האקרים טוענים: פרצנו לאתר הפורנו הגדול בעולם

קבוצת ההאקרים יהדועה לשמצה ShinyHunters טענה השבוע, כי הצליחה לפרוץ למידע רגיש של אתר המבוגרים Pornhub ולהשיג מידע על משתמשים. הקבוצה, המוכרת בעולם הסייבר מתקיפות קודמות, הציעה למכירה קבצים המכילים נתונים שלטענתה מקורם בשרתי החברה.

עם זאת, בדיקה של פרטי האירוע ותגובת החברה מעלות תמונה שונה. דובר מטעם Pornhub מסר כי לא זוהתה שום חדירה למערכות האתר עצמו. מהחברה נמסר כי מקור הנתונים שפורסמו הוא בחברת Mixpanel, ספקית צד שלישי לשירותי ניתוח נתונים, שסיפקה שירותים לאתר עד שנת 2021.

משמעות הדבר היא שהדליפה לא התרחשה באתר הפורנוגרפיה, אלא ככל הנראה דרך ספק המשנה. על פי הדיווחים, המידע שדלף כולל בעיקר נתונים טכניים וסטטיסטיים, ולא סיסמאות או פרטי אשראי עדכניים של משתמשים. למרות ההרגעה מצד החברה, האירוע מחדד את הסיכונים הקיימים בשרשרת האספקה הדיגיטלית.

האירוע הנוכחי מצטרף לשורה של מקרים בהם ארגונים גדולים נחשפים לסיכוני אבטחה לא בשל כשל במערכות שלהם, אלא דרך ספקים חיצוניים המחוברים אליהם.

סהר אביטן, CTO בחברת הסייבר הישראלית CYTRIX (סייטריקס), המספקת מערכת Agentic Red Team המבצעת בדיקות חדירה מבוססות AI כדי לאתר חולשות בין היתר בלוגיקה העסקית ובממשקי החיבור (APIs) שבין הארגון לספקים חיצוניים, מתייחס למקרה: "זה מדגיש בדיוק את השטח המת של אבטחת המידע המודרנית. ארגונים יכולים להשקיע משאבים עצומים בביצור המערכות הפנימיות שלהם, אך ברגע שהם פותחים צינור העברת מידע לספק חיצוני בין אם לצרכי סטטיסטיקה, סליקה או שיווק, הם למעשה מרחיבים את משטח התקיפה שלהם".

"עבור התוקף, זה לא משנה אם הוא נכנס דרך הדלת הראשית או דרך חלון של ספק שירות. התוצאה הסופית היא שהמידע נחשף. זה מוכיח שחוסן של ארגון נמדד לא רק בקוד שלו, אלא בבטיחות של כל המערכת האקולוגית אליה הוא מחובר", מוסיף אביטן.

לדבריו, הקושי המרכזי הוא בזיהוי התקיפות הללו בזמן אמת. "בעידן שבו ארגונים מחוברים לעשרות שירותי צד שלישי (APIs), כלי ההגנה המסורתיים מתקשים לזהות את הסכנה, כי מבחינה טכנית התקשורת נראית לגיטימית. "הפתרון היחיד הוא לאמץ גישה התקפית יזומה: לבדוק את המערכת כל הזמן דרך העיניים של ההאקר. חייבים לוודא לא רק שהקוד תקין, אלא שהלוגיקה של החיבורים עובדת ושמידע רגיש לא דולף החוצה בטעות תחת המעטה של פעילות עסקית שגרתית", הוא מסכם.