עו"ד מומחה סייבר: "משרדי עורכי הדין הם 'יעד מועדף' לתקיפות"

"המציאות מוכיחה, שכאשר יש סכסוך משפטי, שהוא עתיר ממון, עתיר באגו או באינטרסים אחרים, החשש לריגול דיגיטלי עולה. לא מדובר על פעילות של 'גיקים' או האקרים קטנים. זה חשש אמפירי. יש בישראל ריגול משפטי-דיגיטלי, שיכול להוות את אבן הנגף הקטנה, בדרך המשפטית הארוכה שלכם, שתוביל לכישלון", כך אמר עו"ד אילן שָדָי, יו"ר ועדת אינטרנט וסייבר בלשכת עורכי הדין ויו"ר (משותף) של הפורום הארצי למשפט, מדע וטכנולוגיה בלשכת עוה"ד. הדברים נאמרו בערב עיון מיוחד בנושא הגנה למשרדי עורכי דין מפני תקיפות סייבר ותוכנות כופר, שקיימה שלשום (ב') לשכת עורכי הדין בשיתוף הרשות להגנת הפרטיות (לשעבר רמו"ט) והרשות הלאומית להגנת הסייבר במשרד רוה"מ.

עו"ד שדי הוסיף, כי "משרדי עורכי הדין הפכו ליעד עיקרי לתקיפות סייבר. כיו"ר ועדת אינטרנט וסייבר נחשפתי לתלונות ופניות של חברים רבים שמשרדיהם הותקפו בצורות כאלה ואחרות. גם הרשויות גילו שמאגרי מידע של משרדי עורכי דין דלפו לרשת, וגם מקרים שלא ייוודעו לעולם, שכן אותם משרדים נעזרו במומחה סייבר פרטי בתשלום והתגברו על המשבר בין אם בדרכים של הדיפת התוקפים, של גיבוי הנתונים או בדרכים אחרות".

"היום גוגל יודעים על אדם שהוא גיי - לפני שהוא יודע על עצמו"

יובל שגב, ראש מדור תורה ברשות הלאומית להגנת הסייבר ולשעבר בכיר בצ'קפוינט, התייחס אמר, כי "מהנתונים של הרשות עולה שבשנת 2016, 73% מהטופ 100 של משרדי עורכי הדין בארה"ב הותקפו, עליה של 20% משנת 2014, ומכנס לכנס אנשים מבינים שהם הותקפו, פשוט כי המודעות לכך עולה. למה אתם מעניינים את הצד השני? המניע יכול להיות עסקי, או אחר, מוניטין, פטנטים ועוד. בעולם שבו יש אינטרס, תמיד יהיו אנשים שירצו לדעת מה קורה בתיק של ביבי בפרשת של 3000. גם חברות האינטרנט הגדולות, גוגל, פייסבוק מודות באמירה אמיצה שהן נמצאות תחת מתקפה של מעצמות. יש סברה למשל שגוגל יודעת על נטייה מיני של אדם, שהוא גיי, לפני שהוא יודע זאת על עצמו. לפי מאפייני הגלישה שלו, ההקלקות, החיפושים שלו, הלייקים שלו".

עוד אמר שגב, כי "אתם צריכים להבין מה המניע, מה הנזק שעלול להיגרם, מה יש לכם ביד והיכן הוא נמצא".

בין העצות שנתן שגב לעורכי הדין כדי לצמצם את החשיפה, היו: מחיקת מידע מיותר, הצפנת קבצים רגישים, העברה לענן מאובטח ורכש תוכנות, הסרת חשבונות מנהלים, עדכון אנטי-וירוס, ביצוע שחזורים יזומים, דגימה אקראית של גיבויים ישנים, הדרכת עובדים בעת קליטתם, אבטחת רשת, אבטחת ציוד כגון לפטופים, ועוד. "בסוף צריך להיות בנאדם שחושב על אבטחת סייבר, שזה תפקידו לחשוב על זה. מנו גורם אחראי, הגדירו מה קריטי ועקבו אחרי פערי ההגנה", אמר.

