עד ה-16 באוקטובר אפשר היה להיכנס לאתר בשם shinywire ולמצוא רשימה של כמעט מאה ארגונים שנפרצו, כל אחד עם דוגמאות מהקבצים שנגנבו ממנו ועם הזמנה מנומסת לפתוח משא ומתן. מי שלא הגיב בתוך שבעה ימים ראה את כל החומר שלו מתפרסם. עכשיו, לפי דיווח של בריאן קרבס, חוקרי ה-FBI מעריכים שאחד ממפעילי האתר היה בכיר בחברת ייעוץ אמריקאית, מהצד שאמור לייצג דווקא את הקורבנות.

מה קרה

ShinyHunters היא אחת מקבוצות הסחיטה הפעילות בעולם, ולפי ה-FBI סחטה מקורבנותיה יותר מ-70 מיליון דולר מתחילת השנה. שיטת הלחץ שלה לא מבוססת על הצפנת קבצים אלא על בושה: אתר פומבי עם שם הקורבן, דוגמאות מהמסמכים שנגנבו ממנו ולוח זמנים עד הפרסום המלא. בתעשייה קוראים לאתר כזה leak site. אחד מהם, shinywire, פעל מתחילת מאי ועד ה-16 באוקטובר. בין הארגונים שהופיעו בו Intuitive Surgical, יצרנית ציוד רפואי אמריקאית שנפרצה במרץ אחרי שעובד נפל בפישינג (הודעה מזויפת שמתחזה לגורם אמין כדי לגנוב פרטי התחברות).

הקבוצה הסתבכה בעצמה. בסוף ספטמבר היא פרצה לאתר הגיוס של ה-FBI, fbijobs.gov, ואיימה לפרסם תיקי מועמדים שכללו לפי הדיווחים רשומות רפואיות, מספרי ביטוח לאומי וכתובות בית, והתגובה הייתה חריגה במהירותה. ב-15 בספטמבר עצרה המשטרה ההולנדית את ההאקר המורשע פפיין ואן דר סטאפ, ולפי מקור שמכיר את החקירה חשבון ה-Signal שלו היה פתוח ברגע המעצר, מה שאיפשר לחוקרים לקרוא את ההתכתבויות האחרונות שלו. בצד השני של אותן שיחות ישבו, לפי אותם מקורות, בכירים בשתי חברות שמנהלות משא ומתן מול סוחטים, אחת בקנדה ואחת בארצות הברית.

ב-9 באוקטובר נעצר אדוארד דוברובסקי, בן 54, בכיר בחברת סייבר קנדית, ועל כך כתבנו כאן. הוא הואשם באיום לפרסם מידע גנוב ובסחיטה, ולפי פוליטיקו התביעה ביקשה להשאיר אותו במעצר.

החלק החדש בדיווח הוא מה שההתכתבויות מראות לכאורה: שהבכירים האלה ידעו על קורבנות חדשים לפני שהקורבנות עצמם ידעו שנפרצו. שני מקורות אמרו לקרבס שהחוקרים מעריכים שבכיר בחברת ייעוץ אמריקאית גדולה, כזו עם יותר מ-1,000 עובדים, היה מפעיל פעיל של shinywire. קרבס לא מפרסם את שם החברה או את שם הבכיר מפני שלא הוגש נגדם כתב אישום. זו הערכת חוקרים שהגיעה דרך מקורות אנונימיים, לא קביעה של בית משפט.

למה זה חשוב לכם

כשחברה שאתם לקוחות שלה נפרצת, מה שאתם שומעים הוא בדרך כלל ניסוח מרגיע על אירוע שמטופל. המקרה הזה מראה מה יכול לעמוד מאחוריו: שרשרת שכוללת את מי שתוקף, את מי שמפרסם את הקבצים, ולפי החשד גם את מי שנשכר לייצג את הנפגעת. בפועל, הפרטים שלכם יכולים להגיע לאתר פומבי בתוך שבוע בלי קשר להתקדמות המשא ומתן. גם בישראל חברות שנפרצות שוכרות את אותו סוג שירותים.

מה עושים?

הודיעו לכם שהפרטים שלכם היו בפריצה? התייחסו אליהם כאילו הם פומביים. החליפו את הסיסמה באותו שירות, ובכל מקום אחר שבו השתמשתם באותה סיסמה.

הפעילו אימות דו-שלבי, עדיף דרך אפליקציית אימות ולא ב-SMS.

הגיע אליכם מייל שטוען שמחזיקים מידע עליכם ודורש תשלום? אל תשלמו ואל תענו, ודווחו למוקד 119 של מערך הסייבר הלאומי.

עברו על דפי החיוב של כרטיס האשראי בחודשיים האחרונים וחפשו חיובים קטנים שאתם לא מזהים. ככה בודקים אם פרטי תשלום שדלפו נמצאים בשימוש.

בספר שפרסם על סחיטת סייבר המליץ דוברובסקי תמיד לדבר עם התוקפים. מה שהחוקרים בודקים עכשיו הוא כמה דק היה הקו בין שני הצדדים.