מלחמת ההאקרים הראשונה

נגיבת פרטי האשראי של 15 אלף הישראלים השבוע, ופרסומם ברשת, חשפו שוב עד כמה אנחנו תלויים במחשבים - וחשופים בגללם. הפרשה אמנם הסתיימה יחסית בטוב ועם נזק מזערי בלבד, אבל הלקח המטריד חזר להדהד: ישראל לא ערוכה כראוי למיתקפת סייבר.

זאת לא היתה דוגמה ראשונה. ב-2007 התרחשו שיבושים נרחבים בשידורי הלוויין של חברת יס, ובשנה שעברה קרסו המערכות של בזק וסלקום. בכל המקרים היה מדובר בתקלות ולא בחבלה מכוונת, אבל כולם חשפו את התלות הגוברת של המדינה בשירותים תלויי מיחשוב, ואת מידת הנזק שעלול להיגרם כתוצאה מחבלה מכוונת.

"נניח שישראל היא באמת מלכת המחשבים, מעצמה שאין שנייה לה", אומר גורם בכיר בעולם הגנת הסייבר, "ונניח שבמדינות כמו סין או רוסיה יש רק גאון מחשבים אחד על כל מאה שיש כאן. עדיין, יש שם פי כמה גאונים שיכולים לגרום כאן לקטסטרופה".

לא סתם נקב הבכיר בשמה של סין. בעולם מעריכים כי היא עומדת מאחורי שורה של תקיפות מאורגנות על יעדים "מבוצרים", במטרה להשיג מידע אסטרטגי. הדוגמה הטובה ביותר היא הסוס הטרויאני שהוחדר בדרך מתוחכמת במיוחד למחשבי יצרנית המטוסים האמריקנית "לוקהיד-מרטין", ושאב ממנה את אחד הסודות השמורים ביותר בתעשיית הביטחון של ארה"ב: תוכניות הייצור של מטוס החמקן F-35, פרויקט הדגל של עולם המטוסים ל-30 השנים הבאות, שגם ישראל היא חלק ממנו.

הדוגמה הזו, לא יחידה, המחישה שוב את החשיפה האדירה של העולם המודרני לסייבר, ואת הקושי להגן מפני תוקפים. אם להאמין לדיווחים זרים, אז גם ישראל היתה בשנה החולפת בצד התוקף, כאשר החדירה תולעת מתוחכמת - "סטוקסנט" - ששיבשה לחודשים ארוכים את הצנטריפוגות להעשרת אורניום במתקן הגרעיני של איראן בעיר נתאנז. הפרסומים טענו כי התולעת הוטענה לתוך התקן נייד (דיסק-און-קי) שחובר למחשב במתקן, חדרה למחשבים ומהם לצנטריפוגות. לאיראן נדרשו חודשים כדי להיפטר מהצרה, רק כדי לשוב ולעמוד לאחרונה בפני מיתקפת סייבר נוספת, שגם היא, נטען, תוכננה ויוצרה "על ידי מדינה".

ההקשר המדינתי הוא משמעותי ביכולת לגרום נזק נרחב. ערב המלחמה בגאורגיה ב-2008 זוהתה מיתקפת סייבר נרחבת על כל יעדי המיחשוב במדינה, שקרסו כמעט כליל. המחשבים התוקפים לא היו ברוסיה. מרבית הכתובות היו ביעדים מרוחקים ומקצתם אף בגאורגיה עצמה, אבל לאף אחד לא היו אשליות מי התוקף ומה הוא ביקש להשיג - שיתוק של החיים במדינה וזריעת פחד בקרב האזרחים, שנותקו לפתע מהציביליזציה.

יוצרים בהלה

גם בישראל מעריכים כי מלחמה תביא איתה מיתקפות סייבר נרחבות. אזרחים פרטיים ינסו לגרום נזק נקודתי - כמו גניבת פרטי האשראי השבוע. מדינות או גופים מאורגנים שיש להם זמן, כסף וכוח אדם איכותי, ינסו להשיג יעדים משמעותיים יותר.

