אף אחד ממנהלי חברת הביטוח שירביט לא דמיין שבבת אחת תעבור החברה ממצב של תפקוד מלא, למצב של מאבק על הישרדות החברה. מזה כשבוע האקרים מאיימים להפיץ כמויות מידע גדולות על לקוחות החברה, אחרי שכבר פרסמו נתונים של למעלה מ-1,000 לקוחות, חלקם נתונים רגישים, וסכום הכופר שהם דורשים עולה מיום ליום.
הרבה מידע על האירוע הזה טרם פורסם, אבל מהקצת שאנחנו כן יודעים, נראה שפוטנציאל הנזק של אירוע בסדר גודל כזה גדול במיוחד, ורחוק מלהסתכם בהבכת לקוחות שרביט בהפצת פרטיהם האישיים.
דוגמא לנזק הפוטנציאלי של סחיטת גוף פיננסי, סיפק אירוע סחיטה שהתרחש בבנק לאומי רק לפני כשש שנים. במהלך אוקטובר 2014 התקבל מייל אנונימי בהנהלת לאומי מטעם גורם לא ידוע. הגורם טען שהוא מחזיק בפרטים של 1.5 מיליון לקוחות הבנק, ודרש תשלום כופר של 3 מיליון דולר בתמורה לאי פרסום פרטיהם של לקוחות הבנק.
בהנהלת לאומי שררה אז בהלה גדולה. יו"ר לאומי לשעבר, דוד ברודט, ששהה בניו יורק בעת קבלת המייל, סיפר בדיון שנערך לאחר מכן בבית המשפט על השתלשלות האירועים: "לאחר שגיליתי על הפרשה, חזרתי לארץ ונפגשתי עם פרקליט המדינה, שי ניצן, וגורמים נוספים. ראש הממשלה, בנימין נתניהו, עודכן בזמן אמת על ידי הנגידה, קרנית פלוג".
יחידת הסייבר של להב 433 לקחה על עצמה את ניהול האירוע בבנק לאומי. החשש, כפי שביטאו אז ראשי המערכת הבנקאית, היה לא פחות מכאוס וקריסת הבנק. "פוטנציאל הנזק, אם ייוודע לציבור שיש סחיטה בבנק לאומי, עלול היה להוביל לכך שהציבור ימשוך את חסכונותיו ותהיה פאניקה ציבורית", הסביר אז ברודט.
מאחר שפקדונות הבנק לא נזילים במצב של משיכה המונית (או בשם המקצועי: "ריצה אל הבנק"), המשמעות היתה פשיטת רגל של הבנק. לא פלא לפיכך, שברודט לחץ על ניצן להיכנע לדרישות מבקש הכופר.
גם המפקח על הבנקים דאז, דודו זקן, נבהל מתרחיש אימים כזה ושלח מכתב בהול לניצן. לפי הדיווח, זקן ציין במכתבו כי המהלך מהווה איום משמעותי על המערכת הבנקאית, מערך התשלומים, הנזילות והיקף האשראי במשק. עוד כתב זקן כי הניסיון הבינלאומי מלמד שמקרים של אובדן אמון של הציבור בבנק, כמו זה שעלול לקרות, עלול להוביל ללחץ של משיכת כספים ולהידרדרות ביציבות התאגיד הבנקאי.
למזלם של מנהלי המערכת הבנקאית דורש הכופר לא נמנה אז עם רשימת העבריינים המתוחכמים במיוחד. במהלך המו"מ הוא חשף את חשבון הבנק שלו ותוך ימים ספורים בלבד הצליחו חוקרי המשטרה לעלות על עקבותיו, לחשוף את מיקומו הזמני בגסטהאוס בפאטיה וגם את זהותו – שמו היה אלירן רוזנס. מדובר בעובד זוטר וממורמר לשעבר בלאומי קארד, שבגלל מחדל אבטחתי הצליח להשיג את מאגר המידע בזמן עבודתו. זה עלה לו בסוף ב-11 שנות מאסר.
