הפשע המקוון יורד לרחוב

9 דצמבר, 2011

השילוב בין עבריינות פיסית לעבריינות מחשבים מהווה איום חדש על רשתות המידע הארגוניות. לאחרונה ניתפשה כנופיית עבריינים מוושינגטון אשר פרצו לבתי עסק, וגנבו מחשבים לצורך פריצה לרשתות המידע של אותם בתי עסק

צריך להתייחס ברצינות לדיווחי עובדים שחשבונותיהם הפרטיים נפרצו, במיוחד אם מדובר בתופעה מתרחבת בין עובדי הארגון

לאחרונה התפרסם ארוע אשר צריך לעורר את תשומת ליבם של מנהלי הרשתות ואנשי IT בארגונים עסקיים: משטרת מדינת וושינגטון בארצות הברית עצרה שלושה גברים מסיאטל בשנות ה-30 לחייהם, בחשד להאקינג, הונאה וגניבת זהות.

גונבים, ואז פורצים

עיון בכתב האישום נגדם, שפורסם על-ידי משרד התובע המחוזי מגלה שביחד עם הפריצות המקוונות ליותר מתריסר בתי עסק, שיטת הפעולה של השלישייה כללה גם פריצה פיסית ליותר מ-40 בתי עסק ומשרדים, וגניבת מחשבים וציוד משרדי נוסף, כדי לבצע הונאות גדולות יותר.

לדוגמא, הם השתמשו בפרטים גנובים של כרטיסי אשראי כדי לרכוש ציוד מחשבים בשווי עשרות אלפי דולרים שאותו הם מכרו לאחר מכן. בחלק מהמקרים, הפריצה הפיסית סיפקה להם מידע אודות משכורות העובדים, שאותו הם ניצלו כדי לשנות את הנתונים באמצעות פריצה מקוונת, כדי להעביר את המשכורות לחשבונות בנק שבבעלותם. במקביל, העוברו כספים מחשבונות החברות לכרטיסי אשראי נטענים, כדי שניתן יהיה להמיר את הכסף למזומנים בקלות רבה.

Wi-Fi קורא לגנב

ראש המחלקה לפשעים מקוונים בממשל האמריקאי, ג'ני דורקאן, הסבירה שהייחוד המדאיג בפעילות הכנופייה שנתפשה טמון בשילוב של "פשיעה מסורתית" עם "פשיעת הייטק". לדוגמה, השלישיה נהגה לפרוץ לבתי עסק כדי לגנוב מחשבים שבאמצעותם הם יפרצו לרשתות המחשבים של אותם בתי עסק.

היא סיפרה שהחבורה הסבה לפחות רכב אחד לצורך war-driving (חיפוש רשתות אלחוטיות חינמיות באמצעות מחשב נייד המצוי ברכב נוסע). זאת, כדי לפרוץ לרשתות האלחוטיות החינמיות כדי לגנוב מידע, ובמיוחד להשתמש בהן לצורך ביצוע הונאות מבלי להיחשף.

במידה ובית המשפט יאשים אותם בעבירות, הם צפויים לקבל עונש של 15 שנה במאסר. אולם חשוב לציין שהכנופייה ניתפשה בזכות העירנות של הקורבנות עצמם, אשר גילו אי-סדירויות בחשבונותיהם וברשתות המידע שלהם, ובדקו לעומק כיצד התפתחו.

אחד מהלקחים המובהקים של הארוע הוא שהרשת האלחוטית בעסק חייבת להיות מוצפנת ברמת הצפנה שמתאימה לתחום העיסוק. חשוב לנהל תיעוד של כל ציוד המחשוב ולבצע בקרה מדי פעם כדי לוודא שאף מחשב או סמארטפון  לא נעלמו. הצורך להתגונן מפני פריצה פיסית הוא מובן מאליו.

החוליה החלשה

אבל הדבר החשוב ביותר, וכנראה הלקח העיקרי בסיפור הזה, הוא הטיפול בעובדים עצמם ובמדיניות האבטחה של החברה. מדיניות האבטחה חייבת להיות מוכרת, ברורה ושקופה לכל העובדים. צריך להתייחס ברצינות לדיווחי עובדים שחשבונותיהם הפרטיים נפרצו, במיוחד אם מדובר בתופעה מתרחבת בין עובדי הארגון.

ואסור לשכוח את עניין הסמארטפונים. כיום מערבבים הסמארטפונים בין העולם הפרטי לעסקי, לכן הארגון חייב להגיב מיידית כאשר אחד מהעובדים מאבד את מכשיר הסמארטפון שלו או שהוא ניגנב. למשל באמצעות מנגנון מחיקה מרחוק של המידע.

ועניין נוסף: אל תהססו לערב את רשויות החוק. עבירת מחשבים היא עבירה לכל דבר, ודיווח לרשויות החוק עשוי לבלום עבירות נוספות. כך היה במקרה דליפת מאגרי המידע של מרשם האוכלוסין: מרגע שהטיפול בחקירה הועבר ליחידה המתמחה בפשיעה מקוונת (הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים), הפרשה פוענחה יחסית במהירות.

מאת: גלעד הראל, דובר חברת ESET בישראל.