מנהל אבטחת מידע נחשד בפריצה למחשבי כ-20 חברות ישראליות וגניבת מידע עסקי

יחידת הסייבר להב 433 של משטרת ישראל עצרה תושב אשקלון בן 44, המועסק כמנהל אבטחת מידע בקבוצת חברות גדולה בתחום עיצוב הבית, בחשד שהשתיל נוזקת ריגול במחשבי כ-20 חברות מובילות במשק הישראלי וגנב מהן מידע עסקי ומסחרי רגיש. בית המשפט התיר ב-24 באוגוסט את פרסום שמו – מיכי בר – לאחר שהיה עצור כבר מהשבוע שקדם לכך, ומעצרו הוארך עד ל-30 באוגוסט.

הפרטים

לפי הדיווחים, בר נחשד כי לאורך תקופה השתמש בכלים פוגעניים כדי לחדור למחשבי חברות במגוון ענפים במשק – לא רק בתחום שבו הוא עצמו הועסק. הנוזקה שהותקנה, כך החשד, איפשרה לא רק לשלוף קבצים ומסמכים עסקיים אלא גם להפעיל מרחוק מצלמות ומיקרופונים במחשבים הנגועים ולהקליט את בעליהם ללא ידיעתם. את המידע שנאסף הוא ככל הנראה אחסן בערוץ באפליקציית Discord ששימש לו כעין ערוץ אחסון והפעלה פרטי.

החקירה נפתחה בעקבות אינדיקציות לפריצה במספר מצומצם של חברות, ולאחר חקירה סמויה של להב 433 התרחבה לכ-20 חברות נוספות. גורם המקורב לחקירה מסר לאתר CTech כי בשלב זה לא ברור מה בדיוק היה המידע שנחשף ומה היה המניע, וכי אין עדות לכך שהמידע שנאסף שימש לסחיטת החברות הנפגעות.

נקודות לשים לב

• כשהחשוד הוא בעל תפקיד אבטחה בעצמו, בקרות גישה רגילות לא מספיקות – יש לוודא הפרדת תפקידים (segregation of duties) ופיקוח בלתי תלוי על מי שמחזיק בהרשאות הרחבות ביותר במערכות הרגישות.
• בדוק תעבורת רשת יוצאת משירותי צ'אט ואחסון אזרחיים כמו Discord או Telegram ממחשבים ארגוניים – שירותים אלו פתוחים לרוב כברירת מחדל בחומות אש ומהווים ערוץ הדלפה פשוט לזיהוי אם בודקים אותם באופן יזום.
• הפעלה מרחוק של מצלמה או מיקרופון היא יכולת אופיינית לנוזקת ריגול (RAT) – ודא שפתרון ה-EDR בארגון מתריע גם על גישה חריגה לחומרת קלט, לא רק על גישה לקבצים.
• אם ארגונך עובד מול חברות בתחום עיצוב הבית או תחומים סמוכים, בדוק מול צוות האבטחה שלך אם התקבלה פנייה בנושא ובחן לוגים היסטוריים לאיתור תוכנת שליטה מרחוק בלתי מוסברת.
• הפרטים הטכניים המלאים – וקטור ההדבקה הראשוני ושם הנוזקה – טרם פורסמו רשמית; יש להתייחס למידע הקיים כחשד במשטרה ולא כממצא סופי עד להגשת כתב אישום.

מקורות: CTech (Calcalist) · Israel National News