המסר העיקרי הוא - איומי האבטחה נמצאים במגמה מתמדת של עלייה והשתכללות, כאשר גורמי פשע מנצלים את ההתפתחויות הטכנולוגיות לתועלתם. בין האיומים הנפוצים כיום: Phishing, RootKits, Hoaxes, ציטוט והאזנה לשיחות VoIP ועוד רשימה אורכה שכל הזמן הולכת ומתארכת...
אבטחת המידע מקבל זה מספר שנים תשומת לב רבה ממנהלי מחשוב ומספקים, אך למרות זאת, רף הפגיעות המיוחסות להונאות המחשב ממשיך לעלות. מנתוני חברת המחקר גרטנר עולה, כי בארצות הברית לבדה נפגעו מתרמיות מחשב כ-57 מיליון משתמשים בהיקף של מעל מיליארד דולר בשנת 2005, כ-28% יותר מהשנה הקודמת.
ההונאות מתבצעות בעיקר על ידי גורמים שמחוץ לארגון, לעומת מעילות באמצעות המחשב המתרחשות בתוך כתלי הארגון, על ידי עובדים מבפנים (ראה תחקיר 612 - למנוע מעילות והונאות).
לשני סוגי התקיפות עלולות להיות השלכות כבדות על הארגון, הן עקב איבוד כספים או נכסים אסטרטגיים לטובת מחוללי ההונאה והן על ידי בריחת לקוחות שכספם או פרטיהם האישיים הועמדו בסכנה על ידי הארגון. לראיה, על פי מחקר גרטנר, חלה ירידה של 3% באמון הציבור בטכנולוגיות קניית מוצרים באופן מקוון, בשל התגברות תופעות התרמיות ברשת.
מגמה מרכזית מדאיגה, היא ניצול התפתחויות טכנולוגיות שונות, דוגמת מסרים מידיים ותקשורת VoIP (המנצלות את קלות הניתוב וההאזנה לשיחות כאלה), לשכלול ההונאות. כל חידוש במחשוב מקדם את האפשרויות העומדות בפני נוכלים והם מנצלים התפתחויות כאלה, דוגמת טלפונים סלולאריים חכמים, עוד לפני שחברות האבטחה יודעות לתת לכך פתרון ולפני שהלקוח מודע בכלל לצורך בפתרון כזה.
אחת המטרות המרכזיות של פעילויות אלה, היא גניבת זהות. זו תשמש בהמשך, בעיקר להוצאת כספים במרמה, תוך התחזות לקורבן. מצד שני, מנמ"ר מתוחכם יכול לנצל אותן הטכנולוגיות בצורה מושכלת, שתמזער סיכוי לפגיעה ותמזער את נזקיה.
מצעד האיומים
קשת האיומים המוכרים (ויש גם לא מעט שעדיין לא מוכרים או שטר נחשפו) כוללת בין היתר את השיטות הבאות: פישינג (Phishing), רוטקיטס (Rootkits), גניבת זהות, הנדסה חברתית, Key Loggers, סוסים טרויאניים, Hoaxes (הפצת דואר אלקטרוני הכולל סיפורים דמיוניים ומטעים. למרות שקל לזהות אותם).
אחת מטכנולוגיות התרמית הנפוצות והבולטות ביותר היא ה-Phishing. באמצעותה, מפתה עבריין המחשב את מקבל הדואר האלקטרוני לספק פרטים מזהים וכספיים תוך התחזות לגוף מוכר, בעל אמינות גבוהה. גם בארץ נגרם נזק כתוצאה מתרמית זו לבנקים גדולים. נדגיש, כי Phishing היא תופעה מתוקשרת מאוד, שמדגימה הונאה ממוחשבת, אבל היא לא היחידה.
RootKits מהווים דוגמא לשיטה מתוקשרת הרבה פחות, אבל מסוכנת הרבה יותר, שמאפשרת גישה ישירה למחשבים, דרך נוזקה נסתרת, המוטמעת היטב במערכת ההפעלה. חשוב להוסיף, שרוב הפגיעות בארגונים נובעות מגלישה באינטרנט ולא משימוש במייל, אליו מתייחסים לרוב בהקשר של הונאה (לפי IDC).
מגמות חשובות
במקביל. ניתן לאפיין גם שורה של מגמות העיקריות בהונאות המחשב בשנים האחרונות: ארגוני ה-SMB נחשפים יותר מבעבר לתרמיות; ניצול חידושים לתרמיות כדוגמת תוכנות המסים המיידים, מחשוב אלחוטי, מסחר מקוון ועוד מתגבר; רמת התחכום של התקיפות הולכת וגדלה; התרחבות שיטת ה- Pharming (הפנייה לאתרים מתחזים) ושימוש בגניבת סיסמאות.
