מנוע החיפוש שזוחל אחר מכשירים: מקור להטרדות או אמצעי לגילוי כשלי אבטחה?

מארק גילברט קיבל באוגוסט ליום הולדתו ה-34 הפתעה נוראית מאדם זר. לאחר שהמסיבה גוועה, שמע גילברט, תושב יוסטון, קול לא מוכר מגיע מחדרה של בתו; האדם אמר לבתו הישנה בת השנתיים, "תתעוררי, זנזונת קטנה". כשגילברט חש פנימה, הוא גילה שהקול מגיע מהמוניטור של התינוקת שלו, ושמי שהצליח להשתלט עליו היה מסוגל גם לשלוט במצלמה. גילברט ניתק מיד את המוניטור, אבל לא לפני שלהאקר הייתה הזדמנות לכנות אותו מפגר. 

המוניטור, מתוצרת פוסקאם משנזן, סין, מאפשר למשתמשים בקרה באמצעות תמונה וצליל דרך האינטרנט מכל מקום בעולם. חודשים לפני כן גילו מומחי אבטחה כשלי תוכנה במוצר, שאפשרו לתוקפים להשיג שליטה מרחוק במוניטור, או לצפות בתמונות ממנו, אם השתמשו בשם המשתמש "אדמין" (אדמיניסטרטור).

בחודש שעבר הוציאה פוסקאם בשקט תיקון לתקלה, אולם לא דחפה אותו למשתמשים. כשגילברט בדק את חשבון פוסקאם שלו, הוא גילה שההאקר הוסיף את שם המשתמש שלו עצמו "רוט" (שורש) – כך שיכול היה להתחבר בכל פעם שרצה בכך. גילברט שוקל כעת הגשת תובענה ייצוגית נגד פוסקאם. הוא מצא תובעים נוספים המשתמשים במנוע חיפוש בשם "שודאן". זהו ככל הנראה האמצעי שבו השתמש ההאקר הסוטה כדי למצוא אותו.

שודאן "זוחל" באינטרנט בחיפוש אחר מכשירים, שרבים מהם מתוכנתים לענות. הוא מוצא מכוניות, מוניטורים ללב העובר, מערכות בקרת חימום של בנייני משרדים, מתקנים לטיפול במים, בקרה עם תחנות כוח, רמזורים ומדי גלוקוז. חיפוש אחר סוג מוניטור התינוק ששימש את הגילברטים מגלה כי יותר מ-40,000 אנשים נוספים משתמשים במצלמת הרשת הזו – ועלולים להוות מטרות נייחות להאקרים סוטים.

"גוגל זוחל אחרי אתרים. אני זוחל אחר מכשירים", אומר ג'ון מאת'רלי, צעיר גבוה בן 29, עם זקן תיש, שהוציא את סודאן ב-2009. הוא קרא לו על שם מחשב החישה המרושע במשחק הווידיאו "סיסטם שוק". "זוהי התייחסות שהאקרים וחנונים אחרים יבינו".

בתחילה חשב מאת'רלי שסודאן ישמש ענקיות רשתות כמו סיסקו, ג'וניפר או מיקרוסופט כדי למפות את עולם המוצרים של מתחרותיהן. במקום זאת הוא הפך כלי הכרחי לחוקרי אבטחה, אקדמאים, רשויות החוק והאקרים המחפשים אחר מכשירים שאינם צריכים להיות באינטרנט, או מכשירים הפגיעים לפריצה.

דוח ענפי של חברת הטכנולוגיה השבדית אריקסון מעריך כי 50 מיליארד מכשירים יחוברו עד 2020 ברשת, ויהוו "אינטרנט של דברים". מאת'רלי הוא היחיד שמכניס את תוצאות הסקירה הזו לתוך מנוע חיפוש ציבורי. "אני לא חושב שמנוע החיפוש שלי מפחיד", אומר מאת'רלי. "מה שמפחיד זה שיש תחנות כוח שמחוברות לאינטרנט". 

סודאן משמש למציאת מצלמות רשת שהאבטחה שלהן כה נמוכה, עד שכל מה שצריך זה להקליד כתובת IP לתוך הדפדפן כדי להציץ לבתים של אנשים, למשרדי אבטחה, חדרי תפעול בבתי חולים, מרכזי טיפול בילדים ולמבצעים ללכידת סוחרי סמים. דן טנטלר, חוקר אבטחה שמייעץ לטוויטר, בנה תוכנה הקרויה איגלאיי המוצאת מצלמות רשת דרך סודאן, נכנסת אליהן ומבצעת צילומי מסך. הוא תיעד קרוב למיליון מצלמות רשת חשופות. "זה גן עדן למציצנים", הוא אומר. וזה גם אוכל עבור אכיפה מצד ועדת הסחר הפדרלית: ה-FTC כבר הורתה לחברה שיש לה מצלמות המופיעות בסודאן לעשות סדר באבטחה שלה.

דמותו של סודאן במשחק הווידיאו "סיסטם שוק" | צילום: מתוך ויקיפדיה

לאחר שמצא פרצה בתוכנה נפוצה לניהול בניינים, השתמש בילי ריוס, חוקר אבטחה בחברת סיילאנס, בסודאן בצירוף עם כלי נוסף, כדי לגלות שבנקים, בנייני דירות, מרכזי כנסים ואפילו משרדי גוגל באוסטרליה, מחזיקים מערכות מקוונות של אבטחה, תאורה, חימום וקירור, שהאקר יכול לשלוט בהן. "כרגע יש באינטרנט 2,000 מתקנים שאם מישהו מנחש לגביהם את כתובת ה-IP, הוא יכול להשתלט על הבניינים", אומר ריוס.

