עדכון שבועי 22.10.2020

מה קרה בנמל בנדר עבאס?
בתחילת אוקטובר דיווח העיתון Times of Israel כי על פי מקורות לא מאומתים התרחשה מתקפת סייבר רחבת היקף כנגד תשתיות איראניות, בהן נמלים ומערכות בנקאות. בכירים איראניים התראיינו לסוכנות הידיעות הפרסית IRNA, בטוענם כי התקיפה הנוכחית לא הסבה נזקים, וכי איראן התמודדה עם תקיפות גדולות יותר בעבר. ממחקר שערכנו על האופן בו סוקר האירוע בעיתונות הפרסית, עולה כי למרות טענת הממשל האיראני על היעדר נזקים - על סמך אירועי עבר, ובכלל זה ההתקפה על הכור בנתנז, ניתן להסיק כי הכחשת הנזקים הינה מדיניותה הקבועה של הממשלה.

להלן תמצית הדיווחים האיראנים בנושא:
הדיווח הראשון הגיע מסוכנות הידיעות Tasnim News, ובו מדובר על מתקפה כנגד ארגון הנמלים והימאות האיראני. בדיווח זה נטען כי לא הייתה פגיעה בנמלים, ואולם בסוף הכתבה מצוין כי באותה שעה מסופקת לארגון תמיכה אונליין בכדי שלא לפגוע בתהליך פריקת וטעינת המכולות לספינות. דבר זה סותר את טענת היעדר הנזקים.
בדיווח ל-BBC בפרסית טען גורם מהמרכז לטיפול באירועי סייבר של איראן, כי למרות הנאמר במקורות זרים, אין סימנים למתקפה רחבת היקף על תשתיות ממשלתיות באיראן. מעניין לציין כי בשום אתר או חשבון מדיה חברתית של גורמי ממשל, כגון משרד הנשיא, משרד החוץ או הממשלה האיראנית, לא מופיע כל אזכור למתקפה.
בסיקור שביצעה סוכנות הידיעות Asriran לראיון שהעניק לתקשורת מפקד משמרות ההגנה, ע'אלם רצ'א ג'לאלי, מופיעה טענתו של המרואיין הבכיר כי כי לא התרחשה כל פגיעה בתשתיות, אלא רק ב״דברים היקפיים״ (במילותיו שלו). עוד עלה מהסיקור כי בניגוד לדיווחים של גורמי חוץ איראניים, ג׳לאלי לא קשר את ישראל או ארה״ב למתקפה.
לסיכום, בדיוק כפי שהתרחש באירוע הפגיעה בכור האיראני, נראה שגם ביחס לאירוע זה בוחר הממשל לנקוט בגישה מצנזרת, באופן שאינו מאפשר להעריך את שאירע בהתבסס על הנתונים המשוחררים לתקשורת.
 

גוגל מפרסמת מאמר על התמודדות עם איומים מתפתחים
המאמר, שפורסם על ידי קבוצת מחקר האיומים של החברה (TAG), מתמקד בהתמודדות עם איומים אלה בתקןפת הקורונה והבחירות לנשיאות בארה״ב. על פי הפרסום, TAG זיהתה ניסיונות תקיפה רבים כנגד גורמים בקמפיינים המעורבים בבחירות, כמו גם שימוש רב בשירותים לגיטימיים לצורך הסתרת פעילותם של מערכי תקיפה מתקדמים. נכון להיום, TAG לא זיהתה תקיפות שצלחו, אך היא מדגישה כי קיים קושי במעקב אחר איומים מסוג זה. זאת ועוד, קבוצת המחקר פרסמה כי היא חותרת להסרת מפלטפורמות גוגל השונות חשבונות המקושרים להפצת מיסאינפורמציה. המסקנה המרכזית העולה מן המאמר היא כי התמודדות עם APTs (איומים ממוקדים ומתמשכים) הופכת למורכבת יותר ויותר, וכי קבוצות התקיפה הופכות יותר ויותר נועזות בפעולותיהן.

