מה שפתח את הדלת לא היה כלי תקיפה. זה היה שם משתמש וסיסמה שדלפו ממחשב של עובד, וחשבון ענן שלא ביקש שום דבר מעבר להם. ביום שישי גזר בית משפט פדרלי בסיאטל 70 חודשי מאסר על קמרון ג'ון וגניוס בן ה-22, חייל בצבא ארצות הברית ששירת בדרום קוריאה, על גניבת יומני השיחות וההודעות של יותר מ-100 מיליון לקוחות AT&T.

מה קרה

וגניוס פעל ב-2024 תחת הכינוי Kiberphant0m יחד עם שלושה שותפים. הם לא שברו הצפנה: הם אספו שמות משתמש וסיסמאות שנוזקות גניבת מידע חטפו ממחשבים של עובדים, והריצו אותם מול חשבונות של חברות גדולות בשירות ענן בשם Snowflake, שבו ארגונים מרכזים את הנתונים שלהם לצורך ניתוח. החשבונות שנפלו היו אלה שהסתפקו בסיסמה ולא דרשו שלב אימות שני. לפי כתב האישום כך נפרצו יותר מ-165 סביבות של לקוחות Snowflake, ובין הנפגעות היו AT&T, Ticketmaster, Advance Auto Parts וסנטנדר.

מ-AT&T נלקחה חצי שנה של רשומות שיחות ומסרונים של כמעט כל לקוחותיה. לא תוכן השיחות, אלא מי התקשר למי, מתי ולכמה זמן. אחר כך התחילה הסחיטה: לפי התביעה הוא דרש מיותר מעשרה ארגונים יותר ממיליון דולר יחד, מתוכם חצי מיליון מ-AT&T, ובדרך גם פרסם רשומות שיחות ששייכות לדונלד טראמפ.

על הכסף שבאמת עבר הדיווחים לא מסתדרים זה עם זה. מסמך הענישה של התביעה, שעליו מדווח בריאן קרבס, אומר שוגניוס עצמו הרוויח כ-1,500 דולר ממכירת המידע, ושבנפרד שילמה AT&T כופר של 370 אלף דולר בביטקוין. CyberScoop מדווח שהחבורה כולה קיבלה יותר מ-2.5 מיליון דולר בתשלומי סחיטה. בית המשפט חייב את וגניוס בפיצוי של 294,978 דולר. שותפו קונור מוקה, שהוסגר מקנדה במרץ 2025, הודה באשמה באוגוסט, ושותף שלישי בשם ג'ון ארין בינס אינו במעצר בארצות הברית.

למה זה חשוב לכם

אתם לא לקוחות של AT&T, ושתי נקודות בסיפור הזה בכל זאת נוגעות לכם. הראשונה היא מה בדיוק נגנב. יומן שיחות בלי תוכן נשמע כמו מידע חסר ערך, אבל רשימה של מי דיבר עם מי ומתי חושפת קשרים, שגרות, רופאים, עורכי דין ומקומות עבודה. בישראל אותו סוג מידע יושב אצל כל חברת סלולר.

השנייה היא איך נכנסו. סיסמה שדלפה ממקום אחד ונוסתה במקום אחר, מול חשבון שאין בו שלב אימות שני, היא אותה צורת מתקפה שמגיעה גם לחשבונות פרטיים. הג'ימייל שלכם, האפליקציה של הבנק, האזור האישי בקופת החולים.

מה עושים?

הדליקו אימות דו-שלבי קודם כול על תיבת המייל. היא הכתובת שדרכה מאפסים סיסמאות של כל השאר, ולכן מי שמחזיק בה מחזיק גם בבנק ובביטוח. בחשבון גוגל זה יושב תחת ניהול חשבון Google, ומשם אבטחה ואימות דו-שלבי.

אל תשתמשו באותה סיסמה בשני מקומות. כדי לבדוק אם סיסמה שלכם כבר הופיעה בדליפה, הכניסו את כתובת המייל שלכם לאתר Have I Been Pwned.

אם הדפדפן או מנהל הסיסמאות מתריע שסיסמה שמורה נמצאה בדליפה, שנו אותה באתר עצמו ולא רק ברשימה השמורה.

שימו לב מאיפה אתם מתקינים תוכנות. הסיסמאות שפתחו את Snowflake הגיעו מנוזקות גניבת מידע שרצו על מחשבים של עובדים, ודרך ההגעה הנפוצה שלהן היא תוכנה "חינמית" או גרסה פרוצה שמורידים מתוצאת חיפוש או מפרסומת.

חברות ענק איבדו כאן נתונים של מאות מיליוני אנשים בלי שאיש ניצל נגדן חולשה אחת. חשבון בענן הסתפק בסיסמה, והסיסמה הזאת כבר הייתה בידיים הלא נכונות.