מאמר אורח. מאת: חן בורשן (בתמונה למעלה), מנכ"ל סקייהוק סקיוריטי
זה עבר קצת מתחת לרדאר של כולנו, אבל ייתכן מאוד שנחשפנו לאחרונה לקמפיין הסייבר הגדול של כל הזמנים, שבו סין הצליחה לחדור באופן מוחלט את כל ההגנות על תשתית התקשורת של יריבתה הגדולה ארצות הברית, ולהשיג נגישות לכמויות עצומות של מידע שערכו לא יסולא בפז. המתקפה כל-כך חמורה, שהממשל האמריקני מראה סימני פאניקה: ה-FBI וה-NSA תידרכו את כל הסנאטורים, הוקם צוות משימה בינמשרדי הנפגש שלוש פעמים בשבוע, ועדת משנה למסחר בסנאט החלה לקיים שימוע מיוחד בנושא איומי אבטחה על רשתות תקשורת ושיטות עבודה מומלצות לספקים שיפחיתו את סיכונים לצרכנים. ה-FBI ו-CISA נקטו בצעד חריג מאוד, והמליצו לציבור להימנע משיחות טלפון ושליחת הודעות SMS לא מוצפנות. הם המליצו לעבור לשימוש באפליקציות תקשורת הכוללות מנגנוני הצפנה מקצה לקצה (E2EE), כגון למשל Signal ו-WhatsApp.
מה קרה שם?
קמפיין הסייבר של קבוצת ההאקרים Salt Typhoon אשר מזוהה כקבוצה הנתמכת על-ידי משרד הביטחון הסיני, התגלה לראשונה במרץ 2024 על ידי חברת מיקרוסופט. החברה זיהתה פעילות חשודה ברשתות של ספקיות תקשורת מובילות בארצות הברית, דוגמת Verizon, AT&T ו-Lumen Technologies. בהמשך דווח שההאקרים חדרו למערכות ההאזנה ואיסוף המידע (Lawful interception – איסוף מידע חוקי על אזרחי המדינה) של משרד המשפטים האמריקאי. שם הם קיבלו גישה לרשימות טלפונים ולתכנים רגישים. החדירה בוצעה כנראה בתחילת 2024. כלומר היא נמשכה זמן רב לפני שהתגלתה. הדבר מדגיש את התחכום של המתקפה ואת הקושי בזיהוי מוקדם.
שיטת החדירה הראשונית
ההאקרים הסינים השתמשו בטקטיקות מתקדמות כמו ניצול פרצות בתוכנה ובחומרה של נתבים ושרתי רשת. לפי הדיווחים, נעשה שימוש בניצול חולשות של מערכות Cisco לשם השגת גישה ראשונית, ולאחר מכן בוצעו פעולות של גניבת זהויות ושימוש בכלי תוכנה לגיטימיים לשליטה ועדכון מרחוק (Living off the land) להעמקת החדירה. סגנית היועצת לביטחון לאומי לסייבר וטכנולוגיה מתפתחת, אן נויברגר, הדגישה את חומרת הפריצה במהלך תדריכים לעיתונות שנתנה בימים אחרונים. היא אישרה כי המתקפה פגעה בשמונה חברות טלקום אמריקאיות, תוך ניצול ארבע פגיעויות Zero-Day שלא היו ידועות בעבר.
נויברגר הצהירה כי ככל הנראה התוקפים ניצלו נקודות תורפה במערכות של חברות פרטיות במשך שנה עד שנתיים. היא הדגישה כי היקף המתקפה המלא עדיין בחקירה וכי עדיין קיים סיכון לניצול פרצות שלא נתגלו. ייתכן מאוד, שהתוקפים ניצלו פגיעויות מובנות שקיימות ברשתות התקשורת של ארה"ב – כאלו שנועדו לאפשר גישה לצורכי מעקב ממשלתי. חולשות אלו היוו לכאורה נקודת תורפה מרכזית שאותה ניצלו התוקפים. אם זה אכן המצב ייתכן שלא כל המתקפות נחשפו ושיעבור עוד זמן רב עד שיוודעו המימדים האמיתיים של המתקפה.
קורבנות ונזקים
- תעשיית הטלקום: הנזק היה רחב היקף, בעיקר אצל ספקיות תקשורת גדולות כמו Verizon ו-AT&T, המספקות את רוב תשתית התקשורת בארצות הברית. הקבוצה הצליחה לגשת למידע רגיש על מאות מיליוני משתמשים פרטיים ומוסדיים.
- מערכות ממשלתיות: הקמפיין פגע ברשומות מעקב של סוכנויות אמריקאיות, והדבר עשוי לפגוע ביכולתן לעקוב אחר חשודים בפעילות פלילית או ריגול.
- מטרות פוליטיות: ההתקפה כוונה גם למכשירים של אישים פוליטיים, כולל אנשי צוות ובכירים בקמפיין הבחירות של המועמדים לנשיאות האריס וטראמפ.
