סייברארק מפרסמת את המגמות שיבלטו בשנה הקרובה: ממתקפות רחבות במודל הנדסה חברתית למודל פרסונלי ממוקד, דיפ-פייק כנגד ארגונים, וגם: עובדים שעלולים להתפתות ולשתף עם האקרים את פרטי הגישה שלהם
קשה להביט קדימה אל שנת 2021 מבלי להביא בחשבון את המגמות שעיצבו את שנת 2020, אשר זכתה לכינוי #2020. בספרי ההיסטוריה 2020 תיזכר בעיקר בשל שני ארועים משמעותיים: מגפת הקורונה והבחירות לנשיאות ארה”ב. מנקודת מבט עסקית, המגפה חוללה שינוי כמעט בכל היבט ארגוני תפעולי. החל ממעבר מהיר לעבודה מרחוק ועד חשיבה מחדש של האינטראקציות עם הלקוחות, עולם העסקים השתנה ללא הכר.
שינויים אלה גרמו גם להאצה דרמטית ביוזמות דיגיטליות במגוון ענפים. חברות רבות דחסו מה שהרגיש כמו חמש שנות טרנספורמציה לחמישה חודשים, תוך שהן מאמצות במהירות טכנולוגיות שיסייעו לפרודוקטיביות ולרציפות העסקית. בין אם מדובר בכלים שיתופיים חדשים או בהעתקת תשתיות קריטיות ויישומים לענן, הכול נהיה מבוזר יותר, וכתוצאה מכך, גדלו מאוד ההזדמנויות לתוקפים.
כיצד תשפיע התלכדות זו של כוחות ואירועים שאיש לא העלה על דעתו על אבטחת הסייבר ב-12 החודשים הבאים? אלה התשובות של כמה ממומחי חברת סייברארק:
איי אבטחה אישיים משנים את הלך המחשבה של התוקפים
ככל שעוד חברות בוחנות אסטרטגיות עבודה מרחוק לטווח ארוך, ימשיכו סביבות המחשוב המבוזרות להתרחב. כעת, כשעובדים רבים עובדים מהבית, הם נכנסים למערכות ולמשאבי החברה באמצעות רשתות ביתיות והתקנים אישיים שאינם מאובטחים. עובדה זאת הופכת כל אחד מהמשתמשים לאי בפני עצמו שבו אמצעי האבטחה של החברה אינם אפקטיביים. לפיכך פעולות אישיות של כל אינדיבידואל מאיימות על האבטחה התאגידית במידה רבה יותר מאי פעם.
“איי האבטחה” האלה הם הסיבה שאנו רואים את מחזור המתקפה משתנה ממתקפות רחבות במודל ההנדסה החברתית של “רסס והתפלל” (Spray and pray) למודל אישי וממוקד מאוד המופנה למשתמשים המחזיקים בגישה פריבילגית למערכות, נתונים ותשתיות רגישים. בעוד שתוקפים בדרך כלל מסתמכים על תנועה רוחבית תוך ניסיון להשיג דריסת רגל ואז לשפר את הגישה ולנוע לרוחב הרשת עד להגעה ליעד הרצוי, איי האבטחה האישיים שנוצרו בעקבות המעבר לעבודה מהבית מגבילים את התוקף לרמת הגישה הספציפית שהוענקה למשתמש המסוים. התוצאה היא מעבר לתנועה אנכית כאשר התוקפים מכוונים למשתמשים אישיים כגון משתמשים עסקיים, בהתאם למשאבים שאליהם יש להם גישה – בין אם לקונסולות אדמיניסטרטיביות ורשומות פיננסיות או לנתונים תחרותיים.
למרות שגישת “שרשרת המתקפה הפרסונלית” תצרוך יותר זמן וכסף מהתוקפים כיוון שהם יצטרכו לזהות ולאפיין פרופיל של האדם המדויק שהם מחפשים, היא תוביל למחזורי מתקפה קצרים יותר. באופן כזה, יהיה קשה יותר לארגונים לזהות ולעצור מתקפות לפני שהן משפיעות על העסק.
-שי נהרי, מנהל שירותי Red Team בסייברארק
הדיפ-פייק (Deepfake) מתחיל להופיע במתקפות ארגוניות
האם אפשר להפריז בחשיבותו של איום מסוג חדש? מסתבר שכן ויש לזה גם שם – דיפ-פייק, מונח שלמרות שמשתמשים בו יותר מדי, ממחיש כיצד תוקפים ממשיכים לעשות “התאמה פרסונלית” של מתקפות.
במלים פשוטות, deepfake היא מדיה סינתטית או כזאת שעברה מניפולציה כך שסרטון או תמונה של אדם מוחלפים באלה הנראים ונשמעים כמו אדם אחר. המושג של דיפ-פייק מככב בדיונים תרבותיים ומתואר כאיום העלול להשפיע על דעת הקהל, להזיק למוניטין ועוד. התקפות דיפ-פייק מהסוג הזה מגיעות לכותרות לעתים קרובות למרות שמבחינת אפקטיביות הן מתבררות לא אחת כחסרות שיניים.
ואולם ככל שנמשכת מגמת המתקפות האישיות, אנו צופים שימוש בדיפ-פייק גם כנגד ארגונים, לא בהכרח כדי לזרוע פניקה ובלבול אלא כאמצעי המגביר את השפעת מתקפות ההנדסה החברתית.
