בעידן המוגדר על ידי עליית הבינה המלאכותית, זיופים עמוקים וצורות אחרות של הונאה דיגיטלית נגישות בקלות, לפושעי סייבר יש גישה גוברת לכלים שיכולים להגביר את הונאות המתקדמות יותר.
בעוד שבעבר הודעות דוא"ל של פישינג היו מלאות בשגיאות הקלדה וחוזרות על עצמן, כיום הן מתחפשות מאחורי כלים לגיטימיים, לוגואים וטקסט משכנע.
הם הופכים לשיטת מתקפת הסייבר המועדפת על יותר מסתם נוכלים צמאי כסף, עם טענות על עושר כוזב – כעת, קבוצות ריגול בחסות המדינה מסתמכות על הונאות פישינג כדי לחדור לממשלות ולארגונים אחרים בעלי חשיבות לאומית.
קבוצות איום מתמשך מתקדם (APT) אלו אינן מחפשות כסף, אלא, כפי שמרמז השם, גישה ארוכת טווח לסודות מדינה. התוצאה הרצויה של מסעות ההסתננות שלהן היא בעיקר גישה למודיעין אסטרטגי חשוב והיכולת לשבש מאוחר יותר את יריביהן מבפנים.
והכל מתחיל בקשר שנראה לא מזיק.
בוץ המים
פישינג המונע על ידי ריגול אינו תופעה נדירה. חוקרי Group-IB עוקבים באופן פעיל אחר קבוצות ריגול סייבר בחסות מדינה המשתמשות באופן קבוע בפישינג כשיטה לקבל גישה לסודות ממשלתיים של יריביהן.
קבוצות אלה משתמשות במטענים פרוצים המוסתרים בתקשורת כוזבת כדי לקבל גישה למערכות, שם הן מסתירות ושואבות מידע כל עוד הן יכולות.
שתי קבוצות APT כאלה נקראות MuddyWater ו-OilRig. בחודשים האחרונים, MuddyWater ניהלה קמפיין פישינג שפנה ליותר מ-100 ממשלות ומספר ארגונים בינלאומיים, במטרה לאסוף מודיעין גיאופוליטי ברחבי אזור המזרח התיכון וצפון אפריקה.
אימיילים עשויים להיראות כאיום תמים בהשוואה לפריצות מתקדמות או תוכנות כופר, אך פישינג נותר אחת הדרכים היעילות ביותר לגישה כפויה. הסיבה לכך היא שהוא מסתמך פחות על שבירת פרדיגמות אבטחה דיגיטליות מחמירות, ויותר על מניפולציה של התנהגות אנושית ואמון.
התקפות פישינג אלו הן שיטתיות – הן משתמשות במיילים ובמסמכים שנשמעים מקצועיים, שנראים כאילו מגיעים ממקורות לגיטימיים, כדי לספק את המטענים שלהן – כך שאפילו אנשי מקצוע מיומנים היטב עלולים להיות מרומים.
אל תאמינו למראה עיניכם…
לגיגיות משוערת היא סיבה מרכזית להצלחת מתקפות פישינג. קבוצות APT מנצלות את כל הדרכים שבהן אנשים מורדים את הערנות, כגון בקשות עבודה, הזמנות לאירועים, קישורים לסמינרים ובקשות שיתוף מסמכים. זהו משחק של אשליות.
תוקפים למדו שהדרך הבטוחה ביותר לעקוף הגנות – במיוחד במרחבים דרוכים אלה – היא להיראות אמיתיים ככל האפשר, כדי להבטיח שהגישה תינתן ללא מחשבה, ללא היסוס. יותר ויותר, משמעות הדבר היא שהם משתמשים בלוגואים מוכרים, ולפעמים אף פוגעים ביישומים או ספקי תוכנה לגיטימיים.
אימיילים יכולים להגיע מכתובות אמיתיות ומהימנות שזה עתה נפגעו, מבלי לתת שום אינדיקציה לתקיפה.
כאשר APTs מכוונים לספקי שירותים, הנזק יכול להיות נרחב. בשנת 2021, לדוגמה, חברת אבטחת סייבר אמריקאית גילתה שתוקף הצליח להוסיף שינוי זדוני למוצרי SolarWinds Orion.
שינוי זה אפשר להם לשלוח פקודות ברמת מנהל לכל התקנה מושפעת – וכ-18,000 ארגונים הורידו את העדכון הפגוע.
