ב-3 בספטמבר מישהו התחבר למאגר הנהגים של מדינת פלורידה עם שם משתמש וסיסמה תקינים לחלוטין, והתחיל למשוך משם רשומות. מבחינת המערכת לא קרה שום דבר חריג: זה היה החשבון של שוטר מתחנת המשטרה של פלנט סיטי, אחד מאלפי אנשי אכיפה שמורשים לחפש שם פרטים על נהגים. רק למחרת הבינו ברשות שזה לא היה השוטר.

מה קרה

המאגר נקרא DAVID, והוא המקום שבו רשות התחבורה והבטיחות בדרכים של פלורידה מרכזת את המידע על נהגים ורכבים במדינה: שם, כתובת, תמונה מרישיון הנהיגה, הרכבים הרשומים על שם אדם. שוטרים ופקידים ניגשים אליו בשגרה כדי לבדוק פרטים על נהג מסוים. ב-11 בספטמבר אישרה הרשות שהמאגר נפרץ, ובהודעה שפרסמה כתבה שהחקירה מצאה שהתוקפים השתמשו בפרטי אימות של משתמש אחד מתחנת פלנט סיטי, שנשמרו שלא כראוי במכשיר האישי של אותו עובד. לפי הרשות האירוע טופל במהירות ואין פריצה מתמשכת.

קבוצת הסחיטה ShinyHunters, שלקחה על עצמה את האחריות, מספרת סיפור אחר. בפנייה ל-BleepingComputer טענו בקבוצה שהם נכנסו דרך תקלה במנגנון איפוס הסיסמה, כזו שאפשרה להשתלט על כמה חשבונות במערכת, ולא דרך סיסמה גנובה אחת. הקבוצה טוענת גם שמשכה יותר מ-200 אלף רשומות נהגים. הרשות לא אישרה את המספר ולא פרסמה מספר משלה, וכהוכחה לפריצה פרסמו התוקפים צילום מסך של רשומה אחת, של ג'פרי אפשטיין, שכללה את כתובתו ואת הרכבים שהיו רשומים על שמו.

למה זה חשוב לכם

בישראל הפרטים שלכם יושבים באותו סוג של מקומות בדיוק: קופת חולים, חברת ביטוח, בנק, רשות ממשלתית. בכל אחד מהם יש מאות או אלפי עובדים שמורשים לחפש אתכם, וכל אחד מהם הוא דלת. מה שקרה בפלורידה לא דרש חולשה טכנית באף מערכת, אלא סיסמה אחת של עובד שישבה במקום שלא נועד לה. זה גם מסביר למה דליפה כזאת מסוכנת גם כשלא נגנב ממנה כסף: רשומה שכוללת כתובת, מספר רישיון ורכב היא חומר גלם מצוין להודעת פישינג (הודעה מזויפת שמתחזה לגורם אמין) שנשמעת אמינה בדיוק כי היא יודעת עליכם דברים נכונים.

מה עושים?

בדקו איפה שמורות אצלכם הסיסמאות של העבודה. פתק באפליקציית ההערות, צילום מסך בגלריה או הודעה ששלחתם לעצמכם בוואטסאפ הם בדיוק המקומות שמהם נוזקת גניבת מידע אוספת אותן. העבירו אותן למנהל סיסמאות, וגם זה שמובנה בטלפון מספיק.

הפעילו אימות דו-שלבי בכל חשבון שנותן גישה למידע על אנשים אחרים, לא רק בחשבונות הפרטיים. סיסמה גנובה לבדה לא מספיקה כשצריך גם קוד או אישור מהמכשיר.

אל תתחברו למערכות של העבודה ממכשיר פרטי שמשותף לכל הבית, ואם אין ברירה, אל תשמרו שם את פרטי ההתחברות בקובץ או בדפדפן פתוח.

קיבלתם הודעה על דליפה בגוף שמחזיק פרטים עליכם? החליפו שם סיסמה, ובשבועות שאחרי חשדו במיוחד בפנייה שמצטטת עליכם פרטים נכונים.

המערכת של פלורידה עשתה בדיוק את מה שנועדה לעשות, ונתנה לשוטר מורשה לחפש נהגים. כל השאלה היא מי החזיק בסיסמה שלו.