השעה שמונה בבוקר, יום שלישי רגיל לגמרי. מנהלת המשרד מגיעה ראשונה, מדליקה את המחשב, ובמקום מסך העבודה המוכר מופיעה הודעה באנגלית: כל הקבצים שלכם הוצפנו. כדי לקבל אותם בחזרה, שלחו תשלום בביטקוין. בהתחלה היא חושבת שזו בדיחה. אחרי חמש דקות, כשמתברר שגם מערכת ההזמנות וגם קבצי הלקוחות נעולים, מתחילה הבהלה. זה לא תרחיש מהסרטים, זה יום עבודה אמיתי של עסקים ישראליים, וזה קורה הרבה יותר ממה שמדווח. רצינו לקחת אתכם דרך מה שבאמת מתרחש כשעסק נפרץ, כי דווקא ההבנה הזו היא מה שגורם לאנשים להפסיק לדחות את נושא ההגנה.
בשעות הראשונות אחרי גילוי המתקפה, שוררת תחושה של חוסר אונים. אף אחד לא יודע כמה מידע נגנב, האם הוא כבר בדרך למכירה ברשת האפלה, ומתי, אם בכלל, אפשר יהיה לחזור לעבוד. הטלפונים מתחילים לצלצל, לקוחות שואלים למה ההזמנה שלהם לא יצאה, והעסק משותק. מה שכואב במיוחד הוא שברוב המקרים שאנחנו מכירים, המתקפה הזו הייתה נמנעת לחלוטין. לא בזכות טכנולוגיה יקרה ומסובכת, אלא בזכות כמה צעדים בסיסיים שפשוט לא נעשו בזמן.
למה דווקא עסקים קטנים ובינוניים הם המטרה המועדפת?
יש אמונה רווחת שתוקפי סייבר מחפשים רק את הדגים הגדולים, בנקים, חברות ביטוח, תאגידי ענק. המציאות הפוכה. דווקא העסק הקטן והבינוני הוא הפרי הבשל ביותר עבור התוקפים, ומסיבה פשוטה: הוא מחזיק מידע בעל ערך, לקוחות, כרטיסי אשראי, פרטים אישיים, אבל כמעט תמיד מגן עליו הרבה פחות טוב מחברה גדולה. תוקף שמחפש להרוויח מהר לא ישקיע חודשים בפריצה לתאגיד מבוצר, כשהוא יכול לפרוץ לעשרה עסקים קטנים באותו זמן. אנחנו רואים את זה בשטח שוב ושוב, ולכן המשפט 'אנחנו קטנים מדי בשביל שיתעניינו בנו' הוא אחת האמונות המסוכנות ביותר שבעל עסק יכול להחזיק בה.
חשבו על זה כמו על גנב שמחפש בית לפרוץ אליו. הוא לא בהכרח יבחר בווילה עם המצלמות והשומרים, אלא דווקא בדירה עם הדלת הפתוחה. בעולם הדיגיטלי, 'דלת פתוחה' יכולה להיות סיסמה חלשה, תוכנה שלא עודכנה, או עובד אחד שלא יודע לזהות מייל מתחזה. התוקפים סורקים את הרשת אוטומטית ומחפשים בדיוק את הדלתות הפתוחות האלה.
איך זה קורה בפועל: שרשרת האירועים שמובילה לאסון
רוב המתקפות לא מתחילות בפריצה דרמטית, אלא בטעות אנוש קטנה. הכל מתחיל לרוב במייל תמים למראה, אולי חשבונית מספק מוכר, אולי הודעה מחברת המשלוחים, שמכיל קישור או קובץ. עובד לוחץ, ובלי לדעת מוריד תוכנה זדונית למחשב. משם, התוקף מתחיל לנוע בשקט ברשת הפנימית, אוסף סיסמאות, ממפה את המערכות, ומחכה לרגע הנכון. לפעמים הוא יושב בתוך הרשת שבועות שלמים בלי שאף אחד מבחין בו. ואז, ברגע שהוא מוודא שאין גיבוי תקין שיכול להציל את העסק, הוא מפעיל את המתקפה, מצפין הכל, וגונב עותק של המידע לפני כן כדי שיוכל לסחוט פעמיים.
ההבנה של השרשרת הזו היא קריטית, כי היא מלמדת אותנו איפה אפשר לעצור אותה. כל חוליה בשרשרת היא הזדמנות למניעה: הדרכת העובד שלא ילחץ על הקישור, מערכת שתזהה את התוכנה הזדונית, הרשאות שימנעו מהתוקף לנוע חופשי, וגיבוי מנותק שיהפוך את הסחיטה לחסרת טעם. אבטחה טובה היא לא חומה אחת גבוהה, אלא שורה של מכשולים שכל אחד מהם מקשה על התוקף ומגדיל את הסיכוי שהוא פשוט יוותר וילך לחפש קורבן קל יותר.
