חברת התעופה "הבטוחה בעולם" לא הצליחה לשמור על הנוסעים

חברת התעופה האוסטרלית קוואנטס, המתגאה שנים בהיותה חברת התעופה הבטוחה בעולם (עוד על כךבכתבה נפרדת), גילתה השבוע שהבטיחות בעידן הדיגיטלי דורשת כישורים שונים לחלוטין: החברההודתהביום שני כי נפלה קרבן לתקיפת סייבר חמורה, שחשפה מידע אישי של כ-6 מיליון לקוחות.

המטוסים בטוחים, המידע פחות

ההתקפה בוצעה בשיטה שעקפה את המערכות הראשיות של קוואנטס ופגעה בפלטפורמת צד שלישי המשמשת את מוקד השירות של החברה – טקטיקה דומה לזו של רוב מתקפות הסייבר המשמעותיות בשנים האחרונות. התוקפים השיגו גישה למערכת שמכילה רשומות שירות של כלל לקוחות החברה, מה שאפשר להם לגשת למידע רגיש בהיקף נרחב.

"ביום שני זיהינו פעילות חריגה בפלטפורמת צד שלישי המשמשת מוקד קשר של קוואנטס”, הודתה החברה בהודעה לעיתונות. "נקטנו מייד בצעדים ובלמנו את המערכת". למרות ההבטחה שכל מערכות קוואנטס נותרו מאובטחות, הנזק ללקוחותיה ממשי: המידע שנחשף כולל שמות, כתובות דואר אלקטרוני, מספרי טלפון, תאריכי לידה ומספרי מועדון הנוסע הקבוע. החברה מיהרה להדגיש שפרטי כרטיסי אשראי או מידע פיננסי אישי אחר לא נחשפו, וסיסמאות ופרטי התחברות של מועדון הנוסע הקבוע לא נפגעו.

הקבוצה שמטרידה את עולם התעופה

ההתקפה על קוואנטס מתרחשת על רקע אזהרות מחברות סייבר על פעילות מוגברת של קבוצת האקרים הידועה בשם "Scattered Spider" (העכביש המפוזר) נגד תעשיית התעופה והתחבורה. הקבוצה, הידועה גם בכינויים 0ktapus, UNC3944 ו-Muddled Libra, מתמחה בהתקפות הנדסה חברתית מתוחכמות.

שיטות הפעולה של הקבוצה כוללות פישינג, חטיפת SIM, הפצצת אימות דו-שלבי ושיחות טלפון למוקדי תמיכה תוך התחזות לעובדים. רשימת הקורבנות שלה מרשימה ומדאיגה: Twilio, בורסת הקריפטו Coinbase, חברת המשלוחים DoorDash, מלונות הקזינו Caesars ו-MGM Resorts (שבבעלות אמזון), MailChimp, חברת המשחקים Riot Games ואתר Reddit. לאחרונה התמקדה בחברות קמעונאות וביטוח, אך כעת עברה למגזר התעופה עם התקפות על Hawaiian Airlines ו-WestJet.

באים מהדלת האחורית

במקרה של WestJet, התוקפים ניצלו פלטפורמת איפוס סיסמאות עצמית כדי לקבל גישה לחשבון של עובד, ומשם חדרו לרשת הארגונית. שיטת הפעולה הזו מדגימה את התמחותם של התוקפים בניצול נקודות חולשה בממשקי משתמש ובתהליכי שירות עצמי.

מומחי אבטחת מידע מזהירים שהקבוצה פועלת בגישה מגזרית – מתמקדת במגזר אחד לתקופה מסוימת ועוברת למגזר הבא. לא ברור אם סיימו עם מגזר התעופה, או שצפויות התקפות נוספות.

תגובות ומשמעויות

לדברי קוואנטס, היא דיווחה על האירוע למטה אבטחת הסייבר האוסטרלי, למשרד המידע האוסטרלי ולמשטרה הפדרלית האוסטרלית. לא ברור אם מומחי אבטחת סייבר חיצוניים מסייעים בחקירה.

האירוע מדגיש את האתגר הגדול שעומד בפני חברות תעופה מסורתיות: בעוד שהן משקיעות מיליארדי דולרים בבטיחות טיסה ובתחזוקת מטוסים, אבטחת המידע הדיגיטלי לא תמיד זוכה לאותה רמת השקעה ותשומת לב. המקרה הזה משמש תמרור אזהרה לכך שהגישה לבטיחות המידע צריכה להיות לא פחות מחמירה מהגישה לבטיחות המטוסים.

(הכתבה נכתבה בסיוע קלוד)