האקר מואשם שפרץ לחברה, חדר למחשבים שלה, עדכן אותה על זה וצירף קורות חיים

חדר כושר. צילום אילוסטרציה – pexels, Victor Freitas

פרקטיקה ידועה בענף הסייבר היא מבחני חדירה. חברה משלמת להאקרים כדי שיאתרו חולשות, ינסו לפרוץ אליה, יחברו דוח עם המלצות איך לשפר את ההגנה, ישלחו חשבונית, יקבלו מהמנכ"ל מייל של "תודה! לא היה לי מושג כמה חורים יש פה. אני אדאג לסגור הכל" ויעברו ללקוח הבא.

במרבית המקרים, באופן לא מפתיע, המהלך העסקי הזה נעשה בידיעת החברה שנפרצת, ולאחר שהזמינה את השירות. במקרה של ניקולס מייקל קלוסטר, בן 31, מקנזס סיטי, מיזורי – זה התנהל אחרת לגמרי.

שלח לקורבן הפריצה את קורות חייו

על פי כתב אישום שהוגש נגדו בארה"ב, הוא פרץ לחברה המפעילה חדרי כושר בניסיון לפרסם את עצמו: הוא פרסם צילום מסך של הדסקטופ שלו שמראה שליטה על מצלמות האבטחה שלה עם חלון צ'אט ובו הודעה: "איך לגרום לחברה להשתמש בשירות האבטחה שלך".

על פי האישום נכנס פיזית למשרדי החברה בלילה אחד בחודש אפריל האחרון, מספר שבועות לפני שפרסם את ההודעה. למחרת הוא שלח אימייל מהעבודה שלו לאחד מבעלי החברה וטען כי השיג גישה למערכת המחשבים שלה.

"הצלחתי לעקוף את תהליך ההתחברות למצלמות האבטחה על ידי שימוש בכתובות ה-IP הגלויות שלהן." הוא כתב, "בנוסף, השגתי גישה להגדרות הראוטר של Google Fiber, מה שאפשר לי להשתמש ב-[צונזר] כדי לחקור חשבונות משתמש הקשורים לדומיין". בהמשך הבהיר את עומק החדירה שלו למערכות של החברה "אם אני מצליח להגיע לקבצים במחשב של משתמש, הדבר מצביע על פוטנציאל לגישה עמוקה יותר למערכת", הוא כתב.

קלוסטר גם טען כי הוא "עזר ליותר מ-30 עסקים קטנים ובינוניים באזור" וצירף עותק מקורות החיים שלו, שעל פי כתב האישום שונים "משמעותית" מאלה שהגיש לחברה שעבד בה.

לאחר מכן עובדי החברה הבחינו כי הוא צודק בטענות שלו, ואכן השיג גישה. לפי האישום, דמי המנוי שלו הופחתו לדולר אחד בלבד, תמונתו נמחקה מרשת המחשבים של המועדון, והוא גנב תג של עובד.

פרץ עם דיסק אתחול

קלוסטר, על פי החשד לא הסתפק בחברת חדרי הכושר. בחודש מאי האחרון הוא מואשם שנכנס לשטח פרטי של עמותה, חיבר דיסק אתחול (בוט דיסק עם מערכת הפעלה) לאחד ממחשבי העמותה כדי לעקוף את הדרישה לסיסמה וקיבל גישה לרשת שלה דרך מספר משתמשים. שם הוא שינה סיסמאות, התקין VPN וגרם לנזקים שהתיקון שלהם עלה 5,000 דולר לפי העמותה.

את אמצעי הפריצה שלו, דיסק און קי, הוא רכש, לפי האישום באמצעות כרטיס אשראי של הקורבן השלישי שלו – החברה שהעסיקה אותו בחודשים מרץ עד אפריל השנה.