​

Symantec מפרסמת מחקר על כלי חדש המצוי בידי MuddyWater
מערך התקיפה האיראני חוזר אל מרכז מחקר סייבר: בבלוג האבטחה של צוות המחקר Symantec Threat Hunting פורסם במהלך השבוע כי MuddyWater הפגינה ב-2020 פעילות אינטנסיבית, וכי מדגימות ״טריות״ שנלקחו מיעדים חדשים של הקבוצה עולה האפשרות שהיא מחדשת את מלאי כלי התקיפה שלה. באופן פרטני, הדגימות מצביעות על שימוש בכלי תקיפה חדש בשם PowGoop, המהווה Downloader, או ״ראש גשר״, להורדה בְּצוּרָה ושקטה של כלי התקיפה המרכזי. PowGoop נקשר בעיקר לכופרה Thanos, אשר בשבוע שעבר עלתה לכותרות בעקבות שימוש שעשתה בה MuddyWater כנגד חברות ישראליות, ללא אפשרות לשחרור הקבצים המוצפנים. עם זאת, הקשר בין הכלי לכופרה עודנו חלש, ומתבסס על כך שבמספר עמדות שבהן זוהתה פעילות מאומתת של הקבוצה האיראנית הופיע גם קובץ PowGoop. רק עם המשך פעילותה של MuddyWater יתברר אם מדובר בשינוי דרך פעולה, או במקרה חריג בלבד. 

סייבר ופרטיות - רגולציה ותקינה

כתב אישום מוגש נגד 6 תושבי רוסיה, קציני GRU, בגין פריצות ענק - בהן NotPetya

כתב האישום הוגש ב-19 באוקטובר במדינת פנסילבניה נגד ששה תושבים רוסים, כולם קצינים ביחידה 74455 של סוכנות הביון של צבא רוסיה (GRU). כתב האישום, ארה"ב נ. אנדריאנקו וכו', מייחס לנאשמים ביצוע פשעים מקוונים מאז 2015, אשר גרמו לנזקים פיננסיים בסך מיליארד דולר לפחות. נוסף על כך, הנאשמים חשודים, בין היתר, בביצוע הפריצה המכונה NotPetya, שאירעה ביוני 2017, בהתערבות בבחירות בצרפת באותה שנה, בפריצות סייבר שאירעו באולימפיאדת החורף ב-2018 ובפריצות שפגעו ברשת החשמל האוקראינית ב-2015 וב-2016. גיבוש כתב האישום ארך כשנתיים, והתבסס על שיתוף פעולה של גורמי ממשל בארה"ב עם ניו זילנד, אוקראינה, קוריאה הדרומית, גיאורגיה ובריטניה, ועם החברות גוגל, Cisco, פייסבוק וטוויטר.

היורופול השלים מבצע נגד תשתית שהלבינה עשרות מיליוני יורו עבור גורמי פשיעת סייבר ברחבי העולם

כך הודיע הארגון, לאחר שחשף במבצע תקדימי ומוצלח רשת פשיעה מקוונת המכונה QQAAZZ, אשר החל מ-2016 עסקה בהלבנת הון. במהלך פעילותם פתחו ​חברי QQAAZZ מאות חשבונות בנק, בעיקר במדינות אירופאיות, לשם קליטת כספים שהושגו באמצעות פשיעת סייבר עולמית. על מנת להקשות על איתור מקורם, הומרו הכספים למטבעות קריפטוגרפיים. מטה פשיעת הסייבר של היורופול, ה-EC3, שימש כרכז המבצע, בו השתתפו 15 מדינות אירופיות וארה"ב. במהלך המבצע נערכו בו-זמנית חיפושים בכ-40 נכסי מידע הממוקמים בחמש מדינות שונות, נעצרו עד 20 חשודים בפעילות בלתי-חוקית במסגרת QQAAZZ והוחרם ציוד ששימש לכריית מטבעות ביטקוין. קבוצת QQAAZZ פרסמה את שירותיה בעיקר בפורומים מקוונים של האקרים רוסיים. בין הגורמים שהשתמשו בשירותים מצויים האקרים בינלאומיים מפורסמים, אשר היו אחראים למתקפות סייבר ידועות, בהן Dridex, TrickBot ועוד.

