האזהרה האחרונה שפרסם מערך הסייבר הלאומי בנוגע לניסיונות דיוג המכוונים לעיתונאים ישראלים היא אירוע משמעותי שחורג מגבולות מערכות התקשורת.
רפאל פרנקו, מנכ"ל חברת Code Blue ולשעבר סגן ראש מערך הסייבר הלאומי, מציין כי היא משקפת שינוי מגמה רחב באופן שבו גורמים עוינים מנסים להגיע למוקדי השפעה ולמידע רגיש בישראל.
לדבריו, בניתוח תקיפת סייבר יש להבין קודם כל מהו הנכס שהתוקף מנסה להשיג. "במקרה של עיתונאים, המטרה היא בדרך כלל לא כלכלית אלא אסטרטגית", הוא מסביר.
מדוע דווקא עיתונאים?
הערך המרכזי, אומר פרנקו, עשוי להיות המידע עצמו או רשת הקשרים והאמון שנבנתה סביב אותו אדם. עיתונאים מחזיקים בנגישות ייחודית למקורות, לבכירים, להתכתבויות ולמסמכים שטרם ראו אור.
חדירה לחשבון מאפשרת לתוקף לבנות תמונת מודיעין מקיפה על האנשים איתם העיתונאי בקשר, הנושאים שעל סדר היום והמידע שנמסר לו. מבחינת התוקף, העיתונאי יכול להיות היעד הסופי, אך גם גשר להגעה ליעדים הבאים.
ההודעות המגושמות שהכרנו נעלמו
זיהוי ניסיונות דיוג ממוקדים הפך לאתגר מורכב. ההודעות המגושמות שהכרנו הוחלפו בפניות מתוחכמות ומותאמות אישית. פרנקו מציין כי התוקפים כבר לא מסתפקים בהפצה המונית, אלא מבצעים איסוף מידע מקדים על היעד, לומדים את סביבת עבודתו ואת הקשרים המקצועיים שלו, וכך נבנית פנייה שנראית לגיטימית לחלוטין בהקשר המקצועי שלו.
הפתרון, לדבריו, הוא לשים לב דווקא להקשר ולהתנהגויות חריגות. הודעה שמייצרת דחיפות חריגה, בקשה לפתוח קבצים או לעבור לאמצעי תקשורת אחר צריכות להדליק נורות אזהרה. גם כשהשם והתמונה מוכרים, חשוב לבדוק את כתובת השולח ואת הקישורים, ובמקרה של ספק לאמת את הפנייה בערוץ תקשורת אחר ומוכר.
החוט המקשר: העימות מול איראן
העלייה בכמות ובאיכות של המתקפות קשורה ישירות למצב הביטחוני. בתקופות הסלמה, ובעיקר בעימות מול איראן, הצורך באיסוף מודיעין גובר. לצד תקיפות על ארגונים גדולים, יש מאמץ ממוקד להגיע לעיתונאים ובכירים, מתוך הבנה שחשבונותיהם הם אוצר בלום של מידע וקשרים.
פרנקו מוסיף כי כיום התוקפים משתמשים במידע גלוי וביכולות בינה מלאכותית כדי לייצר פניות אמינות יותר. הטכנולוגיה מאפשרת ללמוד את היעד לעומק, מה שהופך את ההסתמכות על סימני זיהוי מסורתיים לקשה מאי פעם.
לחצתם על הקישור? כך תפעלו
הטעות הגדולה ביותר, מזהיר פרנקו, היא להתעלם ולקוות שלא קרה דבר - שכן הזמן הוא מרכיב קריטי בניהול אירוע סייבר. אם הקישור נפתח אך לא הוזנו פרטים, יש לסגור את הדף מיד. אם הוזנו פרטי התחברות, יש לפעול במהירות: החלפת סיסמה ממכשיר מהימן, ניתוק חיבורים פעילים והפעלת אימות רב שלבי.
במקרה של הורדת קובץ או מעורבות מכשיר ארגוני, אין להסתפק בהחלפת סיסמה ויש לערב מיד את גורמי אבטחת המידע. התוקף עלול להחזיק בגישה פעילה או ליצור מנגנוני גישה נוספים, ולכן צריך לבדוק ביסודיות שינויים בחשבון - כללי העברת דואר חדשים, שינוי בפרטי שחזור או חיבורים ממכשירים לא מוכרים. המטרה: לוודא שלא נותרה לתוקף דריסת רגל.
ההתמודדות דורשת שילוב של אחריות אישית ומערכתית. פרנקו מדגיש כי האחריות לא יכולה להישאר רק אצל העיתונאי: המוכנות מתחילה במודעות לכך שכל עיתונאי עשוי להיות יעד ובחשדנות כלפי פניות חריגות, אך במקביל נדרש מענה מערכתי מצד ספקיות השירות לזיהוי קמפיינים וחסימת הודעות עוד לפני שהן מגיעות למשתמש.
אין הגנה מלאה
עם זאת, הוא מבהיר, בתקיפות ממוקדות אין פתרון טכנולוגי שנותן הגנה מלאה. השילוב בין טכנולוגיה, מודעות גבוהה והתייעצות עם אנשי מקצוע בזמן אמת הוא הדרך היחידה להגנה אפקטיבית. בסופו של דבר, אומר פרנקו, עדיף תמיד לעצור ולהתייעץ לפני שלוחצים על קישור או מוסרים פרטים רגישים.