סוכנות ביטחון המולדת בארה"ב (DHS) חשפה מוקדם יותר השנה כי האקרים ניצלו את זה, ופרצו וירטואלית לתוך מערכת ניהול האנרגיה של "מתקן ממשלתי של אחת המדינות" ב-2012, כדי להפוך אותו "חם בצורה יוצאת דופן", ולמערכת האנרגיה של "חברת תעשייה בניו ג'רזי", בתחילת 2013; הפורצים חדרו פנימה באמצעות סודאן.

מאת'רלי גדל בשוויץ, נשר מביה"ס התיכון בגיל 17 ועבר לארה"ב כדי להתגורר עם דודתו דיילת האוויר בסן דייגו. בתחילה התפרנס מעבודה בחנות ספרים, ולאחר מכן הלך לקולג' ציבורי והמשיך לתואר בביואינפורמטיקה מאונ' קליפורניה, סן דייגו. הוא קיבל עבודה במרכז מחשב-העל של האוניברסיטה, שם עבד על פרויקט בסיס נתונים של חלבון.

לאחר תקופה קצרה של תכנות עבור חברת סטארט אפ ועיצוב אתרים עבור יוניון-טריביון, הוא החל לבנות את סודאן. מודל החינם שלו סייע לו לשלם את החשבונות מאז, כך שהוא יכול היה להוסיף עוד "זחלנים" כדי לסרוק חלקים נוספים מהאינטרנט. חיפוש חינמי נותן עשר תוצאות. בערך 10,000 משתמשים משלמים תשלום חד-פעמי של עד 20 דולר כדי לקבל 10,000 תוצאות לחיפוש. תריסר משתמשים מוסדיים, שכולם חברות אבטחת סייבר, משלמים תשלום בן חמש ספרות מדי שנה עבור גישה לבסיס הנתונים של מאת'רלי כולו, הכולל 1.5 מיליארד מכשירים מחוברים.

סודאן הוא חברה של אדם אחד, וניתן לראות זאת כשמשתמשים בו. אין בו את ממשק החיפוש הנקי של גוגל. צריך להכיר חלק מהמבנה של המכשיר כדי לדעת מה אתה מחפש. התוצאות כוללות שפה של פרוטוקול אינטרנט שאינה מוכרת למשתמש הממוצע. אולם זו יכולה להיות הדרך היעילה ביותר להדגים את ההשפעה של כשל אבטחה במוצר: לאחר ביצוע חיפוש מופיע בצדו השמאלי של המסך סיכום, המודיע כמה מן המכשירים הללו נמצאים באינטרנט, ובאילו ארצות הם נמצאים.

הרשויות הפדרליות יכולות למרר למאת'רלי את החיים אם יחליטו לפעול נגדו במסגרת "חוק הונאה ושימוש לרעה במחשב", האוסר על גישה לא מאושרת למערכות מחשב. החודש מארס הכניס תובע אגרסיבי את אנדרו "וויב" ארנהיימר לכלא, בעוון כניסה לאתר שאיי טי אנד טי העלתה לרשת, ושבו הכלילה מתוך רשלנות כתובות מייל של לקוחות האייפד שלה. "אני לא מנסה להיכנס לשרתים או כל דבר שעשוי להיחשב לפריצה", הוא אומר. 

במקום לתבוע את מאת'רלי צריך לתת לו פרס על שהיסב את תשומת הלב לטעויות המטופשות בצורה שלא תיאמן שעושות יצרניות הגאד'טים כשהן מתכננות את המוצרים שלהן, ולהתעלמות הצרכנים מאבטחת המוצרים שהם קונים. כל הדברים שמתחברים לאינטרנט צריכים להיות מוגנים בסיסמה, אך רבים מהם אינם מוגנים. אסור גם שהמכשירים הללו יישלחו עם ברירת מחדל של שם משתמש וסיסמה, אולם ברבים מהם זה בדיוק מה שקורה.

בשנה שעברה משתמש אנונימי השתלט על יותר מ-400,000 מכשירים המחוברים לאינטרנט, לאחר שהשתמש בלא יותר מארבע סיסמאות ברירת מחדל, והוא השתמש במידע כדי לבנות מערך נתונים הדומה במידה רבה לזה של סודאן, שאותו כינה "מפקד האינטרנט 2012". "כולם מדברים על פעולות מתוחכמות ועל מלחמת סייבר", כתב המשתמש חסר השם, שהיה נבון מספיק להישאר אנונימי כדי להימנע מסיבוכים משפטיים. "[אבל] ארבע סיסמאות דיפולט פשוטות ומטופשות של פרוטוקול הרשת טלנט יכולות להעניק גישה למאות אלפי צרכנים, ולעשרות אלפי מתקני תעשייה בכל רחבי העולם". 

מאת'רלי מקווה שסודאן יוביל ליותר שקיפות ומבוכה ציבורית בקרב חברות שמוכרות מערכות חשופות, אולם הוא אינו אופטימי. "אם תרצה או לא תרצה – הכול הולך לאינטרנט", אומר מאת'רלי.