ביום שלישי נסגר בלי הודעה חשבון ההודעות של אחד הדוברים של קבוצת הסחיטה ShinyHunters, זה שהתכתב בשבועות האחרונים עם עיתונאים. אחר כך ירד מהרשת אתר ההדלפות של הקבוצה, והנציג המרכזי שלה הפסיק לענות לשאלות. באותו יום עצמו, לפי דיווח של רויטרס, עצרו הרשויות בירדן את מי שמכונה ברשת Rey, וזיהו אותו כסייף א-דין ח'אדר.

מה קרה

שני מקורות שמכירים את המעצר אמרו לרויטרס שח'אדר משתף פעולה עם ה-FBI ועם גופי אכיפה נוספים כדי לאתר חברים אחרים בקבוצה, ואחד מהם תיאר אותו עובר עם החוקרים על המכשירים וההתכתבויות הדיגיטליות שלו. כל הדיווח נשען על מקורות אנונימיים. לא ה-FBI ולא הרשויות בירדן אישרו אותו.

הרקע הוא מצוד שהתחיל אחרי שהקבוצה תקפה את ה-FBI עצמו. בספטמבר היא טענה שפרצה למערכות הלשכה דרך חולשת יום-אפס ב-Oracle PeopleSoft, התפשטה משם לסביבת ענן שה-FBI מנהל, וגנבה בין 2 ל-3 טרה-בייט מידע, ובהם פרטים של עובדים בהווה ובעבר, מועמדים לעבודה ומידע רפואי. ההיקף הזה מגיע מהתוקפים עצמם ואף גורם עצמאי לא אימת אותו. ה-FBI אישר שהוא בודק דיווחים על פעילות לא מורשית, ולא אישר שמידע נגנב.

באמצע ספטמבר עצרה המשטרה ההולנדית בן 24 מאמסטרדם בחקירה על אותה קבוצה. אחרי המעצר ההוא פנה ברט לת'רמן, סגן ראש חטיבת הסייבר ב-FBI, ישירות לחברים האחרים: "מעצרים משנים מי מוכן לדבר, ותפיסת תשתית מראה לנו מי נשאר. כדאי שתפנו אלינו ראשונים, כל עוד הבחירה בידיכם."

ומה שקרה אחר כך מראה כמה קשה לכבות קבוצה כזאת. ביום חמישי עלה אתר הדלפות חדש של ShinyHunters, כלומר מישהו שם עוד מפעיל את מכונת הסחיטה.

למה זה חשוב לכם

ShinyHunters לא פורצת לחשבונות של אנשים פרטיים. השיטה שלה היא להיכנס דווקא לחברות שמחברות בין מערכות של חברות אחרות, ומשם להשתמש ב-token-ים שנגנבו, אותם מפתחות שמחליפים שם משתמש וסיסמה בין שירותים, כדי להתחבר למערכות הענן של הלקוחות ולשלוף מהן מאגרי לקוחות שלמים. בשנתיים האחרונות נקשרו לקבוצה דליפות אצל גוגל, סיסקו, Snowflake, מערכת הלימודים Canvas וחברת התקשורת Telefónica.

המשמעות לקורא ישראלי פשוטה: המידע שלכם עלול לדלוף מחברה שלא מסרתם לה אותו ישירות, דרך ספק שלא שמעתם עליו. מאגרים כאלה מתגלגלים אחר כך לקמפיינים של פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים), ומייל שמצטט פרט אמיתי עליכם נשמע אמין בהרבה ממייל גנרי.

מה עושים?

השתמשו בסיסמה שונה בכל אתר, דרך מנהל סיסמאות. דליפה כזאת מוסרת לתוקפים שם משתמש וסיסמה אחת, והשאלה היחידה שנשארת היא לאן עוד הם פותחים.

הפעילו אימות דו-שלבי בחשבונות המרכזיים, ועדיף דרך אפליקציית אימות ולא בהודעת SMS.

אם הגיע מייל שמצטט פרט אמיתי עליכם ודורש תשלום כדי שמידע לא יפורסם, אל תשלמו ואל תגיבו. תשלום לא מוחק מאגר שנמצא כבר אצל מישהו אחר.

ובדקו אם כתובת המייל שלכם מופיעה בדליפות מוכרות, באתר Have I Been Pwned, והחליפו סיסמה בכל שירות שהוא מחזיר.

מעצר של אדם אחד מוציא שחקן מהמשחק. את המאגרים שכבר נגנבו הוא לא מחזיר.