- מערכות קריטיות נוספות: ההאקרים הצליחו לחדור לארגונים שונים באסיה ובארצות הברית, דבר שהעלה חשש שהחדירה רחבה יותר ויכולה להשפיע על תשתיות קריטיות כמו חשמל ומים.
תגובת הממשל האמריקאי
עם היוודע דבר הפריצה החלה חקירה נרחבת של ה-FBI, סוכנות הסייבר CISA וה-NSA. ממשלת ארה"ב הקימה קבוצת תיאום מאוחדת כדי לטפל בחדירות המסוכנת של תשתית התקשורת במדינה. הקבוצה נפגשת מספר פעמים בשבוע, עובדת עם מנכ"לי חברות הטלקום ומומחי אבטחת סייבר, כדי ליישם אמצעי אבטחה חזקים יותר בכל המגזר. בנוסף, הסוכנויות הפדרליות פרסמו הנחיות אבטחה מעודכנות כדי לעזור לספקי טלקום להקשיח את ההגנה שלהם מפני התקפות דומות בעתיד.
ה-FCC (ועדת התקשורת הפדרלית, שהיא הרגולטור של שוק התקשורת בארה"ב) החל לעבוד על הנחיות להפחתת הנזק ושיפור ההגנה. יו"ר ה-FCC, ג'סיקה רוזנוורצל, הציעה כללים חדשים שיחייבו חברות טלקום לקבל אישור מחודש, מדי שנה, של תוכניות ההתגוננות בפני תקיפות סייבר. הסוכנות שואפת להבטיח שפגיעויות-רשת המנוצלות על ידי האקרים זרים יטופלו, מה שמחייב ספקים לעמוד בתקני אבטחה ספציפיים כדי להגן מפני גישה לא מורשית.
במקביל, ומתוך הבנה כי המערכות עדיין נמצאות בסיכון גבוה לחדירה נוספת (או נמשכת), ה-FBI ו-CISA המליצו לציבור להימנע משיחות טלפון ושליחת הודעות SMS לא מוצפנות. הן ממליצות לעבור לשימוש באפליקציות תקשורת הכוללת הצפנה מקצה לקצה (E2EE) כגון Signal ו-WhatsApp, מכיוון שהן לא חשופות לחולשות האבטחה של ספקי התקשורת הגדולים.
בנוסף, CISA וה-FBI קראו למשתמשים ליישם אימות רב-גורמי ולהבטיח שהמכשירים שלהם יקבלו עדכוני מערכת הפעלה בזמן, כדי להתגונן מפני סיכוני אבטחת סייבר נוספים וכאלו שאינם מוכרים עדיין.
השלכות על הביטחון הלאומי של ארצות הברית
סנאטורים אמריקאים שתודרכו בנושא הביעו דאגה רבה וקראו לפעולה בעקבות גילוי קמפיין הריגול הסיני. הסנאטור מארק וורנר תיאר זאת כ"פריצת הטלקום הגרועה ביותר בהיסטוריה של האומה שלנו". הסנאטור הדמוקרטי רון ווידן החל לנסח חקיקה לשיפור אבטחת הטלקום, והסנאטור אריק שמיט דחק בפנטגון לאכוף אמצעי אבטחת סייבר חזקים יותר עבור הספקים שלו עצמו. ישנם גם קולות הקוראים לתגובה משמעותית יותר כנגד סין עצמה.
הסוף למעקב?
המלצה של הרשויות לעבור להשתמש באמצעי תקשורת מוצפנים מקצה לקצה (שאינם מתבצעים על גבי תשתית הטלקום המסורתית) שומטת את השטיח מתחת לכוונת המחוקק של CALEA, שנתן לרשויות בארצות הברית יכולת בלתי מוגבלת לצוטט (או ליירט תשדורות מכל סוג, באישור צו בית משפט כמובן) לאזרחיה. חוק CALEA (ראשי תיבות של Communications Assistance for Law Enforcement Act) הוא חוק אמריקאי שנחקק בשנת 1994. מטרתו העיקרית הייתה להבטיח שספקי תקשורת יוכלו לספק גישה למידע לרשויות אכיפת החוק לצורך האזנות חוקיות. החוק נוצר בתקופה שבה טכנולוגיות דיגיטליות הפכו לדומיננטיות, והיה צורך לעדכן את היכולת של רשויות החוק לבצע ציתותים גם במערכות החדשות הללו.
החוק מחייב ספקי תקשורת (כמו טלפון, אינטרנט, ושירותי מסרים) להטמיע במערכות שלהם מנגנונים שיאפשרו לרשויות לבצע ציתותים, בתנאי שיש צו בית משפט המורה על כך. אם אכן האזרחים ינהגו על-פי ההמלצה החדשה, המעקב אחריהם יהפוך קשה יותר. ייתכן שבאופן פרדוקסלי, דווקא אחת מפרצות האבטחה החמורות בהיסטוריה, כזו שהביאה לגניבת מידע במימדים היסטורים ולפגיעה בפרטיות של מיליונים – תביא לשיפור בפרטיות של אזרחי ארה"ב (או לפחות תקשה על השלטונות לאסוף מידע עליהם).