מאת: גד אלקין, מנהל תחום אבטחת מידע EMEA בחברת F5, מובילה בפתרונות לעולם היישומים ובאבטחת יישומים

בסרט "כופר" מגלם מל גיבסון את טום מולן, אב אשר מנסה להציל את בנו שנחטף על ידי נבל ולבסוף מוביל צוות של סוכני FBI למבצע הצלה נועז. בעוד שבסרט זה ובדומיו בז'אנר אנחנו רואים תמונות של מזוודות מלאות בכסף מסודר בקפידה וקרבות יריות דרמטיים, הרי שהטקטיקה של הפושע המודרני כיום השתכללה משמעותית. במקום בני ערובה אנושיים – הנבל מחזיק במידע עסקי כבן ערובה.

בתי חולים, מוסדות ממשלתיים ובנקים הושמו כמטרה לכופרה. מדובר בסוג של נוזקה שמונעת גישה לקבצים האישיים ודורשת כי כופר כספי ישולם לפני שהגישה לקבצים תחזור לתקנה. מספר ההתקפות מסוג זה עלה ב- 16% בשנה האחרונה בלבד. ההתמודדות עם איומי סחיטה מסוג זה יכולה להיות טראומטית לעסקים רבים. יחד עם זאת, הידיעה המוקדמת מול מה מתמודדים ואיך לאבטח את מערכות המידע בצורה אפקטיבית בהחלט יכולה לעזור להסיר את הדאגות האלו מהמחשבות של ההנהלה הבכירה של העסק.

דע את האויב

דרישות הכופר הראשונות היו בתחילה ברמה נמוכה. הן התבצעו באמצעות אימייל וקיבלו תשומת לב זעומה. הן סבבו סביב התקפות מסוג DDoS (מניעת שרות) שההאקרים היו מאיימים להוציא אותן לפועל אם התשלום לא מתקבל, כפי שהודגם על ידי קבוצת ההאקרים DD4BC. לחלופין, מכשירים הוצפנו בכפייה, עם דרישת תשלום בתמורה לגישה מחודשת למידע במכשיר. סכומי כסף נכבדים היו מעורבים בנושא, דבר שהביא לכך שארגונים מהתחום הפיננסי הוצבו כמטרה באופן עקבי. יחד עם זאת, הטקטיקה של ההאקרים עברה מספר שינויים משמעותיים.

בעוד שמספר ההתקפות עלה באופן אינטנסיבי, קבוצות של האקרים בחרו להגמיש את שריריהם הדיגיטליים על ידי שיגור התקפות בעצמה מאד ספציפית, על מנת להדגים לקורבנות את היכולות המדויקות שלהם. מגמה נוספת וראויה לציון היא ההשפלה הפומבית של הקורבנות, מגמה שבאה לידי ביטוי באופן בולט בסיפור הפריצה לאתר ההיכרויות אשלי מדיסון. במקרים כאלו, להאקרים יש כבר גישה למידע וקורבנות הכופר משלמים יפה, ולו רק על מנת להבטיח שהמידע שלהם לא ידלוף למרחב הציבורי.

בנוסף לפורמט המסורתי של האימייל, האקרים נקטו גם בקמפיינים של נוזקות פרסום, שבאות לידי ביטוי בעת שמשתמשים תמימים מבקרים באתרים לגיטימיים. אם לא די בכך, הרי שהשימוש הנפוץ בשירותי ענן הביא לכך שספקי השרות גם הם מושמים כיעד לתקיפה. למגמה זאת יכולה להיות השפעה הרסנית, אשר באופן פוטנציאלי יכולה לגרום לאפקט דומינו על ידי הדבקה לא ישירה של לקוחות ספקי השרותים.

לשלם או לא לשלם את הכופר?

למרות השכיחות הגוברת של אירועי הסייבר, נראה כי ארגונים אינם מודעים ל- best practice בכל הנוגע לתגובה לדרישות כופר. למעשה, מחקר שהתבצע על ידי IoD and Barclays לאחרונה מצא שרק 28% ממקרי הסחיטה בתחום הסייבר מדווחים לרשויות, דבר שמעיד על כך כי הקורבנות מעדיפים לשלם את הכופר יותר מאשר להסתכן בשחרור המידע הרגיש ובפרסום ציבורי שלילי.

כמובן, הדאגה הגוברת למידע הפרטי היא בדיוק הדבר שעליו סומכים פושעי הסייבר. במציאות, ארגונים צריכים להימנע מתשלום לסחטנים. ה- FBI האמריקאי פרסם לאחרונה המלצה בלשון "תשלום כופר לא רק מעודד את פושעי הסייבר להיות מעורבים בסוג זה של פעילות בלתי חוקית... על ידי תשלום הכופר, ארגונים מספקים באופן בלתי נמנע מימון לפעילות בלתי חוקית אחרת שמיוחסת לפושעים". יתרה מכך, העבריינים מקבלים עידוד להמשיך ולתקוף את אותה מטרה אם היא מוכנה לשלם.

חשוב לציין כי עדיין עומד סימן שאלה גדול בנוגע לאמיתות האיומים הללו. אם לוקחים כדוגמה את ההתקפות האחרונות שהתבצעו על ידי Armada Collective, שידועים כשלוחה של DD4BC, לא היתה לקבוצה זאת כל דרך לדעת איזה מהקורבנות שלהם שילמו את הכופר, דבר שמעיד על כך שהאיום היה כנראה שרירותי.

מניעה עדיפה על תרופה

ארגונים מתחילים לחנך את העובדים שלהם בצורה טובה יותר אודות הסיכונים הפוטנציאלים וה- best practice לתגובה לכופרות. יחד עם זאת, לפני כן עליהם להבטיח שהיישומים המשולבים במערכות המידע מוגנים היטב מפני התקפות מתוחכמות. אבן הדרך הראשונה חייבת להיות הערכה מלאה של התשתית הנוכחית של העסק, על מנת לאמוד האם ניתן לעמוד בפני התקפה בהיקף שהאקרים יכולים לייצר כיום. בהמשך לכך, שילוב של שירותים on premise ובענן יכול להקל בזמן התקפה ולהוכיח עצמו כיעיל בהתאם לנפח ההתקפה ועוצמתה.

רכיב מפתח נוסף הוא הווידוא כי העסק מוגן סביב השעון. גישה למומחים, דוחות ואנליזה בקצות האצבעות, הם כיום דרישה הכרחית על מנת לשמור על העסק ולקוחות הקצה מוגנים ומרוצים. עם הספקטרום המתרחב של איומי הכופרות, עסקים מראים כיום נטייה גוברת להעדפת שירותי אבטחה מנוהלים וקבלת רמה גבוהה של מומחיות המיוחסת אליהם.

במהלך השנים האחרונות ראינו שינוי במגמה - עסקים מגיבים מידית לדרישות הכופר של ההאקרים, ולא רק לוקחים אותן ברצינות כאשר הן מתחילות להראות את השפעתן המשמעותית בפועל. למרות שזהו מצב חיובי, ארגונים אחרים עוברים לקיצוניות השנייה שכוללת תשלום להאקרים מבלי לבדוק את הדברים לעומק, דבר שרק יכול להעצים את הבעיה. נקיטת האמצעים המתאימים לאבטחת יישומים תרגיע את הדאגות מפני סחטנות סייבר, תסריט עדיף בהחלט על פני מסירת כספי הארגון ללא צורך.