתי האחרון שערכה חברת הייעוץ בקרב לקוחותיה בתעשיות שונות, עולה כי ב־2015 היו בעולם יותר מ־60 אלף מתקפות סייבר שהצליחו, ועוד אלפים שלא זוהו. השנה, לדברי מוזס, המגמה רק החמירה.
מוזס. זמן ההתאוששות ממתקפה הוא ארוך מאוד
מעל לכל, מה שהדהים את מוזס ועמיתיו הוא ממוצע הזמן שלוקח לחברה לזהות שתוקפים אותה – לא פחות מחצי שנה. "הזמן שלוקח להתאושש מהמתקפה הוא בלתי מוגבל – יש כאלו שגם אחרי שנה וחצי ושנתיים לא התאוששו", הוא מוסיף. "זה מתבטא גם במניה שלא מצליחה להתאושש, ובאנשים בכירים שמאבדים את המשרה שלהם".
נזקים כאלו מובילים חברות להשקיע כסף רב באבטחת סייבר, כאשר לפי הסקר, התקציב הממוצע לכך עומד על 16 מיליון דולר. לדברי מוזס, השונות בין החברות גבוהה מאוד ובחלקן העלות יכולה להגיע גם למאות מיליוני דולרים. ג'יי פי מורגן, למשל, תשקיע במהלך 2016 כ־500 מיליון דולר, ויחד עם בנק אוף אמריקה, סיטיבנק ו־Wells Fargo – יגיע הסכום המושקע במגננה ל־1.5 מיליארד דולר השנה.
גם מדינות בעולם לא נותרות מאחור. ארה"ב הוציאה בעשור האחרון כ־100 מיליארד דולר על הגנת סייבר בלבד, שלא לדבר על מתקפה ויכולות טקטיות. "זה מספר מטורף, שמניע את כל הכלכלה העולמית".
לא רק שמושקע כסף רב יותר באבטחת סייבר, אלא שגם דפוסי החשיבה של ארגונים בעולם משתנים. בין היתר התפתחה ההבנה שאפשר להתגונן מפני מתקפות סייבר בהצלחה, וגם שהכנסת צד שלישי מגבילה את רמת האבטחה. לכן, מסביר מוזס, חברות החלו לבצע בדיקות קפדניות של ספקים, שותפים ומשקיעים שעובדים עימן.
התפתחויות בתחום חלות גם ברמה המשפטית. "אחת הרגולציות החזקות היום היא של ה־SSC (The State Corporation Commission) האמריקאי, שמחייבות את סמנכ"ל הכספים לדווח על אירועי סייבר משמעותיים בין שהצליחו או לא", מסביר מוזס. "באירופה, האיחוד יתבע 4% מההכנסות הגלובליות של כל חברה בעולם שמחזיקה פרטים אישיים על תושבי האיחוד האירופי ולא הגנה עליהם בצורה נאותה. זה מספר שיכול להגיע לעשרות מיליארדי דולרים".
בארץ החקיקה היא פרטנית יותר. "למפקחת על הבנקים יש שיניים, והיא נותנת קנסות. יש רגולציה של חברות ביטוח שכבר נתנו קנסות, ויש דרישה של חברות האשראי הגדולות בהקשר של אבטחת מידע מחברות אשר עובר אצלן מידע של הלקוחות", מציין מוזס.
למרות זאת, הקצב המהיר במרחב הסייבר מותיר מאחור את ההתמודדות המשפטית עם המתקפות ויכולת ההגנה של ארגונים על המערכות שלהם. "הרגולציה מיושנת ומוגבלת מאוד", מציין ד"ר נמרוד קוזלובסקי מהפקולטה לניהול באוניברסיטת תל אביב, שמכהן גם כשותף עצמאי בחממות קרן ההון־סיכון JVP.
ד"ר קוזלובסקי. הרגולציה מיושנת
"חוץ מהסקטורים הפיננסיים והגופים המוסדיים – אין לנו עדיין חקיקת סייבר מקיפה, אבל יש מגמות לקידום הנושא. נכון שכל הגופים כיום בארץ נערכים – מטה הסייבר מקים את רשות הסייבר, משטרת ישראל מקימה את יחידת הסייבר (להב 433, צ.ה.), הפרקליטות מקימה גוף להכשרת פרקליטים בתחום, אך יחד עם זאת, היכולת להעמיד לדין פושעים בסייבר היא עדיין מוגבלת".
איך תרצו לשלם?
