מתקפת סייבר על מקרר? הנזק עלול להיות פיזי

ב-2 בנובמבר פרסם מערך הסייבר הלאומי אזהרה דחופה לרשתות השיווק, לחברות המזון ולמרכזים הלוגיסטיים, בעקבות גל מתקפות באירופה שבו נפגעו מערכות קירור והקפאה. התוקפים ניצלו חולשות בבקרים המחוברים לאינטרנט, שינו הגדרות טמפרטורה והפעילו מערכות הפשרה. בניגוד למתקפות כופרה מוכרות, המוקד באירועים אלה לא היה הצפנת קבצים או גניבת מידע, אלא פגיעה בתהליך פיזי.

המקרים הללו, שעליהם דווח בהרחבה באנשים ומחשבים, מדגישים את הסיכון שבמתקפות על מערכות OT (Operational Technology), כלומר טכנולוגיה תפעולית. אלו מערכות חומרה ותוכנה השולטות בתהליכים פיזיים, בציוד תעשייתי ובתשתיות חיוניות. בניגוד למתקפה על מערכות מידע ארגוניות, תקיפה של מערכת תפעולית עלולה לגרום להשבתת קווי ייצור, לנזק סביבתי ואף לסיכון חיי אדם.

ההנחיות שפרסם מערך הסייבר הלאומי נכונות וחיוניות: לוודא שהבקרים אינם חשופים לאינטרנט, להחליף סיסמאות ברירת מחדל, לעדכן מערכות, להפעיל אימות רב-שלבי ולהתקין התראות עצמאיות. אבל זהו רק קו ההגנה הראשון, משום שהוא עונה בעיקר על השאלה כיצד מונעים חדירה למערכת. השאלה המורכבת לא פחות היא מה עושים כאשר תוקף בכל זאת מצליח להיכנס.

איום ותיק שחזר לכותרות

האיום על מערכות תפעוליות אינו חדש. כבר בפברואר 2019 איתרו חוקרים ישראלים בקרי קירור חשופים לאינטרנט, לרבות בישראל, שאליהם ניתן היה לגשת באמצעות סיסמאות ברירת מחדל. במערכות כאלה, שינוי של הגדרות תפעוליות עלול להתבצע בקלות יחסית אם לא הוגדרו אמצעי הגנה מתאימים.

באפריל 2023 נפגעו מערכות בקרה בכמה חוות בעמק הירדן ובתשתיות מים בצפון הארץ. לפי הדיווחים מאותה תקופה, בחלק מהמקרים היו מערכות הבקרה חשופות לאינטרנט, ונעשה שימוש באמצעי גישה שלא אובטחו כראוי. בחוות שנפגעו נדרשו העובדים לעבור להשקיה ידנית. בנובמבר אותה שנה השתלטו תוקפים המזוהים עם איראן על בקר מתוצרת חברה ישראלית במתקן מים בפנסילבניה שבארצות הברית. גם האירוע הזה המחיש כיצד מערכת תפעולית המחוברת לרשת עלולה להפוך ליעד לתקיפה, אפילו כאשר היא חלק מתשתית שנראית מקומית ומוגבלת.

כבר בדוח משנת 2022 הזהיר מבקר המדינה, בהסתמך על מסמכי רשות המים, מפני החמרה באיומי הסייבר על משק המים הישראלי. האירועים שהתרחשו מאז מדגישים את החשיבות של אבטחת מערכות הבקרה, ולא רק של מערכות המידע הארגוניות. הבעיה היא גם מבנית. ציוד תפעולי מתוכנן לעיתים לפעול במשך 15 עד 20 שנה, וביצוע עדכונים עלול להצריך השבתת מערכות חיוניות. במרכז לוגיסטי, למשל, השבתת בקר קירור לצורך עדכון עלולה לפגוע בפעילות השוטפת, ולכן ארגונים נוטים לדחות פעולות תחזוקה.

לכך מצטרפת הגישה המרוחקת של ספקי תחזוקה חיצוניים. חיבור כזה מאפשר ניטור ותיקון תקלות בלי להגיע פיזית לאתר, אך בהיעדר הגנות מתאימות הוא עלול לשמש גם נקודת כניסה לתוקפים. כפי שהמחישו המתקפות על מערכות הקירור בצרפת, מערכות ישנות המחוברות לרשת עלולות להפוך לפגיעות במיוחד.

