הדילמה הבלתי אפשרית של מנכ"ל שירביט: לשלם או לא לשלם את הכופר?

כמו בסרט אימה, השעון בחברת הביטוח שירביט מתקתק לקראת השעה תשע מחר בבוקר. אז יחלוף האולטימטום שהציבו ההאקרים שפרצו אל שרתי חברת הביטוח ומאז מדליפים מסמכים המכילים פרטים אישיים רגישים על לקוחות החברה, באחת ממתקפות הסייבר החמורות והמתוקשרות שאירוע עד כה בישראל.

על פי האולטימטום שפורסם הלילה, הזהירו הפורצים את החברה כי אם לא תשלם להם סכום של 50 ביטקוין - כמיליון דולר - עד מחר בשעה זו - ימשיכו להדליף לרשת עוד ועוד חומרים שתפסו, מעבר לדוגמיות שכבר פרסמו בערוץ הטלגרם שפתחו לצורך המתקפה, בכדי להוכיח את רצינות טענותיהם. על פי נוסח הודעת האיום - אם לא ייעתרו לבקשה, כל 24 שעות נוספות שיחלפו יכפילו את סכום הכופר שהתוקפים דורשים על מנת לעזוב את שירביט במנוחה.

ההחלטה לא פשוטה בעליל. אם יחליט שלא להיכנע לתוקפים, עלול המנכ"ל להיתפס אחראי בעיני הלקוחות וההנהלה להפקרת המידע עליהם. אם ייכנע - יישלח מסר שיהדהד סביב הגלובוס - הישראלים משלמים.

מתקפת הסייבר על שירביט אינה חמורה בהשוואה להתקפות הסייבר המפורסמות הגדולות שאירוע בעשור האחרון בעולם, אך יחסית לשוק הקטן שלנו, זו המתקפה החמורה ביותר. יש לכך שלוש סיבות עיקריות: מספר הלקוחות שפרטיהם עלולים להיחשף; העובדה שבין לקוחות החברה בכירים בשירות המדינה; והפרופיל התקשורתי הגבוהה שלה, שאחד מתוצאות הלוואי שלו הוא זריעת פחד וחוסר אמון במוסדות הפיננסיים בקרב הציבור. פרשות תקיפה נגד חברות משמעותיות בהרבה משירביט, כמו ורינט וטאואר, עברו בשקט יחסי, בין היתר משום שהם לא לוו בכיסוי תקשורתי אינטנסיבי.

אלא שהכיסוי התקשורתי המועט לא נבע מחוש אחריות מפותח של התקשורת, כמו שהוא נבע מכך שהתוקפים לא הדליפו לה פרטים. משבר שירביט שונה בכך משום שכאן היוזמה נמצאת בידיים של התוקפים. דווקא משום שהפרשה נמצאת במוקד תשומת הלב התקשורתית, על התקשורת לתת כמה שפחות לתוקפים לקבוע את סדר היום, לנהוג באחריות, ולעשות הכל כדי שלא ללבות את האש. מאחר שמדובר במשבר הסייבר התקשורתי המשמעותי הראשון, האופן שבו ננהג עתה עשוי להכתיב את המשך הדרך.

לכן, קודם כל, אין זה הזמן לחיפוש אשמים. כפי שציינו בתחילת טור זה, מדובר במגפה עולמית שפוגעת בארגוני ענק בכל העולם. בעולם כבר הבינו שמתקפות סייבר לצורכי סחיטה הן לא פחות מגפה מהקורונה, וארגון מדינות ה-G7 אף קרא לפעולה עולמית למיגורה. הסיכון בהחלט היה ידוע מראש, ומחושב - עדיף לספוג מתקפות סייבר ובלבד שהמשק העולמי ימשיך לתפקד ולא יקרוס.

אלא אם היתה רשלנות בוטה (מערך הסייבר התריע כי ארגונים רבים התעלמו מפניות לבצע פעולות פשוטות, אך קריטיות, לסתימת חורים ברשתות הארגוניות) יש להעניק גיבוי לראשי החברה שיקבלו את ההחלטות הנכונות ביותר תוך שקילת האינטרסים של לקוחותיהם אך גם האינטרסים הציבוריים.

על הכף עומדים כעת שני שיקולים מרכזיים. ראשית, גם אם שירביט תבחר, וחוקית כמובן זו זכותה, להיכנע לתוקפים, כל בכירי החברה בוודאי כבר יודעים שכניעה אינה ערובה לחיסול הפרשה. בכניעה החברה לוקחת סיכון אדיר שהיא גם תאכל את הדגים המסריחים וגם תגורש מהעיר. דהיינו - גם תשלם, וגם המידע ידלוף בכל זאת.

שנית, ייתכן שבחברה יעדיפו להמתין ולראות מה יעשו התוקפים מחר בתשע בבוקר אם לא ישלמו את הכופר. יכול להיות שבחברה יבחרו לבחון את התוקפים כדי לגלות האם יש להם קלפים רציניים בשרוול, או שהם בילפו. קשה יהיה להאשים את החברה שתבחר בכך.

כך או כך, על הרשויות לשקול היטב את האפשרויות שעומדות בפניהן, ולהחליט עד כמה רחוק הן מוכנות ללכת בסיוע לשירביט, מתוך ראייה של טובת כלל המשק. הן יצטרכו לחשוב עד כמה הן מוכנות להעניק לה גיבוי, גם אם תקבל החלטות לא פשוטות.

הסיבה לכך דווקא כן פשוטה - על הרשויות לוודא שהחברה לא תעדיף את האינטרס האישי שלה, של מנהליה, או של לקוחותיה, במה שנקרא כיסוי תחת, אם ההחלטה שתקבל עלולה להעניק תמריץ לתוקפים להמשיך לרכז מאמצים במשק הישראלי, במקום ללכת לחפש קורבנות במקומות אחרים. בגיבוי, הכוונה הן במישור החומרי והן במישור החוקי. בין אם משמעות הדבר סיוע בפיצוי הלקוחות, או פטור חריג מחבות משפטית. הכוונה ברשויות היא גם לרשויות הביטחון, אך גם רשויות המשפט ושוק ההון.

בעולם, מספרים בכירים רבים בתעשיית הסייבר, קיימת סברה, מגוחכת כמובן, שמעל לישראל מתנוססת כיפת ברזל וירטואלית שהפכה את מדינת היהודים לחסינה ממתקפות סייבר. לישראל יש אולי מערכות הגנה מפוארות אך אף מערכת אינה חסינה. ישראל היא מדינה דמוקרטית והגבולות הווירטואליים שלה כמו הגבולות הפיזיים - פתוחים. אולי בזכות פרשת שירביט רמת המודעות והאחריות במשק הישראלי האזרחי לצורך במשמעת בסיסית של בהגנת סייבר, לטובת כל הצדדים המעורבים - מהממשלה ועד אחרון האזרחים.