מתקפות פישינג כה מוצלחות בזכות מעטה האותנטיות שהן מסתתרות מאחוריו. וככל שהן הופכות קשות יותר ויותר לזיהוי, זה הופך כמעט בלתי אפשרי עבור הקורבנות לסמוך על עיניהם. כדי להישאר בטוחים, הגנה חזקה ורב-שכבתית היא קריטית – אבל הן חזקות רק כמו האנשים שמסתמכים עליהן.
שרשרת האספקה של התקפות
כמובן, אין פירוש הדבר שמערכות ממשלתיות אינן מוגנות ברמה גבוהה. למעשה, קבוצות ריגול סייבר בחסות המדינה מודעות היטב לקושי הטמון בפריצה למערכת ממשלתית.
אבל הם לא חייבים.
במקום זאת, הם פונים לשרשרת האספקה. כל ספק, קבלן וספק שירותים יכולים לספק נקודת כניסה.
חברות פרטיות המחוברות לסוכנויות ממשלתיות, לא משנה כמה רחוקות הן, יכולות להוות דלת אחורית פוטנציאלית לניצול עבור קבוצות ריגול סייבר – האקרים משתמשים בעסקים אלה כאבן קפיצה לקבלת גישה למערכות ממשלתיות באמצעות התקפות פישינג מתקדמות.
באופן זה, המגזר הפרטי הופך יותר ויותר למשתתף מבלי משים במתקפות בחסות מדינה מצד יריבים. זה מעלה שאלה חיונית – האם חברות פרטיות יכולות לטעון בביטחון שהגנות הסייבר שלהן חזקות כמו החוליה החזקה ביותר בשרשרת האספקה שלהן?
אם לא, הם עצמם עלולים להפוך לחוליה החלשה המאפשרת ל-APT לפגוע במערכת כולה.
איך לשמור על בטיחות
כאשר מתמודדים עם יחידות דיור מוגנות בחסות המדינה, הגנה חזקה היא חיונית, כזו המשלבת אמצעים אקטיביים ופרואקטיביים לשמירה על הגנה מתמדת.
היגיינת סייבר, עדכון קבוע של תיקונים ועדכון טכניקות חדשות בהן משתמשים גורמי איום הם היסודות, אך ארגונים יכולים לעשות יותר כדי להגן מפני גורמים הקשורים למדינות על ידי יישום הדברים הבאים:
- חיזוק מודיעין וניטור איומים: ביצוע ציד איומים מתמשך, והרשמה לעדכוני מודיעין איומים מהימנים לקבלת מידע על אינדיקטורים לפשרה (IOC) וטקטיקות, טכניקות ונהלים (TTPs) העדכניים ביותר.
- שיפור ההגנה מפני דוא"ל ופישינג: ערכו סימולציות סדירות כדי לעזור לצוות להיות מוכן ומודע, ופרסו סריקת sandbox וסריקת קבצים מצורפים.
- יישום בקרות גישה ונקודת קצה: אכיפת MFA בכל החשבונות כדי למנוע גישה לא מורשית לתיבות דואר.
- חיזוק אבטחת הרשת והתשתית שלך: ניטור תעבורה יוצאת והגבלת השימוש בכלי ניטור וניהול מרחוק.
- שמירה על עדכונים: סקירה תקופתית של מידע על TTPs, והבטחה שפתרונות ומערכות אבטחה מעודכנים.
- בניית הגנה אסטרטגית ארוכת טווח: אכיפת עקרונות של מינימום הרשאות עבור כל המערכות הקריטיות, פריסת זיהוי אנומליות מבוסס התנהגות עבור חשבונות והודעות דוא"ל, ובחינה תקופתית של תגובת האירועים וספרי הפעולות למשברים.
הישארו ערניים, הישארו בטוחים
ככל שמתחים גיאופוליטיים גוברים ברחבי העולם, לגיטימציה לכאורה אינה עוד סמן אמין לבטיחות דיגיטלית. תוקפים מסתמכים יותר ויותר על מניפולציה של אמון אנושי – זיהוי של לוגו, שם או ספק – כדי להבריח מטענים שנפגעו למערכות מאובטחות. לכן, בטיחות חייבת להתחיל בחינוך.
איתור תוכנות הריגול יהפוך לקשה יותר ככל שפושעי הסייבר יתפתחו. כעת, אבטחת שרשרת האספקה מפני קבוצות ריגול בחסות המדינה פירושה להבטיח שלכל חוליה בתוכה תהיה אותה רמת הגנה, ואותה מודעות לכך שכיום, מה שאתה רואה אינו תמיד מה שאתה יכול להאמין.