במקרה אחד שמפורט בכתב האישום, חברת שחזור אמריקאית שילמה כ-8,200 דולר לקבוצת כופרה, קיבלה ממנה את הכלי שפותח בחזרה את הקבצים המוצפנים, והגישה ללקוח שלה חשבון על כ-150 אלף דולר. במקרה אחר היא שילמה כ-236 אלף דולר וחייבה את הלקוח ב-380 אלף. הפרקליטות הפדרלית בניו יורק טוענת שזה לא היה חריג, אלא שיטת העבודה.

מה קרה

חבר מושבעים פדרלי במחוז המזרחי של ניו יורק הגיש ב-23 בספטמבר כתב אישום נגד זהר פינחסי, בן 50, אזרח אמריקאי וישראלי שהחזיק והפעיל את MonsterCloud, חברה מפלורידה שהתמחתה בשחזור מידע אחרי מתקפות כופרה (נוזקה שמצפינה את הקבצים של הקורבן ודורשת תשלום כדי לפתוח אותם). ביום רביעי הוא התייצב בבית המשפט בברוקלין, הודה שאינו אשם בשני אישומים של מעשי מרמה בתקשורת ובאישום של קשירת קשר לבצעם, ושוחרר בערבות של שני מיליון דולר.

החברה פרסמה שיש לה טכנולוגיית פענוח משלה, והמליצה ללקוחות שלא לשלם לתוקפים. לפי כתב האישום, טכנולוגיה כזאת לא הייתה. במקום זה פנו אנשי החברה אל קבוצות הכופרה עצמן, קנו מהן את מפתח הפענוח והשתמשו בו כדי להחזיר את הקבצים של הלקוח. כדי לשכנע קורבנות שהיססו, אומרת התביעה, הציגה להם החברה קבצים מפוענחים כהוכחה ליכולת, וגם הם פוענחו באותו מפתח שנקנה מהתוקפים. בחלק מהחוזים אכן נכתב שהחברה עשויה ליצור קשר עם התוקפים או לשלם להם, אבל רק אם לא תצליח לפענח בדרך אחרת. התביעה טוענת שבפועל זה היה הצעד הראשון.

בסך הכול, לפי כתב האישום, פינחסי ושותפיו העבירו לקבוצות כופרה יותר משמונה מיליון דולר וחייבו מאות חברות בארצות הברית ובקנדה ביותר מ-19 מיליון. עורכי דינו טוענים לחפותו, והתיק נמצא בתחילתו. (וזאת גם לא הפעם הראשונה שהטענות האלה עולות: ב-2019 תיאר תחקיר של ProPublica איך חוקרי אבטחה שכתבו כופרה משלהם והתחזו לקורבנות קיבלו הצעות אנונימיות לשלם את הכופר, שיוחסו לכמה חברות שחזור, ביניהן MonsterCloud. פינחסי הכחיש אז שהטעה לקוחות.)

למה זה חשוב לכם

שוק שחזור הקבצים אחרי כופרה קיים גם בישראל, והוא נבנה בדיוק על הרגע שבו העסק תקוע: הקבצים מוצפנים, דרישת כופר על השולחן, ומישהו בטלפון מבטיח להחזיר הכול בלי לשלם לפושעים. אם מי שמבטיח את זה הולך בפועל לשלם לתוקפים, אתם מממנים את אותה קבוצה שתקפה אתכם, רק דרך מתווך שגובה פי עשרה ויותר. באוגוסט כתבנו כאן על מקרה גרוע מזה, חברת שחזור שהחוקרים העריכו שהיא כנראה התוקפת עצמה.

מה עושים?

אם נפגעתם מכופרה, דווחו קודם כל למוקד 119 של מערך הסייבר הלאומי ולמשטרה. הדיווח לא עולה כלום, והוא גם מה שמאפשר לזהות קמפיין שפוגע בעוד עסקים באותו זמן.

לפני שאתם חותמים עם חברת שחזור, שאלו אותה במפורש ובכתב אם היא מתכוונת ליצור קשר עם התוקפים או לשלם להם. אם התשובה מתחמקת או מדברת על שיטות קנייניות, גם זאת תשובה.

דרשו שהחוזה יגיד מה קורה עם הכסף: מה בדיוק החברה גובה, האם הסכום כולל תשלום לתוקפים, ומי מחליט על כך.

ומה שבאמת מוציא אתכם מהתלות הזאת הוא גיבוי שמנותק מהרשת, ובדיקה מדי פעם שהוא אכן משוחזר. עסק שיש לו גיבוי כזה מנהל שיחה אחרת לגמרי.

מי שמוכר שקט נפשי ברגע של פאניקה לא חייב להיות טוב בפענוח קבצים. מספיק שיהיה טוב במכירות.