יחד עם זאת, גם בתחום הפתרונות ניתן לראות שיפורים ומגמות חשובות. ביניהן ניתן לראות את השלכותיהן של רגולציות שונות כדוגמת סרבנס אוקסלי (SOX) על ארגונים אשר מחויבים כיום להתמודד טוב יותר מול התופעה, גידול בהשקעת משאבים בהבטחה, פיתוח חומרה בטוחה ושימוש בטכנולוגיות Trusted computing.
התחזיות לעתיד הקרוב נראות עגומות, בעיקר בשל המשך חדירת ארגוני פשיעה בינלאומיים לתחום הרווחי של הונאות המחשב והתבססות על שיטות הנדסה חברתית משוכללות ויעילות, המאפשרות הוצאת כספים במרמה מהארגון.
לפי ארגון ה-APWG (או Anti-Phishing Working Group) אירעו בחודש מאי 2006 מספר שיא של 20,109 התקפות Phishing באמצעות הדואר האלקטרוני, כ-15% יותר מאשר בחודש אפריל. לפי דו"ח השוואתי חצי שנתי של איומי אבטחת מידע שפורסם על ידי חברת סימנטק עולה, כי איומי קוד זדוני העלולים לחשוף מידע חסוי גדלו ב-6% בחצי השנה הקודמת והגיעו ל-80% מכלל איומי האבטחה במחצית השנייה של 2005. CyberSource העריך, כי ב-2005 הפסידו סוחרים 2.8 מיליארד דולר, עקב הונאות מקוונות.
על המדף
לכל אלה שרוצים להתמודד עם כל האיומים האלה, יש מבחר מגוון למדי של פתרונות שיסייעו להם להתגונן מהונאות: קומסק (Comsec) מספקת שירותי ייעוץ ועוסקת גם בניהול סקרי סיכונים, התאמת מוצרי אבטחת מידע לצרכי הלקוח וניהול אבטחת המידע; Blue coat מציעה התקן אבטחת מידע, הכולל חומרה ותוכנה;Calling-ID מציעה אתCallingID for the Internet המגן אוטומטית מהונאות באינטרנט; CipherTrustמציעה מערכת פרו אקטיבית, המבצעת דירוג של שולח הדואר האלקטרוני בהתאם ל-4,000 חיישנים ב-40 מדינות; Sabratec מציעה את Intellinx; Netcraft הוא סרגל כלים המותקן כתוסף לדפדפן ומתריע על אתרים חשודים; Port Authority מציעה מערכות המנטרות איומי דליפת מידע; RSA מייצרת מוצרי אבטחת מידע.
הונאה לדוגמא
בתחום ההונאות ניתן למנות דוגמאות לרוב, ביניהן: העוקץ הניגרי - פניה בבקשת סיוע כביכול בהעברת כספים מפליט פוליטי ניגרי דרך חשבון הבנק של המשתמש. בפועל מפותה המשתמש לשלם תשלומים מקדימים שונים לסיוע לעסקה ולאחר מכן לא עובר שום כסף לחשבונו; מכירות פומביות מזויפת; פיתויים לביצוע עסקאות במחירים מוזלים במיוחד, כאשר לאחר התשלום המשתמש לא מקבל את המוצר או השירות המובטח; שרותי אינטרנט מזויפים; התחזות לרשויות ומשרדים ממשלתיים באימייל כדרך לגניבת פרטים אישיים ועוד.
סיכום
מדובר בתופעות מסוכנות, שהאיום מצידן צפוי להוסיף ולהחמיר. לכן, מומלץ להתעדכן, להיות מודע ולהיערך להתגוננות בהקדם האפשרי.
התקציר לקוח מתוך תחקיר pCon בשם Phishing והונאות אחרות.
הרחבות, ראיונות עם מומחים, טיפים מעשיים וקישורים להעמקה ניתן למצוא בכתובת -
http://www.pcon.co.il/v5/Debrief.asp?debrief=784
למאמרים מקצועיים ואובייקטיביים נוספים של קובי שפיבק, בתחומי מידע מחשבים ואינטרנט, באתר "מאמרים" ראה - http://www.articles.co.il/author/1944
קובי שפיבק Bsc., MBA הוא העורך הראשי של תחקירי pCon ואתר pCon-line. כמי שעוסק במחשבים, על מכלול היבטיהם משנת 1976 וכן כמי שכתב וערך למעלה משמונה מאות תחקירים על כל היבטי המחשוב העיקריים, הוא נמנה על אותם אנשים בודדים בארץ ובעולם, שבאמת ובתמים, מבינים לאן הולך עולם המחשוב ומהן השלכותיו המידיות והעתידיות, על אנשים וארגונים. הוא גם פרסם מספר רב של מאמרים במרבית העיתונים הגדולים והמקצועיים, והופיע פעמים רבות בערוצי הטלוויזיה והרדיו המרכזיים. נכון להיום הוא מייעץ למרבית מנהלי המחשוב בארגונים המובילים בישראל, והוא נחשב בעיני רבים, לגורו של המחשוב העסקי.