סרטונים והקלטות של מנהלים בכירים ומנהיגים עסקיים זמינים כיום כאמצעי שיווק, בערוצי מדיה חברתית ועוד. התוקפים מסוגלים לייצר דיפ-פייק ע”י שימוש במדיה הפומבית הזו כהמשך אסטרטגי של ניסיונות פישינג (אשר גם הם עוברים מהמייל לפלטפורמות אחרות כמו צ’אטים ואפליקציות שיתופיות) כדי שהעברת המסרים תיראה עוד יותר אותנטית בעקבות המניפולציה שנעשתה בה. בעידן של ימינו במיוחד, שבו יותר ויותר ארגונים מסתמכים על וידיאו כאמצעי תקשורת בין מנהלים לעובדיהם, תוקפים עלולים לנצל לרעה את תחושת האמון שהסרטונים יוצרים.
לדוגמה, השימוש בהודעות מייל המגיעות לכאורה ממחלקת המחשוב של החברה ומבקשות מהמשתמש למסור סיסמאות הוא שכיח. אבל מה לגבי הודעת ווטסאפ דחופה מהמנכ”ל? התוקפים יכולים גם להשתמש בסרטונים שעברו מניפולציה של מנהיגים בכירים בערוצים החברתיים כדי למשוך לקוחות, עובדים, שותפים ועוד להקליק על לינקים מסוכנים. בכך, הם יוצרים מסלולי תקיפה חדשים עבור השחקנים הזדוניים.
-ניר צ’קו, ראש צוות מחקר במעבדות סייברארק.
ה-5G מוביל למתקפת מניעת שירות מבוזרת (DDoS) הגדולה ביותר עד היום
כבר התחלנו לראות כיצד אימוץ טכנולוגיות כגון G5, IoT והענן פותחים אופקים חדשים לארגונים, מגמה שצפויה להמשיך ב-2021. ה-G5 במיוחד, למרות שהוא מאפשר לעסקים להאיץ את הטרנספורמציה הדיגיטלית וליצור חוויות דינמיות עבור הלקוחות, מרחיב גם את שטח ההתקפה באופן אקספוננציאלי ככל שגדל מספר ההתקנים המחוברים. כתוצאה מכך, ארגונים נחשפים לסיכונים חדשים.
גוגל חשפה לאחרונה כי ב-2017 נפגעה ממתקפת DDoS בקצב של 2.5 Tbps. זוהי המתקפה הגדולה ביותר שתועדה אי פעם, גדולה יותר אפילו ממתקפת 2.3 Tbps על אמזון ב-2018. לשם השוואה, מתקפות אלו גדולות פי ארבעה ממתקפת Mirai Botnet ב-2016 אשר פגעה ביותר מ-600 אלף התקנים ונקודות קצה של האינטרנט של הדברים.
מתקפות עצומות אלו צפויות להחוויר אל מול מתקפות שלילת השירות המסיביות והתכופות יותר שיתאפשרו ככל שפריסת ה-G5 תתרחב. ה-G5 יגדיל את רוחב הפס הזמין ויאפשר את חיבורם של מספר עצום של התקני IoT. מאחר ועדיין אין תקן אבטחה ל-IoT, התקנים אלה מהווים מטרות קלות לפגיעה והשתלטות על-ידי צבאות בוטנט.
לפיכך, אנו צופים שבשנה הבאה נהיה עדים למתקפת DDoS הראשונה של 5Tbps בשעה שמתקפות כגון אלו שעברו גוגל ואמזון ייעשו שכיחות יותר כשהן גורמות שיבושים נרחבים בעסקים מקוונים ומחוברים.
-בריאן מרפי, מנהל שירותי הייעוץ, סייברארק
לחצים מהמגפה שוברים גורמי פנים בארגון ומובילים לקבלת החלטות גרועה
מגפת הקורונה יצרה לחצים עצומים על עובדים ומשפחותיהם. אי הוודאות הכלכלית והמעבר לעבודה או לימודים מרחוק הכניסו רבים למציאות בלתי מוכרת. ההתמודדות החדשה דוחפת יותר עובדים להחלטות גרועות בכל הקשור לאבטחת סייבר ויוצרת גל חדש של תוקפים מתוך הארגון.
כפי שכבר ראינו ב-2020, תוקפים מציעים לעובדים בארגון בעלי גישה פריבילגית תמריצים כספיים מפתים לשתף או להדליף “בשוגג” את הרשאות הגישה שלהם. בנוסף, גישה פריבילגית לדארק ווב (dark web) פופולרית היום יותר מתמיד. חלק מהדו”חות מציינים שהתוקפים מוכנים לשלם יותר עבור גישה פריבילגית לרשתות תאגידיות, VPNs ותחנות עבודה. התמורה הכספית הפוטנציאלית, בשילוב עם חרדה כלכלית מוגברת, מובילות לאיומים חדשים שארגונים נדרשים להתמודד עמם.
-דיוויד היגינס, דירקטור טכני, אירופה, אפריקה ומזה”ת בסייברארק
ניר צ’קו, ראש צוות מחקר במעבדות סייברארק (צילום יח”צ).