מוזס מסביר, כי המתקפה השכיחה ביותר היא של שרתים או שירותי אינטרנט של חברות. הסיבה לכך פשוטה – המידע נמצא באינטרנט, חשוף ונגיש, ולחברה יש גם חולשות שאינן ידועות. "אם מצאתי חולשה למוצר מדף שכיח, כמו אינטרנט אקספלורר, אפשר להשתלט על המחשב ואף אחד לא יידע על החולשה עד שלא ניצלתי אותה ופרצתי אותה", הוא מציין. "את החולשות האלה אפשר לקנות בשוק השחור של האינטרנט (הדארקנט), בסכומים שנעים בין 6,000 דולר ל־30 אלף דולר".
איום נוסף שהולך ומתגבר הוא פישינג – או דיוג בעברית, ובמסגרתו שולחים למשל מייל לעובדי חברה ומנסים לפתות אותם לפתוח את המייל. ברגע שהם פותחים אותו, שותלים תוכנה במערכת של החברה, המסוגלת לעקוב אחר נתונים ולאסוף אותם. אחת משיטות הדיוג המעניינות היא "דיוג חנית" (Spear phishing), שבמסגרתה מתמקדים התוקפים בעובדי הארגון, לרוב בכירים. "יודעים שיש להם הרשאות, ודרכם חודרים לארגון. אדם אחד בדרך כלל לא יחשוד", אומר מוזס. מאחר שעובדי הארגון הם לרוב החוליה החלשה ביותר, הפתרון במקרה כזה הוא קמפיין להעלאת המודעות.
סוג נוסף של מתקפה שכיחה היא מתקפת סחיטה (ransomware). התוקף משתמש בשיטת קריפטולוקר (Cryptolocker) – נעילת קבצים שאינם מוגנים ודרישה של כופר על מנת לחלצם. "בדרך כלל התוקף דוחף את הארגון לשלם בביטקוין, בידיעה שהארגון יעדיף לשלם 5,000 דולר מאשר לפנות לרשויות", מציין מוזס. "רוב האנשים בעולם לא יודעים מה זה ביטקוין, ולכן התוקפים יצירתיים מאוד באפשרויות התשלום – פייפאל אוגיפט קארד של אמזון, למשל".
דרך נוספת ומוצלחת לסחיטה היא גניבת כסף בשם בעל החשבון. "מצליחים להשתלט על חשבון ג'ימייל של בעל ממון (מי שיש לו 300־150 אלף דולר) זה או אחר", מתאר מוזס. "עושים מעקב על אימיילים שיוצאים מתיבת המייל שלו כדי ללמוד את השפה שהוא משתמש בה, שולחים אחר כך מייל בשמו לרואה החשבון שלו, למשל, ומבקשים ממנו להעביר כסף לחשבון בשוויץ או ברוסיה. רואה החשבון מרים כמובן גבה, שולח מייל ללקוח לשאול אם הוא בטוח שהוא רוצה לבצע את ההעברה. התוקף עונה בשם הלקוח שכן, ושהוא לא יהיה זמין בטלפון ביומיים הקרובים". השיטה הזו מוצלחת עד כדי כך, שברוב המקרים לא מצליחים למצוא את הכסף".
בחלק מהפעמים המתקפות מבוזרות, מסביר ד"ר קוזלובסקי. "במקום שהמתקפה תגיע מנקודה מסוימת, כמו בעבר, מבזרים את הסוכנים שמבצעים אותה בכמה נקודות בתוך הארגון. רק מביני עניין מבחינים בכך שמדובר במתקפה". עוד מסביר ד"ר קוזלובסקי, כי אל מול השתכללות המתקפות גם מערכות ההגנה משתפרות. "בשנים האחרונות ראינו מערכות לא רק לזיהוי אלא גם לטיפול באירוע", הוא מציין. "אם בעבר ההנחה היתה שהתוקף יודע לזוז מהר, ומערכת ההגנה תקועה או איטית יותר, רואים שגם הקורבן יודע לשנות את התצורה שלו באופן שמאפשר להגן מפני התוקף". הוא עושה זאת עם מערכות הגנה שיודעות לייצר מלכודות חכמות או מופעים של המערכת שיעצרו את התוקף.
נוסף לכך יש מעבר ממערכות שמתמקדות בהגנה על הארגון למערכות מחוצה לו. "אנחנו במגמה של מעבר למערכות ספציפיות, מבוססות ביג דאטה, שמנסות לנתח קיומה של מתקפה, שלא על בסיס סט חוקים ידוע מראש. אלו מערכות שאוספות מראש נתונים, ולא תלויות באיזו שהיא מערכת סטטית שיושבת בתוך הארגון".