מה צריך להוסיף להגנות הקיימות?

הצעד הראשון הוא הקמת מערכת התראה עצמאית, שאינה תלויה בבקר שעליו היא מפקחת. באחד המקרים שעליהם דווח בשטוקהולם חלפו שלוש שעות וחצי מרגע התקיפה ועד לגילויה. כאשר ההתראה עצמה מועברת דרך בקר שנפרץ, תוקף שהשתלט עליו עלול לשנות גם את ספי ההתראה ולמנוע את העברת האזהרה. לכן נדרשים חיישנים ואמצעי רישום עצמאיים, המשדרים בערוץ תקשורת נפרד ממערכת הבקרה. יש לנטר גם שינויי תצורה חריגים, כגון העלאת טמפרטורת היעד, שינוי מועדי ההפשרה או מתן פקודות ניהול בשעות לא שגרתיות.

הצעד השני הוא בקרה הדוקה על הגישה של ספקים חיצוניים. כל טכנאי צריך להשתמש בחשבון אישי, עם אימות רב-שלבי והרשאות הניתנות לזמן מוגבל בלבד. רצוי לתעד את החיבורים ולבחון את הפעולות שבוצעו במסגרתם. את הדרישות האלה יש לעגן גם בהתקשרויות החוזיות עם ספקי השירות, לרבות חובות דיווח על אירועים וביצוע בדיקות אבטחה תקופתיות. האחריות להגנת המערכת אינה מסתיימת כאשר הארגון מעביר את התחזוקה לספק חיצוני.

הצעד השלישי הוא קיום תרגילים משותפים לאנשי הסייבר ולמנהלי התפעול והלוגיסטיקה. תרגיל כזה צריך לדמות, למשל, תקיפה המתרחשת בלילה ופוגעת במקביל במערכות הקירור של כמה מרכזים לוגיסטיים. הוא חייב לבחון לא רק את התגובה הטכנולוגית, אלא גם את ההחלטות התפעוליות שיידרשו בעקבות האירוע. מי מקבל את ההתראה הראשונה? מי מחליט מתי לעבור להפעלה ידנית, ולפי אילו קריטריונים פוסלים סחורה שאוחסנה בטמפרטורה לא מתאימה? מי אחראי לספק פתרונות קירור חלופיים, ומי מרכז את הטיפול באירוע מבחינת אבטחת המידע?

אלו שאלות שחשוב לענות עליהן לפני שמתרחשת תקיפה, ולא תוך כדי משבר. תרגול משותף מאפשר לארגון לזהות מראש פערים בין צוותי הטכנולוגיה, האבטחה והתפעול, וליצור שיטת עבודה שתאפשר להגיב במהירות גם בתנאים של אי-ודאות.

לא לחכות למקרר המחומם הבא

מודיעין סייבר מוקדם יכול להוסיף שכבת הגנה חשובה. בין גל התקיפות בצרפת לבין הגל השני באירופה חלפו כשלושה שבועות, פרק זמן שארגון ערני יכול לנצל כדי לבדוק את חשיפת מערכותיו, לעדכן נהלים ולתרגל את תגובתו.

כדאי לעקוב אחר התרעות מערך הסייבר הלאומי, דיווחי יצרני הבקרים ומידע על מתקפות דומות במדינות אחרות. במערכות המתאימות ניתן לשלב גם הגנות פיזיות, כגון מפסק המזהה טמפרטורה גבוהה באופן חריג בגופי ההפשרה, אם כי הוא לא בהכרח יזהה שינוי מתון והדרגתי בטמפרטורה.

אפשר וצריך להתאים את שכבות ההגנה למערכות ולסיכונים של כל ארגון. אולם מי שיבחר להמתין לתקיפה הבאה כדי לברר כמה זמן דרוש לו לזהות את האירוע, עלול לגלות את התשובה בחמש וחצי בבוקר, מול מקרר מחומם.

אסף חזן הוא סמנכ"ל הטכנולוגיות של קספרסקי ישראל