המכתב מגיע לכתובת הבית, לא למשרד. אחר כך מישהו מתקשר למשטרה, מדווח על מצב חירום באותה כתובת, וניידת מגיעה לדלת. ארגון שנפגע ממתקפת כופרה כבר לא מקבל רק הודעה על קבצים מוצפנים, ולפי סקר חדש הלחץ עובר ישירות אל העובדים ואל המשפחות שלהם.

מה קרה

חברת האבטחה האמריקאית Semperis פרסמה ב-14 באוקטובר סקר בקרב 1,200 אנשי IT ואבטחת מידע בארגונים בצפון אמריקה, בבריטניה, באירופה ובאסיה-פסיפיק, שכולם חוו לפחות מתקפת כופרה מוצלחת אחת. 37% מהנשאלים דיווחו שהתוקפים איימו על בני משפחה או על חברים של עובדים. 25% דיווחו שפרטים אישיים של עובדים נחשפו ברשת בכוונה, פעולה שמכונה doxxing. ו-23% דיווחו על מה שנקרא swatting: שיחה מזויפת למשטרה על אירוע חירום בכתובת של העובד, שמביאה לשם כוח חמוש.

כדי להבין למה זה חדש, כדאי לראות מה היה קודם. כופרה התחילה כהצפנה של קבצים ודרישת כסף תמורת המפתח, ואז נוספה שכבה שנייה: העתקת המידע לפני ההצפנה ואיום לפרסם אותו אם לא ישלמו. מה שהסקר מתאר הוא שכבה שלישית שלא מכוונת למערכות בכלל, אלא לאנשים ספציפיים שיש להם השפעה על ההחלטה אם לשלם. כריס אינגליס, לשעבר ראש מנהלת הסייבר בבית הלבן וכיום יועץ לחברה שערכה את הסקר, ניסח את ההיגיון מאחורי זה: המטרה היא שהעלות של לא להיכנע תהיה גבוהה מהעלות של לשלם.

על המספרים עצמם כדאי לשמור הסתייגות. הסקר נערך על ידי חברה שמוכרת מוצרי אבטחה, הוא מבוסס על מה שהמשתתפים דיווחו על עצמם, ואף גורם עצמאי לא אימת אותו. כל הנשאלים הם מארגונים שכבר נפגעו, כך שאי אפשר לקרוא את האחוזים האלה כשיעור בכלל המשק. הדוח גם לא נוקב בשמה של אף קבוצת תקיפה ולא מתאר אף מקרה אחד בשמו.

למה זה חשוב לכם

ישראל מופיעה בדוח ההגנה הדיגיטלית של מיקרוסופט במקום השני בעולם במדד מתקפות הסייבר, ומתקפת כופרה על חברה ישראלית פוגשת בסוף עובדים, לא רק את מחלקת ה-IT. מנהל המחסן שהטלפון שלו מופיע באתר החברה, מי שחתום על חשבוניות, מי שהפרופיל שלו בלינקדאין מפרט בדיוק מה התפקיד שלו: כל אלה גלויים לכל מי שמחפש, בלי שהתוקף צריך לפרוץ עוד משהו.

ומי שמקבל איום כזה בבית מגלה בדרך כלל שלמצב הזה אין נוהל. בתוכנית התגובה של החברה יש פרק על שחזור מגיבוי ופרק על דיווח לרגולטור, ובדרך כלל אין בה שורה אחת על עובד שמאיימים על הילדים שלו.

מה עושים?

קיבלתם הודעה, מכתב או חבילה עם איום שקשור למתקפה על מקום העבודה? אל תענו ואל תנהלו משא ומתן. צלמו הכול, שמרו את המכתב או את האריזה, ודווחו: למשטרה ב-100, ולמרכז 119 של מערך הסייבר הלאומי.

ספרו למעסיק גם אם הנטייה הראשונה היא לא לספר. עובד שמחזיק איום כזה לעצמו נשאר להתמודד איתו לבד, ורק החברה יכולה לקשור בין האיום לאירוע שהיא כבר מטפלת בו.

צמצמו את מה שאפשר למצוא עליכם ברשת. כתובת הבית וטלפון פרטי בפרופילים ציבוריים ובקבוצות פתוחות הם החומר שממנו בנויים גם ה-doxxing וגם ה-swatting.

ולמי שמנהל ארגון: החליטו מראש מי מטפל באיום על עובד או על בן משפחה שלו, ומי מרים את הטלפון למשטרה. ההמלצה המרכזית בדוח היא ליצור את הקשר הזה עם גורמי האכיפה לפני אירוע, לא בתוכו.

כופרה הפסיקה להיות בעיה של מחשבים בלבד ברגע שהתוקפים הבינו שאפשר להתקשר הביתה.