חדירה למערכת המחשבים של בנק הדם, למשל, ושינוי של ערכי המנות, יגבו לא מעט חיי אדם, אבל זאת תהיה הצרה הקטנה. הבעיה העיקרית תהיה הבהלה הציבורית שתיווצר, חוסר האונים, ולעיתים גם חוסר היכולת להגיב.

בשונה ממיתקפה קונבנציונלית, למתקפת סייבר אין תמיד חותמת ברורה של האחראים, והמחשב המרעיל יכול להיות בכל מקום בעולם. תיאורטית, זה אפילו יכול להיות מחשבו האישי של מנכ"ל החברה. ומה אז? ארה"ב, שהבינה כי כמדינה התלויה במיחשוב בצורה מוחלטת היא גם חשופה מאוד לתקיפה, כבר הודיעה רשמית כי על מיתקפה קיברנטית משמעותית היא תגיב בתקיפה קונבנציונלית. האיום על אויביה ברור: אם תשלחו אלינו תולעים וסוסים טרויאניים - אנו נשגר אליכם טילים.

ישראל, ברמה הצהרתית לפחות, עדיין לא נמצאת שם, אבל ברמת המודעות הסכנה ברורה. אנחנו חיים במדינה מתקדמת, שבה כלל המערכות תלויות מחשבים. אם פעם החשש היחיד היה שטיל יפגע במתקן של חברת החשמל ויפסיק לנו את הזרם, היום החשש העיקרי הוא דווקא ממיתקפת מחשבים שתעשה את זה נקי, מרחוק ובלי טביעות אצבע.

מה שנכון לחברת החשמל מאיים גם על אספקת המים והדלק, על תנועת הרכבות והאוטובוסים, ועל כל שירות אחר שאנחנו מקבלים. נסו לתאר אותנו ימים בלי טלפון סלולרי, או בלי שירותי בנק ואשראי; את מידת הבהלה הציבורית, את חוסר האונים ואת השיתוק הכללי שיאחזו במדינה.

עד היום זה לא קרה, ודאי שלא בהיקפים כאלה וגם לא כתוצאה ממיתקפה. אבל מה שראינו השבוע מבית מדרשם של כמה האקרים לא מתוחכמים במיוחד, היה רק דוגמה, פרומו, לסכנות של עולם הסייבר, שבגדול חושף את כולנו הרבה יותר מכפי שהיינו רוצים: לכולנו מערכת הפעלה "חלונות" בבית, כולנו משתמשים בג'י-מייל, אף אחד מאיתנו לא טרח מעולם לשאול איפה מייצרים אותם, ומי ערב לכך שלא התחברו אלינו דרכם ושאבו כל מידע אפשרי, וביום פקודה יבצעו כאן החשכה או חבלה קולקטיבית של המחשבים הפרטיים שלנו.

הדאגות האלה מטרידות כבר מזמן את גורמי המקצוע. בשב"כ קיימת חטיבה, רא"ם (רשות לאבטחת מידע), שאחראית להנחות את הגופים הרלוונטיים כיצד להגן על עצמם בעולם הסייבר. רשימת הגופים מורחבת כל העת, ומה שהתחיל בהגנה על תשתיות (חשמל, מים, נפט), מיתקנים אסטרטגיים ומשרדי ממשלה, התרחב כיום גם לבנקים, מתוך הבנת התלות שלנו בהם ביומיום, וגם בחירום.

חשש מריב סמכויות

האיום הגובר הזה הוביל בשנה שעברה להחלטת הממשלה להקים מטה לאומי ללוחמת סייבר, שיהיה כפוף למועצה לביטחון לאומי במשרד ראש הממשלה. על הקמת המטה הוחלט בעקבות עבודה שריכז אלוף (מיל') פרופ' יצחק בן-ישראל, שקבעה כי היחס כיום לאיום הוא נקודתי, וחייב להפוך מערכתי.