משימה לאומית
השינויים בהגנה מתבטאים גם בתחום התקשורת, שנחשב לתשתית קריטית. באפריל השנה החלה ווטסאפ להגן על משתמשיה ולהצפין את נתוני התקשורת שלה. כך מיליארד המשתמשים יוכלו לשלוח הודעות, תמונות וסרטונים ואף לשוחח מבלי ש"האח הגדול" – בין שהוא הרשויות, פושעי סייבר או אפילו ווטסאפ עצמה – יראה אותם. אך המשתמשים הם רק חלק ממי שנתון לאיומים בעולם הסלולר.
רז ברטוב, סמנכ"ל חטיבת מערכות המידע והטכנולוגיות של פרטנר מספר כי החברה נתונה כל העת למתקפות סייבר מסוגים שונים. "פרטנר מהווה ציר גישה לאינטרנט (קווי וסלולארי), ולכן ארגוני האקרים שונים מנסים באופן מתמיד לתקוף את תשתיות החברה ואת לקוחותיה העסקיים". לדבריו, בין האיומים האלה ישנן מתקפות להפלת אתרי האינטרנט שלה; ניסיונות לפרוץ למאגרי המידע (באתרי האינטרנט ובשרתי החברה הפנימיים); מתקפות דיוג וכופר; וניסיונות לתקוף את רשת הסלולר ומנויי החברה. כדי למנוע את כל אלה, מופעלות בזמן אמת מערכות ניטור ותשתיות הגנה בארץ ובחו"ל, בתוך הרשת ומחוץ לה. החברה אף משתמשת בשירותיהם של סטארט־אפים בתחום, לצד פעילות להעלאת מודעות העובדים למתקפות והקפדה על נוהלי עבודה.
"פעם החזית היתה בגבול, התוקף היה מגיע לשם, והמדינה היתה מגנה. היום בחזית יש תשתיות ארגוניות ואזרחיות, כמו אותן רשתות תקשורת, ונעשות עליהן מתקפות", אומר בליצר. לכן עולה השאלה, מה תפקידה של המדינה? לדבריו רואים שיש קריאה מחודשת ברחבי העולם למעורבות של הריבון, ככל שהאיום הציבורי גדל. "בסופו של דבר, כדי להגן בצורה אקטיבית, שיתוף מידע הוא חיוני בעולם הזה. אם יש תקיפה במקום אחד והארגון יידע על מאפייני התקיפה, הוא יוכל להגיב בצורה מהירה.
יחד עם זאת, יש ארגונים שאין להם אינטרס לשתף מידע כי אין להם משאבים, כסף או תשתיות לאומיות, או שמסיבות משפטיות הם לא יכולים לשתף מידע בצורה אופרטיבית ובהירה. לעיתים הם חוששים לחשוף את פרטיות העובדים, או שהם לא רוצים להיחשף בפני המתחרים שלהם. לכן המדינה צריכה לבוא לעזרת האזרחים או הארגונים שפועלים בקרבה. כפי שהיא נדרשת לאכוף את הסדר הציבורי במרחב הפיזי, כך קיימת ציפייה לסדר ביטחוני במרחב הסייבר, זה הישראלי או בכל מדינה אחרת".
איך ישראל תופסת את מרחב הסייבר?
"גם כמרחב שנמצאים בתוכו איומים וצריך להגן מפניהם, אבל גם כהזדמנות. מרחב הסייבר מאפשר צמיחה כלכלית וחברתית, העברה של הון, ידע ומסחר. אם אזרחים וארגונים ידעו שהמרחב הזה לא בטוח, לא יהיה אפשר לייצר בו חדשנות. לכן מדינת ישראל רוצה לשמר את המרחב הזה כפורץ דרך".
לא רק שישראל עושה זאת בפועל, אלא שהיא מובילה בעולם ברמת ההיערכות הלאומית. כבר לפני שש שנים הממשלה הכירה בסייבר כסוגיה לאומית, ויצרה ועדה בשם המיזם הלאומי הקיברנטי. החלטות חבריה הובילו ב־2012 להקמת מטה הסייבר הלאומי. בפברואר 2015 החליטה הממשלה על הקמת הרשות הלאומית להגנת הסייבר. המטה אחראי על גיבוש האסטרטגיה הלאומית בתחום וקידומה, ועל הראייה ארוכת הטווח, פיתוח ההון התעשייתי וקידום תעשיית הסייבר. הרשות היא למעשה הגוף האופרטיבי של המטה, שאמור לסייע להגנה על המרחב הישראלי כולו – המגזר הפרטי והציבורי כאחד. כך לדוגמה, מסביר בליצר, נבנה המרכז הלאומי להתמודדות עם איומי סייבר (CERT), ארגון שקיים במדינות שונות בעולם, ומשמש כממשק המרכזי בתחום בין הממשלה לבין המגזר הפרטי.
