מה קורה מאחורי הקלעים של גניבת כתובות אימייל ופרטים אישיים?

מה קורה מאחורי הקלעים של גניבת כתובות אימייל ופרטים אישיים?
מאת גיל ששון, 28.11.16, 10:01

כשמדברים על הצפנת מיילים יש כמה רמות: הצפנת תוכן, הצפנה בתעבורה, ודרכי הצפנה בהן משתמשים גופים מדיניים וממשלתיים. הילארי קלינטון לדוגמא. האחריות הראשית היא של הארגונים והעסקים השולחים דוא"ל.

לא מכבר פרסם ה-Hacker News  כתבה המציגה מה קורה עם 200 מיליון כתובות האימייל, שנגנבו מיאהו. מסתבר, שבעולם ה- Dark Net (הרשת האפלה) ניתן לקנות את 200 מיליון חשבונות יאהו שנפרצו תמורת 3 ביטקוין (כ-2,200 דולרים לכל מכירה כזאת, נכון להיום עפ"י אתר Bitstamp).

מסד הנתונים, שנפרץ ונגנב, מכיל שמות משתמשים, סיסמאות ותאריכי לידה של 200 מיליון משתמשי יאהו, ואפילו את המיקוד של אלה מביניהם, שהם תושבי ארה"ב.

מחקר של חברת אקסנצ'ר, שפורסם לאחרונה גילה, שמגזר הבריאות חשוף גם כן לתקיפות סייבר, שיעלו לבתי חולים יותר מ-305 מיליארד דולרים במהלך 5 השנים הבאות, כשנתונים אישיים ורפואיים של 1 מתוך 13 מטופלים ייגנבו ע"י האקרים.

מקרים אלה ודומים להם, בהם מדובר בהיקפים וסכומים גבוהים, עלו לכותרות, אך לא תמיד אתם יודעים, שגנבו לכם מידע אישי שלכם, והנושא נשאר מאחורי הקלעים.

רוב המידע האישי נגנב מחברות, שאתם קונים מהן דרך הטלפון או בקנייה מקוונת, כמו תיאטראות, בתי קולנוע וגופים אחרים, שמאפיינת אותם רמת אבטחה אותה ניתן להגדיר כלא חזקה, ואפילו חלשה.

חשוב להבין, שכשאנחנו שומעים וקוראים על פריצות וגניבות זהויות, העניין לא נגמר בזה. יש הרבה  דברים לעשות עם המידע הזה, ומתחילה שרשרת עבריינית, שמגיעה עד ה-Dark Net, רשת האינטרנט האפלה, שרובנו אפילו לא מודעים לקיומה, בה גנבים מציעים למכירה את סחורתם. כלומר, המידע האישי של אנשים תמימים כמונו, תמורת כסף טוב (במקרה כאן זה כסף רע).

על מי מוטלת האחריות לכך? האחריות היא של הארגונים והעסקים השולחים אימיילים, כלומר הארגונים, שמתקשרים איתנו, אך גם הלקוחות אחראים וחייבים להיות בעלי מודעות ולנקוט אמצעי הגנה בסיסיים ואף מעבר לכך.

את המידע אפשר לגנוב בדרך במספר נקודות, והאקר חובבן יכול לעשות זאת עם כלים, שימצא ב-Dark Net ואפילו חיפוש פשוט בגוגל של  email hacking tools download יניב תוצאות מעניינות  והוא יקבל עמודים רבים של כלים, חלקם מוצעים חינם.

שמענו רבות על האימיילים של הילארי קלינטון, שנשלחו בלי הצפנה דרך רשת האימיילים הפרטיים שלה, מה שיתכן שעלה לה בתפקיד נשיאת ארה"ב.

אחד הכלים הבסיסיים והחשובים להגנה מגניבת זהויות ומידע הוא הצפנת אימיילים. כדי לאפשר לארגונים ועסקים לשלוט על מידע רגיש הנשלח על ידם, בין אם ע"י העובדים ובין אם ע"י מערכת, הם חייבים להעביר את המידע באופן מאובטח ומוצפן. לשם כך נדרשים כלים המצויים בשוק, שמבטיחים, שאימיילים והמידע בהם לא ייפלו לידיים זדוניות או למי שאינם מיועדים להם.

כשמדברים על הצפנת מיילים יש כמה רמות: הצפנת תוכן, הצפנה בתעבורה, ודרכי הצפנה בהן משתמשים גופים מדיניים וממשלתיים– לא של חברות פרטיות, בעלי מורכבות רבה מאוד ומתקדמות, שלהאקר רגיל כמעט אין יכולות לפצח אותן, ולשם כך צריך כלים ושירותים, שיש רק לגופים מדינתיים.

הצפנה כמו זו של הממשל האמריקאי, בה הייתה צריכה הילארי קלינטון להשתמש, כוללת כלי הזדהות הנמצאים בכל אחד מהצדדים -Tokens, או תוסף המותקן במחשב, שמאפשר לפתוח ההצפנה, ובדרך כלל מותקן פיזית במחשב ע"י גורם מוסמך.

נעשה שימוש בפרוטוקולי תקשורת שונים מאלה הסטנדרטיים, השרת מקודד ומעביר את הנתונים לשרת בדרך. כך, שאם מישהו ישתלט על המידע בתווך, היכולת שלו לפתוח אותו ולפענח אותו תהיה קטנה.

מה שהגברת קלינטון עשתה, זה לקחת משהו, שאמור לעבור בצינורות מוגנים, ולהעביר אותו כמו עם מגפון, כשהיא צועקת לבניין ממול. יתכן שכך גם עוררה אנשים לשלוח לה מידע רגיש וגם כן לעבור על החוק.

מה שברור זה, שארגונים ואנשים פרטיים משלמים מחיר כבד במקרים כאלה של גניבת מידע אישי ומידע בכלל. אצל אחד זו יכולה להיות גניבת התיק הרפואי שלו או כרטיס האשראי, ואצל אחת זה יכול להיות אובדן נשיאות המעצמה הגדולה בעולם.

מאת: גיל ששון, נובמבר 2016.
מנהל פיתוח עסקי InfoBay מקבוצת מלם-תים