בראש המטה המיועד היה אמור לעמוד תא"ל (מיל') יאיר כהן, לשעבר מפקד יחידה 8200 של אמ"ן, אולם הוא החליט לוותר על התפקיד לאחר שנוכח כי לא יקבל את הסמכויות שהובטחו לו. בעקבות זאת הוחלט למנות לתפקיד את ד"ר אביתר מתניה ממשרד הביטחון, אך גורמי מקצוע חוששים שריב סמכויות וצרות-עין ימנעו מהמטה לתפקד כראוי ולבצע את השינוי הנדרש כדי להבטיח שישראל מוגנת כראוי מפני מיתקפות מחשבים.

בעוד המדינה מדשדשת, בצה"ל כבר מזמן דהרו קדימה. המעבר לעולם שכולו מחשבים והבנת התלות בהם (חיל האוויר הצרפתי קורקע כולו בשנה שעברה בגלל תוכנה ששיתקה את המחשבים וגרמה לכך שאף מטוס לא היה יכול להמריא) - הובילה לחלוקת סמכויות ברורה ולהקצאת משאבים מתאימה.

מפקד 8200 הנוכחי, תא"ל נ', קיבל את האחריות. תחתיו פועלים שני גופים: מחלקה ב-8200 שאחראית לעולם ההתקפי (זיהוי הזדמנויות אצל האויב ותקיפתן) ומחלקה באגף התקשוב שאחראית להגנה (סגירה של כל מערכות צה"ל בפני איום חיצוני). כתוצאה מהקמת הגופים, נכנסה "פקודת סייבר" לכל תוכנית מבצעית של צה"ל, ואנשי המחלקה ההגנתית מעורבים בכל תוכנית כדי להבטיח שהיא חסומה.

החשש ברור: חדירה למחשבים תוביל לא רק לאפשרות של שאיבת תוכניות ומידע (ענת קם, זוכרים-), אלא לשיתוק של מערכות לוחמות בעידן שבו כל זרימת המידע דיגיטלית, וחלק מהכוחות כבר שכח איך מנווטים עם מצפן והפך תלוי ב-GPS ובמפות הדיגיטליות ש"מוזרקות" לו ממחשב מרכזי.

הדרך לעשות זאת עוברת בניתוק מוחלט, חומה סינית של ממש, בין מערכת המיחשוב הפנים-צבאית שהיא סגורה לגמרי, לבין זאת החיצונית - העולם האינטרנטי שלנו.

בצה"ל אין יכולת לקשר בין שני העולמות, ומי שמנסה לחדור, מפעיל מערכות הגנה שמתריעות על ניסיון פריצה. אבל ההפרדה הזאת היא רק חלק מהעניין, משום שכמו בדוגמת "חלונות", גם בצה"ל הבינו שרק אם הם ישלטו לא רק בתהליך ההפעלה אלא גם בייצור - תתקבל חסינות מלאה. אחרת אף אחד לא באמת יודע מי הכניס מה לשבב או לתוכנה.

ההקפדה איפשרה לצה"ל לעמוד עד כה במאות אלפי מיתקפות שנבלמו, אבל ספק אם יש מי שמאמין שהחסינות הזאת תימשך לנצח. "בעולם ההתקפי יש צל"שים ופרסי ביטחון ישראל. בעולם ההגנתי יש ועדות חקירה", נוהגים לומר אנשי המקצוע, שמבינים כי מדובר במירוץ שלא ייגמר לעולם.

ככל שהמדינה תתקדם, ותהיה יותר תלוית-טכנולוגיה, כך גם תגבר חשיפתה לסכנות של עולם הסייבר והיא תידרש להשקיע יותר בהגנה מפניהן. הדברים מקבלים משנה תוקף אם מתבוננים באויב, שיכול להיות נער סעודי שיגרום נזק נקודתי (דוגמת ההאקרים ששאבו את פרטי האשראי השבוע), או מדינה (איראן משקיעה רבות בנושא) שתנסה לגרום נזק במהלך מלחמה או ללא קשר אליה.