"קשה לראות איך ייראה עולם הסייבר בעוד 15־10 שנים", מוסיף בליצר, "קשה לייצר פתרונות ברורים, ולכן כדי להתמודד עם האיומים העתידיים הללו בצורה יעילה, צריך את המוסדות הרלוונטיים.
בעולם שבו הטכנולוגיה מתקדמת בקצב מטורף, חייבים להיות גמישים ומהירי תגובה. בסופו של דבר המוסדות האלו לא יכולים לשלוט בהכל בצורה מלאה, והממשלה מפנימה שלצורך קידום הגנת הסייבר בארץ צריך גם אקוסיסטם". לכן אחת המטרות היא לעזור לחברות ישראליות במדינות שונות בעולם, להשקיע (לעיתים אף ישירות) בסטארט־אפים ישראליים דרך המדען הראשי במשרד הכלכלה או מכון הייצוא, וליצור שיתופי פעולה בחו"ל. הכוונה, לדברי בליצר, היא לייצר בתחום תעשיית הסייבר כוח גדול, לייצר עוד צ'ק פוינטים וחברות משמעותיות שפועלות בתוך ישראל ובעולם, ולעודד חברות רב־לאומיות שישתלבו בישראל. ההשקעה הממשלתית מופנית גם לאקדמיה, כאשר כיום פועלים חמישה מרכזי מחקר בארץ, חלקם במימון המטה. "ככל שהמדינה נערכת יותר, כך החברות הישראליות נבנות וצומחות יותר", אומר בליצר, "וככל שהחברות צומחות יותר ופורצות את הדרך, כך גם ישראל מצליחה בעולם".
עד האיום הבא
אם מדברים על עתיד מרחב הסייבר – נראה כי האיומים רק ילכו ויתרחבו, מדגישים המומחים. מוצרים דיגיטליים חדשים יהפכו את חיינו לפשוטים ויעילים יותר, אך גם יחשפו אותנו לאיומים רבים ומוחשיים יותר. היכן שנמצאות הזדמנויות – ישנן גם סכנות. כך לדוגמה, ניתן יהיה לעקוב אחר אנשים באמצעות כלי רכב או רחפנים שיהיו "מחוברים" אחד לשני ולרשתות התקשורת, ואף לגרום לתאונות. אותו הטרנד של האינטרנט של הדברים יחבר מצד אחד את כל המכשירים בביתנו, אך מצד שני יאפשר להאקרים לשלוט מרחוק בתאורה, בדרכי הכניסה ובכל אספקט של חיי היומיום הביתיים. גם המכשירים הרפואיים שהולכים ומתקדמים, כמו קוצבי לב, מזרקי אינסולין וטיפולים חשמליים – עלולים להיות תחת מתקפה של האקרים, שישבשו את פעילותם וידליפו מידע רפואי חסוי ורגיש.
מאידך, האיומים לא יוצרים רק חברות חדשות שמפתחות פתרונות הגנה, אלא גם תחומים חדשים בתעשיות קלאסיות, כמו ביטוחי סייבר שיגנו על חברות מפני ריגול תעשייתי והדלפת מידע פרטי של לקוחותיהן.
"מעולם שבו המשתמש העיקרי של מערכות מחשב הוא האדם, והתוקפים בו מנצלים את החולשה האנושית או את הממשק של אדם־מכונה, ישנו מעבר לעולם של מכונות שמחוברות לעצמן", מסביר ד"ר קוזלובסקי. "צריך להגן על המערכות שלהן, ולכן חלק גדול מתעשיית הסייבר מתעסק באתגר הבא – איך בונים את התשתיות של הערים, המכונות והמפעלים החדשים והחכמים בצורה מאובטחת. זה לא שפתרון אחד יסיים את בעיית הסייבר".
הכתבה מופיעה בגיליון יוני של פורבס ישראל
לרכישת הגיליון חייגו 077-4304645
לרכישת מנוי למגזין פורבס ישראל
לכל העדכונים, הכתבות והדירוגים: עשו לנו לייק בפייסבוק
|
|
