"המידע שדלף ממכון מור ואטרף יהיה זמין בקרוב גם בחיפושים בגוגל"

אתר ההיכרויות אטרף, מכון מור, רדיו 103fm, חברת הביטוח לביטולי טיסה טריפ גרנטי, רדיו צפון 104.5, חברת הלוקרים לוקר אמבין - אלו האתרים שמידע מהם פורסם על ידי קבוצת התקיפה בלאק שאדו ביממה האחרונה. מידע זה מתווסף לנתונים מאתרי קווים ודן ואתר התיירות פגסוס שפורסמו עוד בסוף השבוע על ידי הקבוצה, שלפי הערכות קשורה לאיראן.

ההדלפה שמשכה את רוב תשומת הלב היא כמובן מאתר ההיכרויות ללהט"בים אטרף. חברת אבטחת המידע צ'ק פוינט מצאה כי המידע שפורסם משם כולל רשומות על למעלה ממיליון משתמשים, כולל התכתבויות ביניהם ופרטים אינטימיים אחרים, אך ללא תמונות, סרטונים או כרטיסי אשראי.

במקרה של מכון מור פורסמו נתונים על מעל ל-290 אלף פניות של מטופלים שכוללות שם, טלפון, מייל ותוכן הפניה לאתר, שמכיל לעיתים פרטיים רפואיים. לפי חברת אבטחת המידע Varonis, הפניות מתחילות ב-2015 ומסתיימות באוקטובר 2021.

במקרה של רדיו 103, מדובר על דליפת מידע על 29 אלף משתמשים שכולל שמות, כתובות חלקיות, כתובת אימייל, סיסמה, מספרי סלולר, תאריך לידה, מין ותאריך התחברות אחרון. בחברת לוקר אמבין, שמספקת לוקרים לבתי ספר, זוהו פרטים על מעל חצי מיליון משתמשים. בנוסף פורסמו מעל חצי מיליון רשומות שכוללות שמות, תעודות זהות, כתובות, תאריכים ויעדי טיסות מאתר טריפ גרנטי, לפי Varonis.

הערוצים נמחקים ושבים וצצים

ביממה האחרונה נמחקו מספר ערוצים בטלגרם דרכם התוקפים שחררו את המידע, אך אלו שבים ופותחים ערוצים חדשים כל הזמן. חלק מהמידע זמין דרך האתר של בלאק שאדו שנשאר באוויר. לליאור חן, מנהל תחום אבטחת הסייבר ב-Varonis אין ספק שהורדת הערוצים לא תצליח למנוע את הפצת המידע. "לצערי למידע כזה יש נטייה להיות מופץ דרך טורנטים או בדארק נט ובסוף הוא מגיע אפילו לחיפושים פשוטים בגוגל. תחפש טריפ גרנטי למשל והמידע יגיע אליך", אומר חן.

חן, כמו מומחי אבטחה רבים, ממליץ למשתמשים באתר אטרף או בחברת הלוקרים לוקר אמבין, שם נחשפו גם סיסמאות של משתמשים, להחליף מיד את הסיסמא שלהם לאתרים אחרים אם השתמשו באותו צירוף. חשוב גם להפעיל אימות דו-שלבי כך שבנוסף לסיסמא ישלח קוד לטלפון או למייל.

רשות הפרטיות הודיעה היום כי בעקבות דליפת המידע מאתר אטרף היא החליטה לפתוח בחקירה נגד חברת סייברסרב, מפעילת האתר, בחשד שהתרשלה באבטחת המידע טרם התקיפה. הרשות אסרה על החזרת האתר לאוויר עד להודעה חדשה.

הרשות להגנת הפרטיות במשרד המשפטים היא הגוף היחיד בארץ המחזיק בסמכויות אכיפה בתחום רשלנות בשמירה על פרטי משתמשים, אלא שה"שיניים" שלה חלשות ביותר. בעוד שנציבי פרטיות באירופה שמונו במוסדות האיחוד האירופי יכולים לקנוס חברה בעד 4% ממחזור המכירות שלה על עבירה הקשורה בהתנהלות מאגרי המידע שלה, הרשות להגנת הפרטיות בישראל יכולה להטיל על חברה קנס של 25 אלף שקל לכל היותר.

בנוסף, הרשות להגנת הפרטיות בישראל היא גוף המנוהל על ידי ממלאת מקום ולא על ידי מנהל במשרה מלאה. סמכויות החקירה שלה לא קודמו באופן מלא, ויכולתה לאפשר התגוננות מפני מתקפת סייבר לא מספקת. "אני חושב שאירוע בסדר גודל כזה דורש שינוי בהתנהלות של הרשות להגנת הפרטיות", אומר חן.

מנכ"ל סייברסרב לא הגיב

כזכור, הכול החל בסוף השבוע אז הופלו מהרשת שורה ארוכה של אתרים ישראלים, החל מאתר כביש חוצה ישראל, דרך אתרי חברות דן וקווים, החברות דלתא גליל וניופאן ועד לאתר ההיכרויות אטרף. כל אלה ורבים אחרים נותרו לא זמינים ברובם מאז. הפריצה אליהם בוצעה דרך חברת סייברסרב (Cyberserve) שבנתה את האתרים ובמקרה של אטרף גם הייתה הבעלים של האתר. האתרים אוכסנו על שרתים של חברת נטוויז'ן. לפי נטוויז'ן, היא סיפקה לסייברסרב שירות אירוח שאינו כולל אבטחת סייבר.

מי שלקחה אחריות להפלת האתרים היא קבוצת בלאק שאדו, (Black Shadow) שהייתה אחראית גם על תקיפת חברת הביטוח שירביט בדצמבר האחרון וחברת מימון הרכב ק.ל.ס קפיטל במרץ השנה. כבר ביום שבת החלה הקבוצה לפרסם מידע אישי על עשרות אלפי ישראלים, כולל שמות, מספרי תעודות זהות, טלפונים וכתובות מייל.

מחקר שפרסמה חברת הסייבר סנטינל וואן טען כי בלאק שאדו הייתה אחראית גם לפריצה לשרתי אוניברסיטת בר-אילן באוגוסט וכי מאחוריה עומדת קבוצה איראנית בשם Agrius. לפי המחקר, אף שהקבוצה דורשת תשלום כופר - למשל כופר של מיליון דולר שהיא דרשה בערוץ הטלגרם בתקיפה הנוכחית - המניע העיקרי שלה הוא פגיעה ויצירת הד תקשורתי. עם זאת, קשה לומר האם מדובר בקבוצה שמופעלת על ידי השלטון האיראני או פועלת באופן עצמאי.

איל הבר, מנכ"ל סייברסרב, הוא גם אחד משני מייסדי אתר אטרף. הבר עד כה לא התבטא ולא התייחס בתקשורת לאחריות של סייברסרב לדליפה. מאחורי הקלעים שכרה סייברסרב את חברת "קוד בלו" של רפאל פרנקו, לשעבר סגן ראש מערך הסייבר הלאומי, כדי לטפל במשבר כולל ברמה התקשורתית.

ברמה התקשורתית מנסה סייברסרב בין השאר להדגיש את היות האירוע פיגוע בטחוני, מה שאמור להוריד מהאחריות שלה להתרחשותו. כזכור, מערך הסייבר הלאומי וגופים אחרים מסרו כי ניסו להזהיר את החברה כי היא פגיעה להתקפות. טקטיקה אחרת של סייברסרב היא לנסות להפנות חלק מהאחריות לנטוויז'ן שהשרתים שלה אירחו את האתרים.