ה-AI האיץ את התוקפים. עכשיו החברות חייבות להדביק את הקצב

חברה ישראלית נמצאת רגע לפני חתימה על עסקה עם לקוח גדול בחו״ל. היא עברה מבדק חדירה, העבירה את המסמכים שביקש הלקוח ועמדה בדרישות האבטחה שלו. מבחינת תהליך המכירה, אפשר להתקדם. אבל מאז המבדק עלתה גרסה חדשה של המוצר. עובד עזב ולא כל ההרשאות שלו נסגרו. ספק חיצוני קיבל גישה למערכת, ושירות שנפתח לצורך ניסוי נשאר חשוף לאינטרנט. הבדיקה הייתה טובה ליום שבו נערכה. האם היא עדיין מתארת את החברה שהלקוח עומד להכניס למערכות שלו?

בדוח שפרסמה החודש גוגל מתואר מקרה שבו תוקפים חדרו לסביבת ענן, ולאחר מכן השתמשו בכלי AI כדי לתכנן ולהפעיל קמפיין לאיסוף פרטי גישה בתוך פחות משש שעות. זו דוגמה אחת, אבל היא ממחישה שינוי רחב יותר: חלקים מתהליך התקיפה, שבעבר דרשו זמן ועבודה ידנית, יכולים להתבצע היום מהר יותר ובקנה מידה גדול יותר.

בבדיקה שביצע מנוע ה-AI שלנו ב-Horilla CRM התגלתה חולשת אבטחה חמורה מסוג BOLA: משתמש מחובר יכול היה לגשת לנתונים של חברות אחרות המשתמשות במערכת, ובחלק מהמקרים גם לשנות אותם. המנוע זיהה שש נקודות גישה פגיעות. שתיים מהן אפשרו שינוי נתונים, וארבע אפשרו קריאה של מידע שלא אמור היה להיות נגיש לחברה אחרת.

החולשה תוקנה, אבל לא בבת אחת. התיקון הראשון סגר את שתי נקודות הגישה שאפשרו שינוי נתונים. בבדיקת אימות שביצע מנוע ה-AI לאחר התיקון התברר שארבע נקודות הקריאה נותרו חשופות. בעקבות הממצא בוצע תיקון שני, וגם אותו בדק המנוע. רק לאחר סבב האימות הנוסף ניתן היה לקבוע שכל שש נקודות הגישה טופלו.

לא ידוע לנו על דליפת מידע שנגרמה מהחולשה הזאת. אבל אילו התהליך היה מסתיים אחרי התיקון הראשון, אפשר היה לדווח שהבעיה טופלה בזמן שחלק מנתיבי החשיפה עדיין פתוחים. זה ההבדל בין לסמן שחולשה ״תוקנה״ לבין לבדוק שהתיקון עובד, ובמקרה הזה, שתי בדיקות האימות בוצעו באמצעות מנוע ה-AI, ללא בדיקה ידנית.

אף מנכ״ל לא היה מציג למשקיע את יתרת הבנק של החברה מחודש ינואר כתשובה לשאלה כמה כסף יש לה בספטמבר. אחרי הכנסות והוצאות עוקבים באופן שוטף, משום שהן משתנות. גם חברה דיגיטלית משתנה כל הזמן: אנשים, הרשאות, גרסאות, ספקים ומערכות ענן. ובכל זאת, כששואלים אותה על אבטחה, היא עלולה לשלוף מסמך שמספר איך נראתה לפני חודשים.

עבור חברות טכנולוגיה ישראליות שמוכרות לתאגידים בעולם, זו אינה רק בעיה של צוות הסייבר. לקוח גדול עשוי להפקיד בידי הספק גישה למידע ולמערכות שעליהן נשענת הפעילות שלו. אם שינוי קטן אצל הספק יוצר חשיפה, גם הלקוח נושא בסיכון. לכן היכולת לזהות את השינוי ולטפל בו במהירות היא חלק מהאמון שעליו העסקה בנויה.

השאלה שמנכ״לים צריכים לשאול אינה רק ״מתי עברנו מבדק?״ אלא ״מה השתנה מאז?״ מי קיבל גישה חדשה? איזו מערכת נחשפה? כמה זמן עבר עד שמישהו הבחין בכך, ומי וידא שהבעיה טופלה?

כלי ה-AI יכול לעזור גם לצד המגן לענות מהר יותר על השאלות האלה. אבל הכלי עצמו אינו העיקר. חברה צריכה לדעת מי אחראי לזהות חשיפות חדשות, מה מחייב טיפול מיידי ומתי בעיה מגיעה לשולחן ההנהלה. מבדק חדירה אינו תעודת ביטוח עד למבדק הבא. הוא נקודת פתיחה. בעולם שבו תוקף יכול להתקדם בתוך שעות, חברה שממשיכה להציג ללקוח רק את מה שנבדק לפני חודשים משאירה ללא תשובה את השאלה החשובה ביותר: מה מצבנו עכשיו?

משה לוי הוא מייסד שותף ו-CTO בחברת LevinityCyber