לקוח ביקש להכניס יכולות DDos למקלטי לוויינים והקו האדום האתי נמחק לחלוטין
עידן הדיגיטל טשטש את הגבולות בין פשיעה מקצועית לפעילות עסקית לגיטימית. הטרור הקיברנטי, שפעם נחשב נחלתם הבלעדית של האקרים מקצועיים, הפך כיום לנגיש ומפתה גם עבור אנשים "רגילים"
עיבוד תמונה: dreamstime
מאת: אלי כהן
לאחרונה קרה מקרה שאמור להסעיר את עולם אבטחת המידע: משטרת דרום קוריאה עצרה מנכ"ל של חברת ייצור לוויינים וחמישה מעובדיה. המעצר בוצע לאחר חקירת אינטרפול, שגילתה על ייצור המוני של כ-240,000 מקלטי לוויין עבור חברה זרה שעדיין לא ידועה זהותה, ושבהם הייתה יכולת מובנית או מעודכנת לתקיפות DDoS. היכולות הזדוניות הוכנסו למכשירים כבר משנת 2019, והחשד הוא שהם שימשו לא רק לקליטת שידורי לוויין, אלא גם ככלי לניהול מתקפות סייבר, שכן בעל הלוויין יכול להציף שרתים ולמנוע ממשתמשים להיכנס לאתרים שהותקפו. נציין כי רוכשי המכשירים לא ידעו על יכולות אלה.
מדובר בפגיעה ביסודות אבטחת המידע ובניצול מכשירי צריכה יומיומיים כאמצעי לתקיפות סייבר. חברת הלוויין הקוריאנית יצרה למעשה "טרויאנים" חומרתיים – מכשירים שנראים תמימים אך מכילים יכולת התקפה סמויה, וכמות כזו של מקלטי לוויינים בעלת פוטנציאל תקיפת DDoS מהווים סיכון קיברנטי עצום.
סימפטום מדאיג
המקרה הזה אינו עוד סיפור של הפרת חוק טכנולוגי, אלא סימפטום מדאיג של משבר מוסרי עמוק בנופה של התעשייה הדיגיטלית. זהו רגע האמת שבו עלינו לשרטט קווים אדומים ברורים בנוף האפור של האתיקה העסקית, המקום שבו שיקולי רווח פוגשים פיתויים מוסריים.
אותה חברה בקוריאה התקרבה מדי לשמש: בשאיפה לספק את בקשות הלקוחות ובעבור בצע כסף, היא בחרה לחצות את הקו של האתיקה הטכנולוגית. אבל איפה בדיוק עובר הקו שמפריד בין שירות לקוח לבין הפיכת הידע המקצועי לנשק?
במקרה הנוכחי, יצרן מקלטי לוויין לא רק חצה קו אדום – הוא מחק אותו לחלוטין. 240,000 מכשירים עם יכולת התקפת DDoS, מתוכם 98,000 עם מודול מותקן מראש, מייצגים לא רק הפרה טכנולוגית, אלא הפרה מוסרית חמורה. המשמעות היא הפיכת משתמשים תמימים לשותפים בלא ידיעתם למתקפות סייבר פוטנציאליות.
תמונה: dreamstime
PowerOff: מענה ראוי?
הפשיעה הקיברנטית אינה עוד נחלתם הבלעדית של האקרים מסוכנים בחדרים אפלוליים. היא חדרה עמוק לליבה של החברה המודרנית, מאיימת לשנות את המושג "טרור" מן היסוד. סיפורים כמו מקרה הלוויינים הקוריאניים אינם עוד סיפורים חריגים, אלא סימפטום של תרבות דיגיטלית מסוכנת, שבה גבולות המוסר נמחקים תמורת הזדמנות עסקית קלושה.
דוגמה נוספת באה מעולם התאגידים: עובד שפוטר השנה מחברת דיסני השתמש בהרשאותיו כדי לשנות מידע חיוני על אלרגנים במסעדות החברה; ב-2019 עובד במחלקת ה-IT של חברת הרכב הגרמנית Volkswagen ניצל את הגישה שהייתה לו על מנת להחדיר קוד זדוני במערכות ניהול החברה, במטרה לגרוף רווחים על חשבון החברה; ב-2018 מקרה דומה קרה בסיסקו, אז מהנדס ניצל את הידע הטכנולוגי שלו להכניס קוד זדוני למערכות החברה בניסיון לפגוע בה, ויש גם סיפורים על עובדים במגזר הפיננסי שניסו למכור פרטי לקוחות עבור רווחים. אמנם אלה אנשים פרטיים, ולא חברות, אך גם הם היו פעם נדירים ואילו היום הופכים לשכיחים יותר וחושפים את הפוטנציאל ההרסני הטמון בידע טכנולוגי בידיים הלא נכונות – מעשה שאינו רק רשלני ונקמני, אלא בעל פוטנציאל לסכן חיי אדם.
כתגובה למגמה מדאיגה זו, יצר האינטרפול את מבצע PowerOFF – מהלך בינלאומי חסר תקדים שהופעל ב-15 מדינות. במהלך המבצע הוסרו 27 פלטפורמות למתקפות DDoS, נעצרו שלושה מנהלים מרכזיים, ומעל 300 משתמשים פוטנציאליים זוהו. מנכ"ל חברת הלוויינים וחמישה מעובדים נעצרו והואשמו בהפרת חוקי אבטחת המידע, ובית המשפט אישר את החרמת נכסי החברה בשווי של 4.35 מיליון דולר. אך מעבר למספרים היבשים, מדובר בהתעוררות מוסרית עמוקה: הבנה שהטרור הקיברנטי חדר עמוק לליבה של החברה המודרנית.
הסכנה האמיתית טמונה במשתמשים "רגילים" שאינם מבינים את ההשלכות העמוקות של מעשיהם. מתקפת DDoS יכולה לשתק בנק, בית חולים או תשתית חיונית, והופכת בן רגע מ"שירות" עסקי למעשה טרוריסטי. המנכ"ל הקוריאני ועובדיו, כמו רבים אחרים, אולי לא ראו עצמם כטרוריסטים, אלא רק ביקשו לספק ללקוח את השירות הטוב ביותר, מבלי להבין את השרשרת הרחבה של הנזקים האפשריים.
הכותב הוא מנכ"ל y-tech