פיילוט ליחידות סייבר עוינות בעולם
אז נכון שדין השלכות קריסת בנק גדול למשק לא שקול לדין קריסתו של מוסד ביטוחי בסדר גודל של שירביט. עם זאת האירוע הנוכחי הוא בעל פוטנציאל נזק עצום. במיוחד משום שבעבור קבוצות האקרים עוינות ברחבי העולם שירביט היא בסך הכל סוג של פיילוט או בדיקת היתכנות לקראת הדבר הגדול הבא.
כל זה מעלה כמה שאלות נוקבות בקשר להתנהלות המדינה בעניין: עברו יותר מ- 6 שנים מאז מחדל רוזנס בלאומי. הנזק האדיר של סחיטה מסוג זה כבר ידוע היטב למערכת המשפטית ולרגולטור. עצם העובדה שגם הפעם הגורמים המעורים בפרשה מעלים בכלל את האפשרות שמי שמעורב בסחיטה הוא שוב עובד ממורמר, או שמידע דלף מחשבונו של עובד לשעבר בחברה, מעלה את השאלה האם יושמו הלקחים מאז אותו מקרה בכלל הארגונים הפיננסים כדי למנוע הישנות של מקרים מסוג זה?
מזה כשבוע האקרים מאיימים להפיץ כמויות מידע גדולות על לקוחות החברה, אחרי שכבר פרסמו נתונים של למעלה מ-1,000 לקוחות, חלקם נתונים רגישים, וסכום הכופר שהם דורשים עולה מיום ליום
מאחר ששירביט היא גוף הנמצא תחת פיקוח רגולטורי, נשאלת השאלה אם החברה מילאה אחר ההנחיות להגנה מפני מתקפות סייבר של רשות שוק ההון ומטה הסייבר הלאומי?
אם כן – האם זה אומר שההנחיות הנוכחיות הקיימות בגופים הפיננסים בישראל מלאות בחורים, ולמעשה הפרטים הכי רגישים ואולי גם הכסף שלנו חשופים לכל האקר חובבן?
אם התשובה היא לא, נשאלת השאלה כיצד ייתכן שהרגולטור הפקיר את כספם ופרטיהם של אזרחי המדינה מבלי שביצע תהליך פיקוח הדוק אחר מילוי ההנחיות שהוא בעצמו פרסם?
בין אם מדובר במחדל של שירביט או בהנחיות בעייתיות שקיבלה, ניתן להניח בזהירות, שמחדלי אבטחה דומים הם לא נחלתה הבלעדית. לפי מידע שהגיע לידי מערכת זמן ישראל, לפחות בהנהלת חברת ביטוח גדולה אחת ניתנה כבר הוראה להאיץ באופן מיידי את תהליך עיבוי מערך ההגנה שלה מפני מתקפות האקרים, בעקבות נסיון הסחיטה בשירביט.
גם בהקשר הזה נשאלת השאלה אילו פעולות נקטו חברות נוספות ובעיקר הרשויות האחראיות במדינה, כדי למנוע את הישנות המקרים מאז היוודע המקרה בשירביט?
אם המדינה לא תתעורר ותתחיל להתייחס אל פרשת שירביט כאל אירוע בעל סכנה לביטחון הלאומי, שכולל גם הפקת לקחים והתוויית מדיניות ברורה בעניין להמשך, ניסיון הסחיטה או ההתקפה הבא כבר עלול להיות בבנק, בחברת ביטוח גדולה, בארגונים ממשלתיים קריטיים, או חלילה אפילו במתקן תשתיות.
במקרה הגרוע יותר יהיו אלה האקרים מתוחכמים או אפילו מדינה (איראן?), שיעמדו מאחורי מתקפה כזו. במקרה כזה נעמוד מול משחק אחר לגמרי. הנזק אז עלול להיות כבר הרבה יותר גדול, מסתם חשיפת תעודות זהות של לקוחות.
אם המדינה לא תתעורר ותתחיל להתייחס אל פרשת שירביט כאל אירוע בעל סכנה לביטחון הלאומי, שכולל גם הפקת לקחים והתוויית מדיניות, ניסיון הסחיטה הבא עלול להיות כבר בבנק, או בארגונים ממשלתיים קריטיים
תגובות עכשיו הזמן לומר את דעתך
תגובתך פורסמה! שתפו את עמוד הפרופיל שלכם