הפעולה הקיברנטית ההתקפית הראשונה של צבא גרמניה

ב-24 בספטמבר פורסם כי יחידת 'פעולות רשתות מחשב' (CNO) של צבא גרמניה ביצעה את הפעולה הקיברנטית ההתקפית הראשונה באמצעות פריצה לרשת של מפעיל סלולר באפגינסטאן לשם איתור קבוצה מקומית לא ידועה אשר חטפה צעירה גרמניה ב-17 באוגוסט 2015  ודנה עם פקידים גרמניים בשחרורה.

מטרת הפעולה, על פי הדר שפיגל, היתה לעקוב אחר מיקום החוטפים והשיח עימם על מנת לגלות האם בכוונתם למלא את חלקם בעסקת השחרור. זו אכן בוצעה כמתוכנן והצעירה שבה לביתה ב-17 באוקטובר 2015 ללא כל מעורבות צבאית.

גרמניה: איסור על פייסבוק לאסוף ולשמור נתונים ממשתמשי ווצאפ

ב-27 בספטמבר פורסם צו מנהלי מטעם הנציב להגנה על המידע וחופש המידע בהמבורג האוסר על פייסבוק לאסוף ולשמור מידע על כ-35 מיליון משמשי ווצאפ בגרמניה ולמחוק את כל המידע שכבר הועבר אליה.

הצו מציין כי פייסבוק ווצאפ הן שתי חברות עצמאיות "המעבדות את נתוני המשתמשים שלהן על בסיס התנאים וההגבלות ומדיניות פרטיות הנתונים שלהן". לאחר שווצאפ נרכשה על ידי פייסבוק לפני שנתיים "שני הצדדים הבטיחו פומבית שלא יחלקו נתונים ביניהן. העובדה שהדבר מתרחש כעת אינו רק הטעיה של המשתמשים והציבור, אלא גם מהווה הפרה של החוק הלאומי להגנת נתונים. העברת מידע שכזה קבילה רק אם שתי החברות, זו המספקת את הנתונים (ווצאפ), כמו גם החברה המקבלת (פייסבוק) יצרו בסיס חוקי לשם כך. אולם פייסבוק לא השיגה אישור ממשי ממשתמשי ווצאפ, ולא קיים בסיס משפטי לקבלת הנתונים".

ההודעה המשיכה וציינה כי "ברור שעל פייסבוק לכבד את החוק הגרמני להגנת נתונים שאושר בחודש יולי".

הנציב, Johannes Caspar, הבהיר "צו מנהלי זה מגן על הנתונים של כ-35 מיליון משתמשי ווצאפ בגרמניה. זו צריכה להיות החלטתם האם הם רוצים לחבר את חשבונם עם פייסבוק. לפיכך על פייסבוק לבקש את רשותם מראש. אולם לא כך קרה. בנוסף, קיימים מיליונים רבים של אנשים אשר פרטי המשתמש שלהם הועלו לווצאפ מאנשי הקשר של המשתמש, למרות שיתכן ואפילו אין לאלו בכלל קשר לפייסבוק או לווצאפ. לדברי פייסבוק, כמות עצומה זו של נתונים עדיין לא נאספה. תשובתה של פייסבוק כי הדבר לא נעשה לעת עתה, מהווה סיבה לדאגה שחומרת ההפרה של הגנת הנתונים תהיה בעלת השפעה חמורה בהרבה".

ליקויי אבטחה בכספומט בגרמניה

ב-2 נובמבר פורסם על ליקויים חמורים אשר התגלו במכשירי כספוט ברחבי גרמניה.

בידיעה דווח כי בנק Sparkasse החל בתיקון ליקויים שהתגלו במכשירי ATM ומסופוני שרות עצמאי לאחר שחוקר אבטחה גרמני הצליח לשטות במכשירים אלה.

בעת נסיון שבוצע, המכשיר פלט את כרטיסו של החוקר בהודעה כי "זמנית אינו זמין". הפעולה למול המכשיר גרמה להצגת פרטים בדבר תהליך עדכון אשר הופיע על המסך. בשלב זה הבין החוקר כי המכשיר הפך ללא זמין זמנית הואיל והוא ביצע עדכון תוכנה.

על פי רוב עדכוני התוכנה מבוצעים ברקע, אולם כפי שגילה החוקר, פרטי תהליך והתקדמות העדכון יכולים להיות זמינים תוך לצפיה במכשיר, תוך חשיפת מידע רגיש רב ובכלל זה שמות משתמש, מידע על הרשת, מזהה המכשיר והגדרותיו. לדבריו הדבר יכול לשמש לביצוע תקיפה על מכשיר הקצה, אולם הוא סרב למסור פרטים נוספים כדי שלא לגרום לניצול הפרצה.

עוד התגלה כי המקלדת הקיימת כחלק מהמכשיר לא היתה מושבתת במהלך העדכון, דבר אשר יכול לאפשר לתוקף להתערב בתהליך העדכון. גם קורא הכרטיסים נשאר פעיל במהלך העדכון.

החוקר ציין כי התוקף יכול להקליט את המידע המוצג במהלך תהליך העדכון (האורך 17 דקות) על מנת לבצע מתקפה מסוג MitM על הרשתות המקומיות של הבנק ולתפוס שליטה על המכשיר עצמו ולבצע בו פעילויות אשר יראו כעדכוני תוכנה, או לבצע פעולות הונאה שונות.

הבונדסטאג תחת מתקפה קיברנטית

ב-15 במאי דווח על תקיפה קיברנטית שבוצעה נגד אתר הבונדסטאג בגרמניה במהלכה דלף מידע רגיש.

לפי הידיעה המסתמכת על כתבה בנושא שהתפרסמה בשעות הצהריים באתר החדשות הגרמני Spiegel, הפרלמנט הגרמני היה נתון למתקפה קיברנטית במהלכה גורמים לא ידועים פרצו לרשת תקשורת המידע הפנימית. על פי הדיווח, דובר הבונדסטאג אישר את דבר המתקפה אשר פגעה במידע בעל רגישות גבוהה וציין כי מומחי אבטחה גרמניים בוחנים כעת לצד רשויות המודיעין במדינה את המתקפה.

מטעמי בטחון, חלקים מהמערכות הושבתו באופן זמני ובכלל זה מערכת התקשורת של ועדת החקירה הבודקת את פרשת הריגול של ה-BND וה-NSA.

יצויין כי הידיעה לא מצויה בעמוד הראשי של אתר החדשות וכן לא נמצאה לה לפי שעה עדות בגרסה הבינלאומית של האתר.

במקביל דווח כי אתר הבונדסטאג היה נתון לכאורה להתקפה מסוג מניעת שרות, תוך התייחסות לחשבון פייסבוק של "Captain Carlo" (הטוען להפעלת עמוד פייסבוק בשם "Anarchy Squad" אשר כמו עמוד הטוויטר, נפתח היום), גורם אשר טען לאחריות לביצוע השבתת האתר, תוך פרסום צילום מסך המציג לכאורה את האתר המושבת;

11267103_1630343477177514_1926215345482245170_nבהמשך פורסם בחשבון זה קישור לסרטון וידאו בן 25 שניות ובו לכאורה הוכחה להפלת האתר;

עם זאת, לא מן הנמנע כי האתר עצמו הושבת זמנית באופן יזיום כחלק מהערכות גורמי האבטחה עם הוודא דבר הפריצה למערכות הפנימיות של הבונדסטאג עצמו. בכל מקרה אתר זה פעיל כעת כסדרו.

שרות הביון הגרמני אוסף מידי יום 220 מיליון פרטי מידע מהאזנה לתקשורת לווין ואינטרנט

ב-2 בפברואר פרסם אתר החדשות הגרמני ZEIT ONLINE כי שרות המודיעין הגרמני (BND) אוסף 220 מיליון פרטי מידע מידי יום, לא בצורה ממוקדת אלא באופן רחב היקף תוך סיוע ל-NSA ול-CIA.  תוך העברת הדגש מחקירת חשודים בודדים למעקב נרחב, ככל הנראה בעקבות ארועי ספטמבר 2001.

הכתבה מציינת כי הזמנים משתנים גם בעבודת המודיעין וכיום סוכנויות מודיעין עוסקות באיסוף Metadata הואיל וניתן לנתח כמויות גדולות אלו של מידע וליצור תובנות והצלבות בין מידעים וכן קשרים בין אנשים.

כאשר כיום מידע זה מופק מכל טביעת אצבע דיגיטלית שלנו ובכלל זה מידע אותו אנו מוסרים בצורה פאסיבית דוגמת מיקום, דבר המתאפשר באמצעות איכון מכשירי הסלולר שברשותנו. מידע זה נאסף ומשמש כאחד מהמקורות החשובים ביותר למבצעי חיסול שונים של ארה"ב נגד גורמי טרור אסלאמיים ברחבי המזרח התיכון.

העיתון למד ממסמכים סודיים של ה-BND כי כמות של 220 מיליון פרטי מידע נאספת על ידי הארגון מידי יום מהאזנה לתקשורת לווין ואינטרנט ונשמרת לתקופה שבין שבוע לחצי שנה בהתאם למאפיינים שעדיין לא ידועים וזאת במקום לא ידוע.

התקפת האקרים גרמה לנזק משמעותי למפעל פלדה בגרמניה

המשרד הפדרלי הגרמני לאבטחת מידע (BSI) פרסם ב-17 דצמבר את הדוח השנתי של ובו נחשפה התקפה שבוצעה על מפעל פלדה אשר גרמה לנזק פיזי ממשי שנוצר כתוצאה מפריצה לרשתות היצור במפעל, דבר אשר אפשר לפורצים אף לגרום להשבתת אחד הכבשנים במפעל.

כבמקרים אחרים, גם התקפה זו התבססה בראש ובראשונה על תקיפה מסוג 'הנדסה חברתית' בה נעשה שימוש בצורה ממוקדת של 'דיוג' (Spear phishing) נגד רשתות המשרד במפעל, משם הושגה הגישה לרשתות הייצור בו.

בשל פעילות ההאקרים ברשת הייצור, לא ניתן היה לכבות את אחד הכבשנים בצורה מבוקרת, דבר אשר גרם ל"נזק משמעותי למפעל", תוך התייחסות לכישורים הטכניים של התוקפים כ"מתוחכמים מאוד", אשר כללו לא רק ידע רב בתחומי אבטחת המידע, אולם גם ידע על תהליכי השליטה והייצור התעשייתיים, תוך יכולת פריצה לרשתות שונות, פנימיות ותעשייתיות.

 

כיצד לצלם סלפי בצורה בטוחה ?

אתר גרמני לצעירים מייעץ להציב תמונות סלפי אשר לא מגלות פרטים על החיים האישיים של המצולמים. תמונות סלפי שכאלה יכולות לגלות פרטים על אודות המצולם, דוגמת מקום המגורים ומי גר עם המצולם. מידע אשר יכול להפוך לבעיה עבור צעירים, אשר עלולים להיות יעד לבריונות מקוונת מצד צעירים אחרים.

האתר הגרמני, handysektor.de, מספק מידע לצעירים כיצד להמנע ממלכודות נפוצות בעת שימוש בטלפון הנייד. סלפי בטוח ניתן לעשות באמצעות החזקת הטלפון בזווית לא שגרתית בה רואים את צדי הפנים או שהתמונה מצולמת מעל לגובה הפנים. באופן שכזה, לא ניתן להשתמש בתמונה באמצעות תוכנות לסריקת פנים, אולם התמונה עדיין נראית מצויין.

בנוסף, קיימות אפליקציות חינמיות נוספות המאפשרות ריטוש של תמונת הסלפי, עד לכדי קריקטורה, כך שתוקפים שונים או גורמים זרים לא יוכלו לזהות פרטים רבים בתמונה.

 

הכתבה נכתבה עבור עמותת אשנ"ב

גרמניה פועלת להקשחת החוק העוסק באבטחה קיברנטית

ב-19 באוגוסט פורסם כי גרמניה פועלת להקשחת החוק העוסק באבטחה קיברנטית. במסגרת הצעת החוק שהגיש שר הפנים הגרמני, יוטלו דרישות מחמירות יותר על חברות וסוכנויות הפעילות בתחום התשתיות הקריטיות.

החוק החדש יתייחס רק לגורמים הממלאים תפקיד ב"תחומים חשובים" דוגמת טכנולוגיית המידע, תקשורת, אנרגיה, תחבורה, תעבורה, בריאות, מים, אספקת מזון, פיננסים וביטוח.

בהודעת המשרד נכתב כי "מערכות ה-IT והתשתית הדיגיטלית בגרמניה צריכות להיות הבטוחות ביותר בעולם". ההצעה קובעת כי חברות המנהלות את התשתית הקריטית במדינה חייבות להיות תמיד נגישות על מנת להבטיח שניתן יהיה להזהירן במהירות הנדרשת במקרה של התקפות קיברנטיות.

בנוסף, החברות ידרשו לדווח על התקפות של האקרים למשרד הפדראלי של אבטחת מידע האחראי לטיפול באיומים קיברנטיים. השר שלל את האפשרות שהחוק החדש יגרור עלויות עצומות על החברות שיושפעו ממנו, וציין כי החוק נוסח לאחר התייעצויות עם נציגי התעשיה.

