ראיון עבודה אחד, קובץ זדוני אחד – ושישה מיליארד דולר שנעלמו

דמיינו שאתם מהנדסי תוכנה בחברה טכנולוגית גדולה. פונה אליכם מגייס מטעם חברה אחרת ומציע לכם הזדמנות מקצועית מעניינת. מתקיים ראיון וידיאו, אתם פוגשים אנשים שמציגים את עצמם כמנהלים בחברה, ובהמשך מקבלים מטלת תכנות כחלק מתהליך המיון. הכול נראה לגיטימי. אלא שמאחורי תהליך הגיוס עומדים תוקפים, ומטלת התכנות נועדה להחדיר נוזקה למחשב שלכם.

זהו התרחיש שתואר בדיווחים על מתקפת הענק נגד בורסת הקריפטו בינאנס, שאירעה לפני ימים אחדים, ובמסגרתה נגנבו נכסים בשווי של יותר משישה מיליארד דולר.

המתקפה החלה הרבה לפני הגניבה

לפי הדיווחים על חקירת האירוע, התוקפים הפעילו מערך ממושך של הנדסה חברתית נגד מהנדסי תוכנה. הם התחזו לגורמים לגיטימיים, יצרו קשרים מקצועיים, ניהלו ראיון עבודה מזויף וביססו אמון בהדרגה. אחד המהנדסים התבקש להוריד מטלת תכנות למחשב שלו. לפי הדיווחים, היא כללה רכיב זדוני שנועד לאפשר לתוקפים להשתלט על סביבת העבודה שלו. במקביל דווח על מהנדס נוסף שהתקין כלי תוכנה שנחזה ללגיטימי, אך הכיל רכיב זדוני.

לאחר השגת הגישה הראשונית, התוקפים התקדמו בתוך הסביבה הארגונית, ניצלו הרשאות וכלים פנימיים, והגיעו למערכות רגישות שקשורות לניהול נכסי הקריפטו.

הגניבה עצמה הייתה השלב האחרון בשרשרת תקיפה שהוכנה לאורך זמן.

ההנדסה החברתית הצליחה – האם גם הנוזקה הייתה חייבת להצליח?

אז מה היו לנו כאן? התוקפים השקיעו מאמץ רב כדי לשכנע מהנדס מוכשר ומנוסה לבצע פעולה שנראתה לו סבירה לחלוטין. הם לא היו צריכים לשכנע אותו להתעלם מאזהרת אבטחה מפורשת. הם יצרו מציאות שבה הורדת הקובץ הייתה חלק טבעי מתהליך מקצועי.

ההנדסה החברתית יצרה אמון אנושי וההאקרים ניצלו את האמון, באמצעות הקובץ הזדוני, הזה כדי לנסות להשיג גישה למערכות של בינאנס.

אפשר להכשיר עובדים לזהות ניסיונות הונאה, אבל אי אפשר לצפות מהם לזהות כל התחזות מתוחכמת. ניתן לשפר מנגנוני זיהוי, אבל אי אפשר להבטיח שיזהו כל איום חדש. לכן, לצד ההגנות הקיימות, ארגונים חייבים לצמצם את הסיכון הטמון בקובץ עצמו

במשך שנים נשענת אבטחת הקבצים במידה רבה על זיהוי איומים: אנטי וירוס, מנועי סריקה, ניתוח התנהגות ומנגנוני זיהוי נוספים. אולם, כאשר מדובר בנוזקה חדשה או בניצול חולשת יום אפס, מנגנוני זיהוי עלולים להיכשל.

כאן נכנסת לתמונה גישה משלימה – אפס אמון בנתונים (Zero Trust for Data). במקום להניח שהקובץ בטוח, משום שהגיע ממקור שנראה אמין, יש להתייחס לתוכנו כבלתי מהימן ולנטרל רכיבים מסוכנים, ככל שהדבר אפשרי – לפני שהמשתמש נחשף אליהם.

טכנולוגיות נטרול ושחזור תוכן (Content Disarm and Reconstruction, או CDR), נועדו בדיוק למטרה הזאת: לפרק קבצים בפורמטים נתמכים, להסיר מהם רכיבים שעלולים לשמש לתקיפה ולבנות מחדש קובץ בטוח יותר לשימוש, ללא צורך בזיהוי מוקדם של נוזקה מסוימת.

הלקח: לא מספיק לזהות את האויב

פריצת הענק לבינאנס ממחישה כיצד מתקפה מתוחכמת יכולה להתחיל בפעולה יומיומית לחלוטין: הורדת קובץ שנשלח במסגרת אינטראקציה מקצועית.

אפשר להכשיר עובדים לזהות ניסיונות הונאה, אבל אי אפשר לצפות מהם לזהות כל התחזות מתוחכמת. ניתן לשפר מנגנוני זיהוי, אבל אי אפשר להבטיח שיזהו כל איום חדש. לכן, לצד ההגנות הקיימות, ארגונים חייבים לצמצם את הסיכון הטמון בקובץ עצמו.

כאשר קובץ אחד עלול לפתוח את הדלת למתקפה שעלולה לעלות לארגון מיליארדי דולרים, אסור לתת אמון בקובץ רק משום שמקורו נראה לגיטימי. זו המשמעות של אפס אמון בנתונים – אין קובץ שראוי לאמון אוטומטי.

הכותב הינו מנכ"ל אודיקס.