נהגי אמבולנס מעבירים מידע לקבלני מצבות

בערב העיון השתתף גם לביא אבנת, מנהל מחלקת האכיפה של הרשות להגנת הפרטיות, שהפריך את האגדה האורבנית שלפיה בתי החולים מעבירים מידע על נפטרים לקבלני המצבות: "אני יכול לספר לכם שדווקא בדקנו את הנושא הזה של קבלני המצבות, וגילינו שזה לא בתי חולים, אלא דווקא נהגי אמבולנס, שמקושרים בצורה כזו או אחרת, הם אלה שמעבירים מידע על נפטרים לקבלני המצבות".

בנוסף התייחס אבנת לאכיפה שביצעה הרשות כלפי משרדי עורכי דין: "נעשו 8 תיקי אכיפה נגד משרדי עורכי דין בשנה האחרונה, כולם באכיפה מנהלית. אם אנחנו מקבלים מידע על דלף מידע, אנחנו קודם כל פונים מיידית טלפונית למשרד ומבקשים לסגור מיידית את דליפת המידע. בהמשך אנחנו מבקשים פרטים על המערכות, כיצד מגינים וכו', אבל לא על הלקוחות. הכול בתיאום, בהתכתבות, ברוח טובה. התוצר של זה הוא תיקון ליקויים, והרציונל המשותף של שנינו הוא שהדברים האלה לא יקרו, וזה נגמר במכתב של 'אלה הן הפעולות שאתם צריכים לבצע', ובזה זה נגמר".

לשאלה כיצד מגיע מידע על דליפת מידע, ענה אבנת כי ישנו שטף של תלונות או מידעים. אבנת ציין כי "ישנם שרתים שהם פשוט פתוחים באינטרנט, כלומר שרת קבצים שפשוט נמצא ברשת, שלא צריך להיות האקר או איש טכני מתוחכם, כתובות IP חשופות. יש אתרים ותוכנות שסורקים מצלמות רשת שפתוחות באינטרנט, ויש בעייתיות באבטחת גישה מרחוק, עובדים עם מידע, הרשאות ו- WIFI. נתקלנו בעמותות לאימוץ ילדים שהסיסמאות בהן היו עתיקות וקלות ביותר, ובמשרדי עורכי דין שיושבים פיסית באותו מקום כדי לחסוך כסף, וגם השרת המשותף היה חשוף לכל המשרדים, וכל עובד ממשרד א' יכול להיכנס לתקיית לקוחות של משרד ב'".

רם לוי, מנכ"ל חברת הייעוץ לאבטחת המידע "קונפידנס", שמייעץ לבנקים ולמוסדות נוספים, סיפק גם הוא טיפים להגנת סייבר: "הסיבה העיקרית לדלף מידע הן האקינג, טעות אנוש, ואבדן ציוד. 89% ממתקפות הסייבר הן ממניעים פיננסיים או ריגול עסקי. עלות פשיעת סייבר מוערכת ב-450 מיליארד דולר. נגנבו למעלה מ-2 מיליארד רשומות, דואר זבל הוא למעלה מ-65% מהתקיפות, וכי ויש למעלה מ-94 מיליון סוגי פוגענים".

לוי מנה מספר צעדים שיכולים לסייע בהגנה: שמירה על עדכניות המערכות, גיבוי ובדיקת שחזור מגיבוי, סיסמאות כפולות באימות דו-שלבי (כלומר כזו שלמשל מקבלים עליה אישור ב- SMS ), הצפנת מידע רגיש, כלים חינמיים נגד כופרות, קבלת התרעות על אירועים חריגים (כמו למשל התראות SMS על חיובים בחשבון הבנק), העברת מערכות האחסון והדוא"ל לענן (שבו קשה להתחרות ביכולות הגנת המידע שמספקות גוגל, אמזון וכו'), הגנה על המובייל באמצעות הורדת אפליקציות רק מחנויות רשמיות תוך שימת לב למה האפליקציות דורשות, לוודא שכל מה שמחובר לרדת כגון מדפסת, סורק וכו' מחוברים שלא באמצעות סיסמת ברירת מחדל, "ובעיקר מודעות, מודעות, מודעות".