וכשזה כבר קרה, מתחילות גם הבעיות המשפטיות
הנזק ממתקפת סייבר לא נגמר בהשבתה ובשחזור. ברגע שמידע אישי של לקוחות דלף, העסק נכנס גם לזירה משפטית ורגולטורית. בישראל, החובות בתחום התהדקו מאוד בשנים האחרונות, ועסק שחווה דליפה מחויב כיום בשורה של פעולות דיווח והתמודדות. מי שרוצה להבין לעומק את המשמעות של אירוע כזה מבחינת החוק יכול לקרוא על תיקון 13 לחוק הגנת הפרטיות, שמגדיר את חובות הארגון ואת סמכויות האכיפה של הרשות. השורה התחתונה היא שדליפת מידע כבר לא נשארת בתוך העסק, היא הופכת לאירוע שיש לו מחיר משפטי, כספי ותדמיתי, ולכן ההיערכות המוקדמת חשובה כפליים.
ההגנה הטובה ביותר נבנית בזמן שקט
הדבר החשוב ביותר שאנחנו יכולים להגיד הוא זה: את ההגנה בונים לפני, לא אחרי. כשעסק כבר נפרץ, האפשרויות מצומצמות ויקרות. אבל בזמן שקט, לפני שקרה משהו, אפשר לבנות מערך הגנה יעיל בעלות סבירה לחלוטין. זה מתחיל בדברים הפשוטים, גיבוי אוטומטי שמנותק מהרשת כך שגם אם הכל יוצפן, יש עותק נקי לחזור אליו. זה ממשיך בהגדרת סיסמאות חזקות ואימות דו-שלבי, שחוסמים את רוב הפריצות הפשוטות. וזה נשען, יותר מכל, על העובדים, כי האדם הוא גם החוליה החלשה ביותר וגם קו ההגנה הראשון. עובד שיודע לזהות מייל חשוד שווה יותר מכל תוכנת הגנה.
מעבר לצעדים הבסיסיים, יש ערך עצום בליווי מקצועי שיודע להתאים את ההגנה בדיוק לעסק שלכם. כל עסק שונה, ומה שמתאים למשרד עורכי דין קטן שונה ממה שצריך חנות אונליין עם אלפי לקוחות. עבודה מול חברת סייבר המתמחה בשירותי אבטחת מידע לעסקים מאפשרת לקבל תמונת מצב אמיתית של הסיכונים, לזהות את החורים לפני שהתוקפים מוצאים אותם, ולבנות מערך הגנה שמתאים לתקציב ולאופי הפעילות. יועץ טוב לא מוכר לכם את המוצר היקר ביותר, אלא בונה לכם את ההגנה הנכונה ביותר.
אם יש דבר אחד שהיינו רוצים שכל בעל עסק ייקח מהמאמר הזה, הוא זה: אבטחת מידע היא לא הוצאה טכנית שאפשר לדחות, היא חלק מהאחריות הבסיסית של ניהול עסק בעידן הדיגיטלי. אנחנו לא מבטחים את הרכב שלנו כי אנחנו מתכננים לעשות תאונה, אלא כי אנחנו יודעים שהיא עלולה לקרות. אותו היגיון בדיוק חל על ההגנה הדיגיטלית. עסק שמשקיע בהגנה לא מבזבז כסף, הוא קונה לעצמו שקט נפשי, רציפות עסקית, ואת האמון של הלקוחות שלו, שסומכים עליו שישמור על המידע שמסרו לו.
ונחזור לרגע למנהלת המשרד מתחילת הסיפור. הבדל אחד היה יכול לשנות את כל היום ההוא, גיבוי מנותק ועדכני. אם היה כזה, היא הייתה יכולה למחוק את המחשב הנגוע, לשחזר את הכל מהעותק הנקי, ולחזור לעבוד תוך שעות במקום ימים, בלי לשלם שקל לתוקפים. זו כל ההגנה בקליפת אגוז: לא להיות בלתי חדירים, כי אף אחד לא באמת בלתי חדיר, אלא להיות מוכנים מספיק כדי שמתקפה תהיה מטרד שמתאוששים ממנו מהר, ולא אסון שמפיל את העסק. ההיערכות הזו זמינה לכל עסק, בכל גודל, וכל מה שצריך זה להחליט להתחיל בה עוד היום, בזמן השקט, לפני שהטלפון מצלצל.