אין יום שבו ישראל, או גופים וחברות ישראליים, לא מותקפים בסייבר. רוב התקיפות כלל לא מגיעות לידיעת הציבור. בהיעדר נזק, או פוטנציאל לנזק, הן לא מעוררות עניין ממשי.
העניין מתעורר רק כאשר אינטרסים ציבוריים, כלכליים או אישיים עומדים על הפרק. בשבועות האחרונים היו כמה תקיפות כאלה. החמורה שבהן היתה מתקפת הסייבר על בית החולים "הלל יפה" בחדרה, שלא הצליח להשתקם עד היום. במקרים אחרים הותקפו אתר ההיכרויות של הקהילה הגאה "אטרף" והאתר של "מכון מור". משניהם נשאבו פרטי המשתמשים, שחלקם גם פורסמו ברשת.
נתונים של מערך הסייבר הלאומי מלמדים על מספר מטורף של תקיפות. מיליונים בשנה. רובן תקיפות אוטומטיות, בעיקר נגד אזרחים, במטרה להרוויח כסף. מישהו שולח למישהו קובץ נגוע, המקבל פותח את הקובץ ומדביק את המחשב שלו, והתוקף נועל את המחשב ומבקש כסף בתמורה לפתיחתו מחדש. לא מעט אנשים משלמים, כדי להחזיר לעצמם את המחשב ואת המידע.
התקיפות המשמעותיות יותר מכוונות נגד גופים וחברות. הן נחלקות לשניים: תקיפות מטעם גורמים עוינים במטרה לגרום נזק ולהביך את מדינת ישראל, ותקיפות של גורמי פשיעה שמטרתן להרוויח כסף. האחרונות הן הנפוצות יותר, ולכאורה גם הקלות יותר לטיפול. התוקפים שואבים את המידע או נועלים את המחשבים (או גם וגם), ודורשים כופר כדי להשיב את המצב לקדמותו. מכאן ניתן לנהל עימם מו"מ (יש לא מעט גורמים שפיתחו מומחיות לכך), לעיתים דיסקרטי, לשלם ולסגור את הפרשה. זה מה שעשו ועושים לא מעט גורמים בעולם ובישראל, לרבות עיריות וגופים מסחריים שמחזיקים במידע הפרטי של כולנו.
הבעיה הגדולה יותר היא עם התקיפות שמדינות אחראיות להן. קבוצת Black Shadow שמופעלת ככל הידוע בידי איראן, אחראית לפריצה לאתר "אטרף", והיא היתה אחראית בשנה שעברה למתקפה על חלק מתשתיות המים העירוניות בישראל. הקבוצה הזאת ודומותיה מנהלות מו"מ כאילו מדובר בתקיפה פלילית, אבל אין להן עניין אמיתי בכסף: כל רצונן הוא להביך את מדינת ישראל ולפגוע בה.
זה חלק ממלחמת הכל בכל שישראל ואיראן מנהלות בשנים האחרונות כמעט בכל זירה אפשרית. יש למלחמה הזאת צדדים גלויים: התקיפות שמיוחסות לחיל האוויר בסוריה, למשל. יש לה חלקים שגלויים רק בחלקם: המערכה הימית נגד הברחות נפט איראני, שהובילה לפגיעה איראנית בספינות בבעלות של ישראלים. ויש לה חלקים חשאיים לגמרי: סייבר הוא הבולט שבהם.
ישראל היא שפתחה במלחמת הסייבר נגד איראן (על פי פרסומים זרים, כמובן). התולעת "סטקסנט" שהוחדרה לפני יותר מעשור למחשבים שאחראים לפעולת הצנטריפוגות במתקן הגרעיני בנתנז שיבשה את תהליך העשרת האורניום, ועיכבה משמעותית את תוכנית הגרעין של איראן. המבצע הזה – שכונה "משחקים אולימפיים" ובוצע בשיתוף פעולה ישראלי־אמריקני – היה פורץ דרך, אבל לא אחרון מסוגו. רק בשנה האחרונה דווח על פגיעה בנמל המסחרי המרכזי באיראן, בתנועת הרכבות, ובאחרונה – השבתת אלפי תחנות דלק באמצעות שיבוש מנגנון התשלומים בכרטיסי תדלוק.
