מי שקנה מנוי באתר האיראני Megapaper.ir קיבל גישה לכתבי עת אקדמיים שעולים אלפי דולרים בשנה. הגישה הייתה אמיתית לגמרי. היא פשוט הגיעה מחשבון של פרופסור שלא ידע על כך דבר.

מה קרה

אמיר ברתי, אזרח איראן וטורקיה כבן 40, הוסגר השבוע לארצות הברית. הוא נעצר ב-25 ביוני בעיר קוטור שבמונטנגרו בפעולה משותפת של המשטרה המקומית וה-FBI. לפי דיווח של איראן אינטרנשיונל הוא עזב את איראן לטורקיה ב-2021, קיבל אזרחות טורקית ושינה בבית משפט טורקי את שמו הפרטי ואת שם משפחתו.

ברתי הוא אחד מ-17 הנאשמים בפרשת Mabna Institute, חברה טהראנית שלפי משרד המשפטים האמריקאי ביצעה פריצות בעבור משמרות המהפכה. השיטה שלה לא דרשה נוזקה ולא חולשה באף מערכת. בין 2013 ל-2017 נשלחו ליותר מ-100 אלף אנשי אקדמיה בעולם מיילים שהודיעו שהמנוי שלהם לספרייה האקדמית פג וצריך לחדש אותו. כתובת השולח הייתה מזויפת, ובחתימה הופיעו פרטי הקשר האמיתיים של הספרייה של אותו נמען בדיוק. מי שלחץ הגיע לעמוד התחברות שנראה כמו זה של המוסד שלו, והקליד שם את שם המשתמש והסיסמה. לפישינג שנבנה אישית לנמען אחד, במקום הודעה גנרית שנשלחת למיליונים, קוראים spearphishing.

כך נפרצו כ-8,000 חשבונות, ב-144 אוניברסיטאות בארצות הברית וב-178 נוספות ב-21 מדינות. ישראל ברשימה. פרטי האימות שימשו להתחברות ישירה למערכות הספרייה המקוונות של המוסדות, ומשם נלקחו יותר מ-31 טרה-בייט של מאמרים, עבודות דוקטורט וספרים. חלק מהחומר הועבר למשמרות המהפכה, וחלק אחר נמכר בתוך איראן דרך Megapaper.ir ו-Gigapaper.ir, שמכרו ללקוחות מקומיים את הגישה לספריות שנפרצו. משרד המשפטים האמריקאי העמיד את שווי החומר הגנוב על 3.4 מיליארד דולר, והאוניברסיטאות הוציאו כ-20 מיליון דולר על חקירה ושיקום.

התפקיד שמיוחס לברתי אינו הפריצה עצמה אלא העבודה סביבה: לפי התביעה הוא עקב אחרי ההתקדמות של הקמפיינים, החליף פרטי אימות שנגנבו, הכין רשימות יעדים וניסח את ההודעות. כתב האישום המעודכן בפרשה מונה 14 אישומים, ולפי איראן אינטרנשיונל מיוחסים לברתי שבעה מהם.

למה זה חשוב לכם

ישראל נמצאת ברשימת המדינות שאוניברסיטאות בהן נפרצו, אבל הלקח רחב מזה. מה שנגנב כאן הוא לא כסף ולא כרטיס אשראי, אלא מנוי. סיסמה אוניברסיטאית הייתה שווה כסף כי היא פתחה גישה לכתבי עת יקרים, והיה מי שמוכן לשלם עליה. אותו היגיון עובד על החשבונות שלכם: תיבת מייל בעבודה, חשבון בקופת חולים, מנוי לשירות סטרימינג. לכל אחד מהם יש מחיר בשוק שלא תנחשו מראש, וזאת הסיבה שגם מי שאין לו מה להסתיר הוא יעד.

מה עושים?

הפעילו אימות דו-שלבי בתיבת המייל של העבודה או של הלימודים. שם סיסמה שדלפה הופכת לחסרת ערך, כי גם מי שיש לו אותה לא נכנס בלי הקוד מהטלפון.

סיסמה של חשבון מוסדי לא צריכה להופיע באף מקום אחר. אם היא משמשת גם בחנות אונליין, דליפה שם פותחת גם אותה.

הגעתם לעמוד התחברות דרך קישור בהודעה? אל תקלידו שם כלום. פתחו את המערכת כמו בכל יום, מהסימנייה או מהאפליקציה, ותראו אם מחכה לכם שם בקשה לחדש מנוי.

אם במוסד שלכם יש מנוי לספרייה דיגיטלית, הציצו בהיסטוריית ההתחברויות לחשבון. התחברות ממדינה שלא הייתם בה היא הסימן הראשון, ולרוב היחיד.

ברתי נעצר בחופשה, תשע שנים אחרי שהקמפיין יצא לדרך, עם שם אחר בדרכון. החשבונות שנפרצו אז נסגרו מזמן. ההודעה שפתחה אותם נראית היום בדיוק אותו דבר.