בתווך יש לא מעט ארגוני פשיעה בינלאומיים שכבר מעסיקים גאוני מחשבים, שעלולים גם הם לגרום לחבלה או לנזק שלא יסתכמו רק בבהלה רגעית של 15 אלף מחזיקי כרטיסי אשראי.

ומה אז? השבוע למדנו שוב כי הפאניקה הציבורית תהיה גדולה, והמענה יהיה כנראה חלקי מאוד. לכן, מסכמים המומחים, אין ברירה אלא להשקיע בהגנה, ולהשקיע הרבה, כפי שמתבקש ממדינה שתלויה לגמרי במחשבים וגם רואה עצמה כממלכה בנושא. שאחרת, אותה הממלכה עלולה להתעורר בוקר אחד ולגלות לחרדתה שמה שהיא עוטה עליה הם רק "בגדי המלך החדשים".

* * *

ההאקרים גילו את האמת: הישראלים הם משתמשים כבדים בכרטיסי אשראי

הקדמה לתרחיש אימה

אם זה עדיין לא ברור למישהו - היה לנו מזל ענק השבוע. מיתקפת ההאקרים על מאגרי המידע הוכיחה ליותר מדי גורמי אכיפה במשק, שהפרטים הכי כמוסים שלנו חשופים מאוד ברשת. קבוצת האקרים, שאחד מהם הזדהה תחת זהות סעודית, פירסמה באתר אינטרנט קבצים עם 400 אלף רשומות, שבהם נטען שיש פרטי כרטיס אשראי, שמות מלאים ופרטים מזהים נוספים של ישראלים.

כשנודעו ההיקפים הראשונים של הקובץ הפיראטי, ההיסטריה עלתה מדרגה. כל הלילה שבין שני לשלישי דלקו האורות בחברות כרטיסי האשראי, שניתחו שוב ושוב את הרשימות. חלקי הבלוף הלכו ונחשפו. הסיפור הלך והתגמד ככל שחלפו השעות, ובבוקר גילו כולם ששיטת "סמוך על סמוך" עדיין עובדת פה.

רק לשם השוואה, אם ההיקף הנכון של הפריצה היה באמת 400 אלף כרטיסי אשראי, סדר גודל של מספר תושבי תל אביב - היינו נסחפים למערבולת שלא היתה נפסקת בסוף השבוע הזה. אולי היינו מגיעים לראשונה למצב שבו פעילות כרטיסי האשראי הישראלית היתה נקלעת להשבתה.

בסוף התברר שרק 15 אלף פרטי כרטיס אשראי נכונים דלפו. חברות כרטיסי האשראי סגרו עד לבוקר את הכרטיסים האלה לפעילות אינטרנטית וטלפונית. באחת החברות, לאומי קארד, סיפרו לנו שהנזק הכי גדול היה עיסקה בגובה 800 שקלים. היו עוד 50 ניסיונות לבצע חיוב קטן בכרטיסי החברה כדי לבדוק אם הכרטיסים נכונים. כל הכרטיסים הללו הושבתו וחדשים נשלחו.

חרושת השמועות על אופן הגניבה עדיין לא נבדקה במלואה. חלק מההשערות גורסות שהיתה זו גניבה יזומה משרתים ישראליים שמאובטחים בצורה לקויה. גרסאות אחרות טוענות בכלל שמדובר בעיקר בישראלים שנסעו לחו"ל והשאירו שם פרטי כרטיס אשראי.

מה שברור הוא שהמידע עלינו מאובטח בצורה רופפת מדי. מה שהיה לנו השבוע הוא הקדמה לתרחיש האימה הגדול יותר. נתוני חברות כרטיסי האשראי מלמדים שהשוק הישראלי משתמש בכרטיסי אשראי בהיקף הגדול בין מדינות אירופה. הישראלים "חולים" על גיהוצים, ואחרי אירועי השבוע גם ההאקרים יודעים זאת.

חזי שטרנליכט

טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו