פרשת JP Morgan

בסוף אוגוסט 2014 פורסם דבר פריצה למערכות המחשב של לפחות חמישה בנקים גדולים בארה"ב ובכללם JPMorgan, תוך גנבת "ג'יגות של מידע". באוקטובר הסיפור קיבל מימדים מוחשיים, מדהימים, כאשר התברר שבפריצה למערכות המחשב של JPMorgan  נגנבו פרטיהם של 76 מיליון משקי בית ו-7 מיליון עסקים קטנים מבין לקוחות הבנק. הארוע הוגדר כאחד "מבין הפריצות הגדולות ביותר בכל הזמנים", תוך הפניית האשם לעבר ממשלת רוסיה או להאקרים רוסיים.

הבנק מסר כי הפריצה השפיעה על לקוחות אשר עשו שימוש באתר הבנק ובאפליקציות הסלולריות שלו וזו הביאה לגנבת מידע אשר כלל שמות, כתובות, מספרי טלפון, כתובות דוא"ל ועוד. אולם נטען כי לא נמצאו עדויות לכך שנגנב מידע פיננסי של הלקוחות. כלומר מספרי החשבון, סיסמאות ומספרי הביטוח הלאומי של אלו לא דלפו בפריצה.

כעת מתברר כי ככל הנראה לא בהכרח היה צורך במידע הפיננסי כדי להביא מחד גיסא רווח כספי לפושעים למול אובדן ונזק ללקוחות. מהפרשה שנחשפה ב-21 ביולי מתברר כי קבוצה בת חמישה (אשר שניים מהם מישראל) גרמה להונאה באמצעות הרצת מניות.

מהדיווחים השונים עולה כי בין השנים 2011 ו-2012 (דיווחים אחרים מתארכים זאת עד לעת האחרונה) בוצעה מניפולציה על ידי שני הישראלים, על פעילותן של לפחות חמש מניות שונות, אשר הביאה להם רווח של לפחות 2.8 מיליון דולר. זאת באמצעות שיטת הונאה אשר תוארה כ-“pump-and-dump” בה בוצעה מלאכת ניפוח ערכי המניות, בין השאר באמצעות משלוח מיליוני הודעות דוא"ל המעודדות את הקורבנות לרכוש "מניות חמות".

פעולה זו הביאה לעליה בערכן של המניות, אשר מכירתן הביאה רווח לנוכלים והפסדים למשקיעים. עוד נטען כי את הרווחים העבירו והלבינו אותם השניים שנעצרו בארה"ב.

ההנחה הראשונית המתבקשת היא כי הרשומות הרבות אשר נגנבו במהלך פריצה זו שימשו כר לביצוע פעולת הרצת המניות באמצעות משלוח הודעות דוא"ל ללקוחות הרלבנטיים, אולם לפחות לפי הידוע עד כה מאמצעי התקשורת הרי שהודעת הבנק על הפריצה נמסרה באוקטובר 2014 בעוד שמלאכת הרצת המניות החלה כבר ב-2011.

פרשה זו נראית כהונאה וכהרצת מניות תוך שימוש באינטרנט לשם כך, מידת הקשר בין זו לבין הפריצה למחשבי JP Morgan וגניבת הרשומות, מעורפלת לפי שעה; בתקשורת נמסר כי העצורים "קשורים בפריצה", וכי לדברי גורמים אשר שמרו על עילום שם, הרשויות חושדות כי חלק מהעצורים – וכן האדם החמישי שטרם נעצר – "מעורבים בפריצה" וב"גניבת המידע".

אולם בבקשת המעצר בישראל מיום 22 ביולי אין כל עדות ממשית לקשר לפרשת הפריצה. הדבר היחיד במסמך זה אשר יכול לקשר את שתי הפרשות טמון אולי בסעיף 2 המתאר את העברות בגינן מבקשים שלטונות ארה"ב את מעצר השניים. הסעיף השישי מבין השבעה מתייחס ל"גניבת זהות בנסיבות מחמירות".

 

לפי שעה ומהגלוי עד כה בפרשת הרצת המניות המהווה את ליבו של השיח התקשורתי, נראה כי בפרשה זו שימש האינטרנט אחת מהפלטפורמות להרצת המניות. אולם נראה כי אין בזו כל עיסוק בפריצה, פשיעה קיברנטית וכדומה. מה סוג הקשר בין שתי הפרשות ? האם הפריצה למחשבי הבנקים היתה זמן רב לפני שהתגלתה ושימשה בסיס לפעילות הרצת המניות ? אין ספק כי הזמן הקרוב יחשוף פרטים נוספים אודות שתי אלו.

משאבות דלק ניתנות לפריצה באמצעות האינטרנט

ב-22 בינואר פורסמה סקירה לפיה משאבות דלק אוטומטיות (ATGs) ניתנות לשליטה באמצעות האינטרנט, תוך יכולת להשבית את תחנות התדלוק ואת שרות הניטור של רמות הדלק ויצירת אזעקות שווא.

החוקרים סרקו ב-10 בינואר 2015 אחר משאבות המחוברות לאינטרנט וגילו 35 תחנות דלק בארה"ב הניתנות להתערבות שכזו וכ-5,800 מכשירי תדלוק בעלי נגישות לאינטרנט ללא סיסמא, כאשר 5,300 מהם בארה"ב.

פריצה למחשבי אוניברסיטת הרווארד

ב-1 ביולי פרסמה הנהלת אוניברסיטת הרווארד הודעה רשמית המאשרת כי בוצעה פריצה למחשביה.

בהודעה דווח כי ב-19 ביוני אותרה חדירה לרשתות של הפקולטה לאומנויות ומדעים וכן לזו של המנהל המרכזי לטכנולוגיות המידע. ההודעה הוסיפה כי עם גילוי הפריצה, פעלה האוניברסיטה יחד עם מומחי אבטחת מידע חיצוניים כמו גם רשויות האכיפה לחקירת הארוע, הגנה על המידע השמור במערכותיה וחיזוק סביבת מערכות המידע ברחבי האוניברסיטה.

עם זאת נמסר כי אין עדות לכך שמידע אישי, מחקרי או נתוני גישה נחשפו במהלך הפריצה, אולם יתכן ונחשפו פרטי גישה (שמות משתמש וסיסמאות) בהם נעשה שימוש בעת התחברות למחשבים וחשבונות דוא"ל באוניברסיטה.

ההודעה כללה מספר הנחיות אותן מבקשת האוניברסיטה לנקוט כצעדי בטחון ובכלל זה שינוי סיסמאות למחשבים בחלק מיחידות האוניברסיטה ושינוי סיסמאות לחשבונות דוא"ל באחרות;

  • Harvard PIN System Login

  • Division of Continuing Education (DCE) Login
  • HMS eCommons Login
  • Post.Harvard Login
  • XID Login
  • FAS Research Computing
  • Any passwords for the following Schools:
    • Harvard Business School
    • Harvard Kennedy School
    • Harvard Law School
    • Harvard Medical School
    • Harvard School of Dental Medicine

לצד יחידות אחרות בהן לא נדרש לבצע כל שינוי.

ארה"ב ואיחוד האמירויות הקימו מרכז לפעילות מקוונת נגד 'המדינה האסלאמית'

ב-8 ביוני פרסמה מחלקת המדינה של ארה"ב הודעה בדבר השקת "מרכז Sawab" בשיתוף פעולה עם איחוד האמירויות אשר אמור להוות "תוכנית מקוונת רב לאומית ראשונה מסוגה למסרים ולמעורבות, לשם תמיכה בקואליציה העולמית נגד דאע"ש".

זאת לשם "מעורבות מקוונת ישירה בצורה מהירה ויעילה נגד התעמולה הטרוריסטית ובכלל זה מסרים לגיוס לוחמים זרים, גיוס תרומות, פעילויות בלתי חוקיות והפחדת האוכלוסיה המקומית", תוך הצגת "קולות מתונים וסבלניים מרחבי האזור והגברת שיח בונה".

עוד נמסר כי המרכז יקדם בברכה שותפות נוספות מבין 63 המדינות החברות בקואליציה, כמו גם עם גורמים פרטיים ועסקיים ברחבי העולם. עוד יעסוק המרכז בהפצת דבריהם של אלו המוכנים לדבר נגד תעמולת הטרור ומאמצעי הגיוס באנשים ובכסף.

במסגרת פעילות זו הושק בתאריך זה חשבון טוויטר ובו 12 הודעות לפי שעה הכתובות באנגלית ובערבית, ההודעה השניה בשפה האנגלית מגדירה את מטרת המרכז;

Capture4

עוד כולל החשבון הפניה לסרטון ובו "סורי אמיץ בן 14 אשר ערק מדאע"ש המספר את סיפורו";

https://www.youtube.com/watch?v=xlhbZcD1Z9k

זאת לצד ערוץ יוטיוב ובו לפי שעה שני סרטונים על המרכז, האחד באנגלית והשני בערבית, וכן אתר המצוי כעת בשלבי בניה.

גניבת 85 אלף כרטיסי אשראי מחברת קזינו בארה"ב

ב-3 ביולי פרסמה חברת "FireKeepers Casino Hotel" כי בוצעה כניסה בלתי מוקשית למערכות המחשב של החברה, במהלכה נחשפו פרטי כ-85 אלף כרטיסי אשראי של לקוחותיה.

ב-16 באפריל התברר לחברה על הארוע, מבדיקת מומחי אבטחה חיצוניים התברר כי פרטיהם של כרטיסי אשראי בהם בוצעו עסקאות לרכישת מזון, משקאות וקמעונאות בין התאריכים 7 ספטמבר 2014 ו-25 אפריל 2015 יתכן ודלפו בארוע זה.

אולם כרטיסים בהם נעשה שימוש לשם הזמנת חדרים במלון ומשיכת מזומנים, לא נפגעו, הואיל ואלו מטופלים באמצעות מערכות נפרדת.

ב-6 במאי התברר כי נפרץ גם שרת אחסון קבצים אשר הכיל מידע אישי של לקוחות, עובדים (בווה  ובעבר) וקרוביהם, ובכלל זה מספרי ביטוח לאומי, מספרי רשיון נהיגה ומידע רפואי מנהלתי, אולם לא נמצאה עדות לגישה בלתי מורשית או שימוש לרעה במידע האישי. למרות שאין לחברה עדות כי נעשה שימוש לרעה במידע זה, היא עדכנה בכך את הנוגעים בדבר והמערכות פועלות כעת באופן מאובטח.

החברה פרסמה הודעה ללקוחותיה ואחת לעובדים בהווה ובעבר.

יצויין כי ב-15 באפריל דווח על ארוע שני של דליפת מידע מרשת בתי המלון WLSC בארה"ב, אשר גם בו דליפת המידע – בשני המקרים – היתה דווקא מעמדות מכירת המזון והמשקאות.

ארה"ב: גנבת 4 מיליון רשומות של עובדי ממשל ? כנראה שהמספר גבוה יותר

ב-12 ביוני פורסם כי מספר הרשומות של עובדי הממשל בארה"ב בעבר ובהווה אשר נגנבו משרתי Office of Personnel Management יכול להגיע לכדי 14 מיליון, ולא 4 מיליון כפי שנמסר גם בהודעה רשמית של ה-OPM.

ההערכה החדשה היא כי נגנבו 9-14 מיליון רשומות של עובדי ממשל, מרביתם עובדים בעבר וכן ספקים, החל משנות השמונים, זאת על פי שני פקידים המקורבים לחקירה. הערכה זו פורסמה יום לאחר טענה כי הגנבה חמורה יותר משנראה בתחילה, תוך קביעה כי הפורצים גנבו את הפרטים האישיים ומספרי הביטוח הלאומי של כל עובדי הממשל בבסיס הנתונים המרכזי.

במכתב שנשלח מהאיגוד המקצועי להנהלת OPM נכתב כי ההנחה היא כי הפורצים הצליחו לשים ידם על רשומות ובהן כתובות, תאריכי לידה, הסטוריית עבודה ותשלומים, ביטוח בריאות, ביטוח חיים, מידע פנסיוני וכן גיל, מגדר ומוצא.

בידיעה נטען כי בסיס הנתונים מכיל 780 פרטי מידע שונים על מרבית העובדים האזרחיים של הממשל בארה"ב, גם אם לא חברי הקונגרס וצוותיהם. לשם כך פורסמו FAQ באתר OPM בנושא זה.

'הצבא הסורי האלקטרוני': "פרצנו לאתר צבא ארה"ב"

בשעות הערב של ה-8 ביוני פרסם 'הצבא הסורי האלקטרוני' בחשבון הטוויטר ובאתר האינטרנט שלו הודעות לפיהן עליה בידו לפרוץ לאתר צבא ארה"ב ולהשחיתו, זאת באמצעות גילוי חולשה אשר אפשרה השתלטות על מנהל התוכן של האתר.

CG_l2xkWcAE17L_

הדבר אפשר לאלו להציב באתר מספר הודעות ובהן קריאה לארה"ב להפסיק אימון "טרוריסטים" בתורכיה ובירדן;

CG_hfsRWoAAvOBf

CG_1Kz8WwAAxidn

עוד נטען כי במהלך הפריצה ואחרות, עלה בידם להשיג מידע אשר יפורסם בעתיד בהתאם לצורך.

דליפת 1.1 מיליון רשומות מחברת ביטוח רפואי בארה"ב

ב-20 במאי הודיע מנכ"ל חברת CareFirst באתר החברה כי היא היתה נתונה למתקפה קיברנטית מתוחכמת במהלכה השיגו התוקפים "גישה מוגבלת ובלתי מורשית לבסיס נתונים יחיד של CareFirst". מההודעה עולה כי בארוע נפגעו כ-1.1 מיליון מנויים בהווה ובעבר וגורמים פרטיים בעלי קשרים עיסקיים עם החברה אשר נרשמו באתרי החברה לפני התאריך 20 ביוני 2014.

הארוע התגלה במהלך "מאמצים מתמשכים של אבטחת טכנולוגיית המידע של החברה, לאור התקפות קיברנטיות אחרונות של חברות ביטוח בתחום הבריאות". כבמקרים דומים רבים בעבר, גם כאן נשכרה חברת Mandiant לביצוע בחינה מקפת של סביבת מערכות המידע.

הבדיקה העלתה כי ביוני 2014 הצליחו הפורצים להשיג גישה לבסיס נתונים של החברה בו נשמרו פרטי הגישה של המנויים וגורמים נוספים לאתרי החברה ולשרותיה המקוונים. אולם חברת Mandiant לא מצאה כל עדות לתקיפה נוספת או גישה למידע נוסף.

עם זאת העדויות מצביעות על  כך שהתוקפים "יתכן והשיגו" שמות משתמש שיצרו הלקוחות, כמו גם את שמות הלקוחות, תאריכי לידה, כתובות דוא"ל, ומספרי זיהוי של המנויים. אולם נמסר בהודעה כי "מידע מוגבל היה מעורב בהתקפה זו" ולא כלל מספרי ביטוח לאומי, מידע רפואי או פיננסי. מהחברה נמסר כי גישה לנתוני המשתמש דרך אתר החברה אפשרית תוך שימוש בשמות המשתמש ובצמידות לסיסמאות שיצרו המשתמשים, אך בסיס הנתונים שנפרץ לא הכיל סיסמאות אלה, הואיל ואלו מוצפנות לגמרי ונשמרות במערכת נפרדת כאמצעי אבטחה מפני התקפות שכאלה.

כמו לגבי חברות דומות, גם זו הציעה ללקוחותיה שיתכן ונפגעו שרות חינמי למשך שנתיים של ניטור והגנה מפני גנבת זהות. עוד נמסר כי לשם הזהירות, חסמה החברה את הגישה לכל החשבונות של מנוייה ותבקש מהם ליצור שמות משתמש וסיסמאות חדשים.

דליפת כארבע מיליון רשומות של עובדי ממשל בארה"ב

ב-5 ביוני פורסם על הדלפת ענק נוספת מגורם ממשל בארה"ב. הפעם מדובר על כארבע מיליון רשומות אשר יתכן ונגנבו ממחשבי ניהול משאבי אנוש במשרד הפנים.

מתברר כי הארוע התרחש בחודש דצמבר 2014, אבל כבמקרים רבים בעבר התגלה רק זמן רב לאחר מכן – באפריל 2015. לפי שעה נמסר על ידי גורם אנונימי כי הממשל חוקר את הפריצה בנסיון לאמוד את היקפה.

לפי שעה לא ברור היקף וסוג המידע שנגנב למרות שנמסר כי הפריצה השפיעה על מיליוני עובדי ממשל בהווה ובעבר. כבעבר הופנתה האשמה כלפי סין כעומדת מאחורי פריצה זו.

אכן לצד הדלפות רשומות רבות של עובדים ולקוחות מגופי בריאות, בנקאות וחינוך בארה"ב, גם מגזר הממשל סופג התקפות, במהלכן מידע אישי רב דלף בעת האחרונה. במסגרת זו דווח בתחילת ינואר השנה על דליפת פרטי 7,054 וטרנים ממחשבי הגורם בממשל המטפל בהם, וכן דליפת פרטי כ-800 אלף עובדי רשות הדואר בארה"ב בנובמבר 2014, ארוע שגם בו הופנתה האשמה כלפי סין.

דליפת פרטי כאלף מטופלי צינתור בארה"ב

ב-15 במאי פורסם על דבר פריצה לחברת MetroHealth System אשר נאלצה להודיע לכאלף מטופלי צינתור בבית החולים במהלך השנה החולפת, כי פרטים האישיים יתכן ודלפו בשל פריצה לשלושה מחשבים.

החברה זיהתה ב-17 במרץ נוזקה בשלושה מחשבים במעבדת הצינתור שהשפיעה על מטופלים ששהו במעבדה בין התאריכים 14 יולי 2014 ועד 21 מרץ 2015. עם גילוי הנוזקה התברר כי היתה קיימת אחת נוספת שהוסרה רק ב-21 במרץ.

מהבדיקה שנערכה התברר בין השאר כי שותף עסקי "השבית את תוכנת האנטי וירוס במחשבים על מנת לאפשר עדכון תוכנה. אין עדות לגישה למידע רפואי". עוד נמסר כי המחשבים לא הכילו מידע פיננסי, אשר הוא על פי רוב המטרה של נוזקות אלה. אולם המידע האישי אשר יתכן ודלף כלל; שמות, תאריכי לידה, גובה, משקל, טיפול תרופתי, פרטי הצינתור, מידע רפואי מנהלתי.

החברה המליצה למטופלים לנטר את פעילות חשבונם והבהירה כי היא חיזקה את הליכי ההגנה על פרטיות המטופלים ובכלל זה הגברת הניטור אחר נוזקות ועדכוני תוכנות.

הצי האמריקאי מפרסם פניה לחברות פרטיות לשם הגנה קיברנטית על מערכות נשק שלו

ב-20 במאי פורסם כי הצי האמריקאי ((NAVAIR Cyber Warfare Detachment (CWD) פנה לחברות פרטיות לשם פיתוח טכנולוגיה להגנה על מזל"טים, טילים, חיישנים, כלי רכב בלתי מאויישים, ונשק מוטס, מפני האקרים.

האסטרטגיה של ה-CWD היא להגן על נקודות הגישה למערכות הנשק (זיהוי ומניעה), שרידות והמשכיות של ההפעלה במהלך קרבות פנים מול פנים (חוסן ותגובה), ולניהול הרכשה קיברנטית חכמה על מנת להשיג זאת. יסודות אלו של אסטרטגיית CWD עבור מערכות הנשק של NAVAIR היא לפיתוח כוח עבודה קיברנטי, השקעה בתשתית ובמחקר ופיתוח, קביעת תקנים וסטנדרטים ושיטות עבודה מומלצות.

אולם הטענה היא כי בחינת ההצעות תהיה לא לפני מאי 2016 וכי המימוש יהיה לפחות בעוד חמש שנים, בהן מערכות אלה יהיו על פניו בלתי מוגנות.

דליפה המונית של מידע מאתר הכרויות בינלאומי

ב-21 במאי דווח בתחנת הטלביזיה הבריטית כי אתר ההכרויות FriendFinder (אשר מקום מושבו בארה"ב ולו שלוחה גם בבריטניה) נפרץ וכי נגנבו פרטיהם האישיים של 3.9 מיליון מלקוחותיו ובכלל זה נטיותיהם והעדפותיהם המיניות, כמו גם הנכונות לקשרים מחוץ לנישואין, זאת לצד כתובות דוא"ל, שמות, תאריכי לידה, וכתובות מחשב ואינטרנט יחודיות. המידע כלל גם את אלו אשר ביקשו לבטל את חשבונם באתר.

מהכתבה עולה כי מחקירה שביצעה הרשת בדבר הפעילות ב"רשת האפלה", התגלה פורום סודי ובו האקר המכונה [ROR[RG אשר הציב מידע בדבר משתמשים מאתר זה, אשר לו 63 מיליון משתמשים מרחבי העולם, 7 מיליון מהם מבריטניה. הואיל ואתר ההכרויות הוא בעל מאפיינים מיניים, המשתמשים לעיתים קרובות חולקים מידע מיני רגיש בעת ההרשמה.

שעות לאחר שדלף המידע, הודיעו ההאקרים באותו הפורום כי בכוונתם לתקוף את הקורבנות בהודעות דוא"ל זבל נגוע בוירוסים, דבר אשר לטענת אחד המרואיינים לכתבה, אכן התממש בפועל. עוד נמסר כי לא מן הנמנע שהגל הבא יכלול פעולות סחיטה מקוונות לאור המידע האישי הרב שדלף לגבי כל משתמש.

בהודעת החברה שפורסמה יום לאחר כתבה זו, נמסר כי לחברה נודע לאחרונה על ארוע אפשרי של אבטחת מידע. על מנת להתמודד עם הארוע, החברה פתחה בחקירה פנימית של המקרה, נקטה בצעדים להגן על המשתמשים באמצעות חסימה זמנית של אפשרויות חיפוש החברים והסתרת שמות המשתמש של כל מי שנראה כי נפגע מארוע זה. זאת לצד יצירת קשר ישיר של החברה עם לקוחותיה לשם הנחיות לעדכון שמות המשתמש והסיסמאות.

כבמקרים רבים בעבר, גם כאן נשכרו שרותיה של חברה חיצונית, Mandiant, לחקור את הפרשה, תוך עדכון גורמי האכיפה ובכלל זה ה-FBI.

עוד נמסר כי לפי שעה אין עדות לדליפת הסיסמאות או מידע פיננסי.