תקיפות כאלה יכולות להיות מבוצעות רק בידי מדינה. הן דורשות תשתית טכנולוגית ענפה, כסף גדול והרבה אנשים מקצועיים. ישראל היא מעצמה בתחום הזה של סייבר התקפי: היא עומדת בה בחמישייה הפותחת עם ארה"ב, רוסיה, סין ובריטניה. איראן מפגרת הרבה מאחור, אבל היא משתפרת בהתמדה. מסייעת לה העובדה שישראל היא מדינה מתקדמת שנשענת על תשתיות מחשוב נרחבות, ושהמשמעת בה רופפת עד שערורייתית.
מתרשלים בהגנה
את הרוב המכריע של תקיפות הסייבר ניתן למנוע. מערך הסייבר הלאומי מפרסם מדי שנה עשרות אלפי חולשות שנחשפות בתוכנות השונות, ואת הדרך לסגור אותן. מדובר בפרצות שדרכן יכול התוקף להיכנס ולהשתלט על המחשב. ברוב המקרים, ניתן לסגור את הפרצה בקלות יחסית, תוך עדכון תוכנה.
הבעיה היא שגופים רבים – כולל ציבוריים – מתרשלים בהגנה. חלקם חוסכים בתקנים של קציני ביטחון מידע; חלקם חוסכים ברכישת תוכנות הגנה מתקדמות; וחלקם פשוט לא מצייתים להנחיות, ומסכנים בכך את עצמם ואת הלקוחות שלהם.
חברת הביטוח "שירביט" שהותקפה השנה היא דוגמה טובה לכך: לו ביצעה את הנדרש ממנה, התקיפה (שלמעשה הובילה למכירתה) היתה נמנעת או לפחות מצומצמת משמעותית.
פוטנציאל הנזק עצום
מערך הסייבר מגן רק על מה שהוגדר כאינטרסים חיוניים של המדינה – רשימה סגורה של נושאים וגופים (מחברת החשמל ועד תשתיות הנפט והגז). את יתר הגורמים הרשמיים הוא רק מנחה. מי שאחראי לאכוף עליהם את ההנחיות הוא המשרד הרלוונטי: משרד הבריאות על בתי וקופות החולים, משרד האוצר על גופי שוק ההון והביטוח, משרד הפנים על הרשויות המקומיות וכו'. חלק מהאכיפה מתבצעת ביעילות, וחלק לא. זה תלוי במידה רבה ברצינות של הגורמים עצמם: לא מעט עיריות בישראל הבינו את פוטנציאל הנזק, ומטפלות בו כנדרש. אחרות (בעיקר העניות שבהן) עושות מעט ומקוות לטוב.
הבעיה היא שאנחנו, האזרחים, נתונים בידי שלל גורמים שבחלקם לא מבצעים את עבודתם כנדרש. הפרטים האישיים שלנו – שמות, תעודות זהות, פרטי כרטיסי אשראי ועוד – נמצאים בעירייה, בבית הספר, בקופת החולים ועוד. מכאן, הדרך לחשיפת הפרטיות שלנו קצרה, ולצידה גם הסכנה לפגיעה כלכלית כתוצאה מגניבת פרטי אשראי.
הסכנות האלה מאיימות על כולנו, אבל הן הסכנות הקטנות. הסכנות הגדולות יותר מופנות אל תשתיות רגישות באמת, שחיינו תלויים בהן. מטוסים, רכבות, מערכות לניתוב תנועה, אנרגיה – לפגיעה בהן יש פוטנציאל לשבש את החיים בישראל, ועוד לא דיברנו על הגופים השונים במערכת הביטחון שגם הם נשענים באופן משמעותי על מחשבים – ממערכות מידע ועליהן המידע המודיעיני והמבצעי, ועד למערכות הלחימה עצמן שמבוססות לגמרי על טכנולוגיה. בעבר כבר היו ניסיונות לשבש, למשל, את פעילות כיפת ברזל, וסביר שמתקפות סייבר כאלה יהיו חלק אינטגרלי גם ממלחמות העתיד.
כאמור, ישראל היא מעצמה בתחום הסייבר. זה מאפשר לה יתרון טכנולוגי עצום על האויבים שלה (וגם רווחים כלכליים עצומים שהם חלק מהיותה סטארט־אפ ניישן), אבל זה גם מחייב אותה להגנה משמעותית על עצמה ועל אזרחיה. ההגנה הזאת מתבצעת רק בחלקה; היא דורשת פעילות נחרצת יותר כדי למזער נזקים מול שלל איומי הסייבר, שרק צפויים להתגבר מצד גורמים עוינים ופליליים כאחד.