כשההאקרים שומרים על הציבור מפני הממשלה

בימים האחרונים דווח בכלי התקשורת השונים כי קבוצת האקרים גרמנית בשם Chaos Computer Club (CCC) הודיעה כי הצליחה לחשוף נוזקה (Malware) מסוג סוס טרויאני המצויה בשימוש כוחות המשטרה בגרמניה. לטענתם, הם פיצחו תוכנה זו, אשר הגיעה אליהם בצורה אנונימית, ופרסמו (בגרמנית) את תוצאות מחקרם. לדבריהם, ביכולתה של תוכנה זו לא רק לעקוב אחר פעילות המשתמשים, אלא גם להביא לכדי שליטה מוחלטת במחשב היעד ובכלל זה היכולת לצלם את מסך מחשב המשתמש ותאורטית אף להעלות קבצים וראיות מזויפות למחשב הקורבן. מדוח זה מתגלה כי ככל הנראה, הנוזקה גרמה לחורי אבטחה חמורים במחשב היעד ובכלל זה אפשרות של השתלטות על ידי צד שלישי שאינו בעל נוזקה זו.

כל זאת בניגוד לחוק גרמני מפברואר 2008 האוסר את השימוש בנוזקות לשם שליטה במחשבים בתחומי גרמניה.

בהודעה נמסר כי הארגון יידע בדבר את משרד הפנים, תוך הבעת דרישה להפסקת החדירה החשאית למערכות מחשב על ידי רשויות הממשל במדינה, וקריאה להאקרים נוספים לבחון את קוד נוזקה זו.

אכן, Mikko Hypponen מומחה אבטחת מידע מחברת  F-Secure שבחנה תוכנה זו, אישר את המידע תוך התייחסות לרמתה הנמוכה של התוכנה. הכינוי שניתן לה הוא R2D2, זאת בשל המצאות צרוף זה בשורות הקוד. כינוי נוסף הוא 0zapftis.

הפרשה הסתבכה לאחר ששרי פנים מארבע מחוזות בגרמניה הודו לפני מספר ימים בשימוש בתוכנה על ידי המשטרות המקומיות, זאת על מנת לעקוב אחר פושעים מקומיים, לדבריהם, במקרים בודדים ונקודתיים בלבד.

תפנית נוספת בפרשה אירעה בו בזמן; לאחר שדוח של חברת F-Secure טען כי רכיב בנוזקה אשר אמור להשתלט על תעבורת Skype הינו תוצר של החברה הגרמנית DigiTask , אישרה החברה בו ביום כי היא עומדת מאחורי התוכנה שנמכרה לממשלת בוואריה כמו גם לממשלות אוסטריה, שוויץ, והולנד, אך כנראה שגם למדינות נוספות ברחבי העולם.

CCC הינו ארגון האקרים אשר הוקם בגרמניה בשנת 1981 ובמהלך השנים ביצע פעולות שונות, זאת תוך פעילות לחשיפת כשלי אבטחה קיימים. כיום, בדומה ל"אנונימוס" המוטיב המרכזי הוא "דרישה לחופש וזרימת מידע ללא צנזורה". ארגון זה פעיל באינטרנט באמצעות האתר המרכזי ולצידו אתרים לדיווח על ארועים שונים, למדיה, ולפודקאסטים של הארגון. בנוסף קיימים אתרים לסניפים השונים, בעיקר בגרמניה.

בנוסף, קיימת פעילות גם ברשתות החברתיות באמצעות חשבון בטוויטר אשר לו כ-34 אלף עוקבים וכן מספר עמודים בפייסבוק; לראשי שבהם למעלה מ-6,600 לייקים וכן לסניפים ובכלל זה בקלן ובמיינץ שבגרמניה ולמרבה הפליאה גם בתוניסיה, עמוד ובו שתי הודעות מיולי 2011 כאשר אחת מהן מפנה לאתר ה"סניף" בתוניסיה. עמוד אשר אינו פעיל לעת עתה.

פרשה זו מסעירה את גרמניה, בה קיימת חקיקה מהקפדניות בעולם בנוגע להגנה על מידע וזכות האזרח לפרטיות. מקרה זה מזכיר את סוגיית השימוש במערכת תוצרת NSN לניטור הפעילות המקוונת והסלולרית, בעולם ובדגש על המזרח התיכון, ולמעקב אחר מתנגדי המשטר במדינות ריכוזיות שונות.

בכך מתחדדת שוב השאלה לגבי גבולות השימוש בטכנולוגיה לשם מעקב אחר פעילות האזרחים וחדירה לפרטיותם הדיגיטלית.