​

קנס תקדימי בסך 20 מיליון ליש״ט הוטל על British Airways בעקבות פריצה למידע אישי

הקנס שהוטל על חב' British Airways - הגבוה ביותר שהוטל עד כה על ידי רגולטור הגנת המידע האישי בבריטניה (ICO - Information Commissioner's Office) - נזקף לחובת החברה בעקבות פריצה שהתרחשה ב-2018, בה נחשפו נתונים אישיים ופיננסיים של יותר מ-400,000 מלקוחותיה. בשל המצב הירוד של הגנת הסייבר והמידע האישי בארגון, הפריצה התגלתה רק כעבור חודשיים מרגע שאירעה. בחישוב גובה הקנס שקלל הרגולטור את מצבה הכלכלי הקשה של חברת התעופה בעקבות מגפת הקורונה, ועל כן הפחית משמעותית מן הסכום המקורי שהתכוון לגזור עליה, אשר עמד על 183 מיליון ליש״ט.

​

חששות ה-G7 ממתקפות כופרה: הצהרת הארגון בנוגע לסכנות המרחפות מעל המערכת הפיננסית הגלובלית

ב-13 באוקטובר פרסמו שרי הכלכלה של מדינות ה-G7 ונציבי בנקים מרכזיים במדינות אלה הצהרה בנושא תשלומים דיגיטליים, המלווה בנספח המכונה "נספח כופרה". שני הפרסומים מגיעים על רקע האיומים המתגברים על הסקטור הפיננסי העולמי, המשמש מטרה אטרקטיבית למתקפות כופרה, כמו גם על רקע דיווחיהם של מוסדות פיננסיים על עליה בתחכום המאפיין את המתקפות בחודשים האחרונים. הנספח עוסק באופן פרטני באיומים על גופים פיננסיים בכל רחבי העולם כתוצאה מהשימוש במתקפות כופרה. במתקפות אלה גלומות הן סכנה כלכלית והן סכנה לתפקודם התקין של המגזרים המותקפים, ונוסף על כך הן עלולות לשמש מקור למימון פעולות טרור. הצלחתן של מתקפות כופר מתמרצת פושעי סייבר להמשיך בביצוען ולהתמקד ביעדים הרווחיים ביותר, הלוא הם מוסדות פיננסיים. ב״נספח הכופרה״ קוראות מדינות ה-G7 לאימוץ הסטנדרטים שנקבעו על ידי ה-Financial Action Task Force לצמצום חשיפות במגזר הפיננסי. הנספח אף מפנה את הקוראים לכלים שבהם יכולות חברות להיעזר לשם התגוננות מפני מתקפות כופרה.

​

הרשות להלבנת הון מפרסמת מדריך המתמקד בסיכונים בתקופת הקורונה

ב-19 באוקטובר פרסמה הרשות לאיסור הלבנת הון ומימון טרור בישראל מדריך ל"מגמות בסיכוני הלבנת הון בעידן הקורונה ודרכי התמודדות אפשרויות״, המיועד לשימושם של ארגונים ישראליים בסקטור הפיננסי ושל גופים מפוקחים נוספים. מטרת המדריך היא לסייע בזיהוי חשיפות וסיכונים, ולהדגיש את החשיבות במעקב אחר פעילות חריגה ואסורה. עוד מבהיר המדריך את ציפיות הרגולטור לדיווחים אודות פעילות חריגה, בדגש מיוחד על דרכי התנהלות מומלצות בעידן הקורונה. במדריך מופיעה סקירה של מגמות שיש בהן משום תרומה להלבנת הון, המסתמנות בשעה זו בישראל ובעולם, בהן הונאות רפואיות, פישינג  וגניבת זהויות.

דיסקליימר: המידע שמופיע בדו"ח זה מיועד להרחבת הידע של הקוראים והקוראות בלבד, ואינו מהווה תחליף לייעוץ רגולטורי, משפטי ו/או טכני בתחומים אליהם מתיחס הדו"ח. חברת קונפידס אינה אחראית לתוצאות של הסתמכות הקוראים על המידע שמוצג בדו"ח, ואינה נושאת באחריות כלשהי עבור אופן השימוש בו ו/או נזקים כתוצאה מכך. אזכור מקור מידע כלשהו אינו מהווה אישור למהימנותו; ואנו שומרים את הזכות לעדכן ולתקן את המידע שבדו"ח בכל זמן. 

​

בכתיבת הדו״ח השתתפו: שרון פישר, אלי שמי, רוני עזורי, עמית מוזס, רז ראש, רם דודש, רונה פרומצ'נקו, רם לוי, דבּ האוסן-כוריאל, אלי זילברמן-כספי וגיא פינקלשטיין.