כך סיסמה גרועה אחת הקריסה חברה בת 158 שנה

סיסמאות דולפות. צילום: Amsis1 Dreamstime.com

הסטטיסטיקה מראה כי רוב העסקים הקטנים לא מחזיקים יותר מחמש שנים. לכן, כשחברת הלוגיסטיקה הבריטית KNP, שהחלה את דרכה בשם Knights of Old, חגגה מעל 150 שנות פעילות, אפשר היה לדמיין שהיא כבר מעבר לשלב שבו טעות אחת מסוגלת למוטט הכול.

במשך עשורים היא הצליחה לשמור על יציבות בשוק לא יציב, לפתח מערך הובלה מתוחכם שכלל מאות משאיות ברחבי בריטניה ולעמוד בתקני רגולציה מחמירים, אבל ביוני האחרון כל העסק קרס. זה לא קרה כתוצאה ממשבר כלכלי, לא בעקבות תחרות חדשה ולא בשל שינוי דרמטי בשוק. זה נגמר בגלל סיסמה גרועה.

החברה, שבסיסה במחוז נורת'האמפטונשייר, נפלה קורבן למתקפת כופרה של קבוצת Akira, לאחר שתוקפים הצליחו לנחש את סיסמתו של אחד מעובדי החברה. הסיסמה, כך מתברר,  הייתה פשוטה, קלה לניחוש ולא הוגנה באימות דו שלבי.

ברגע שנכנסו פנימה, ההאקרים פרסו את הכופרה על מערכות החברה, מחקו גיבויים, השביתו את יכולות ההתאוששות מאסון ודרשו כופר של חמישה מיליון ליש"ט – סכום שהחברה לא יכולה הייתה לעמוד בו. תוך מספר ימים פעילות KNP הוקפאה לחלוטין: כל מערך ההובלה הושבת, כל המידע העסקי הוצפן. צוות תגובת המשבר שתופעל מטעם חברת הביטוח הגדיר את האירוע כתרחיש הגרוע ביותר האפשרי. ארמגדון של ממש. בתוך זמן קצר, החברה נכנסה להליך פירוק, וכ-700 עובדים איבדו את מקום עבודתם.

החוליה החלשה היא האדם שבשרשרת

זה לא היה כשל מערכתי במובן הטכנולוגי. לא פרצת Zero Day שנוצלה או קוד זדוני שחמק מגילוי. זאת הייתה טעות אנוש של אדם אחד, בתוך מערכת גדולה שלא זיהתה בזמן את החוליה החלשה. והאמת היא ש-KNP אינה לבד, מדובר בסיפור שחוזר על עצמו בארגונים מכל סוג, מהחברות הגדולות במשק ועד לעסקים משפחתיים.

דווקא בגלל זה, הסיפור של KNP מעורר אי נוחות. מחקרים מראים ש-45% מהסיסמאות שדלפו לרשת ניתנות לפיצוח תוך פחות מדקה וזה קורה כל הזמן. עובדים בוחרים בסיסמה שקל לזכור, משתמשים בנתונים אישיים, חוזרים על אותה מילה בכמה מערכות, לעיתים אפילו משתמשים בסיסמה שנפרצה בעבר ולאף אחד אין באמת יכולת לעקוב. ברגע שאין נראות, אין שליטה.

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

אבל הנזק כאן לא היה רק כלכלי. חברה שהתקיימה כמעט 160 שנה קרסה והנזק מגיע לכל המעגלים: חברתי, אזורי, אנושי. מאות משפחות איבדו את מקור הפרנסה המרכזי שלהן. ספק מרכזי נעלם והכלכלה המקומית איבדה עוגן. במקרים אחרים, בהם הארגון מצליח לשרוד את המתקפה, מגיעות שאלות קשות על אחריות: מצד לקוחות, שותפים עסקיים, גופים רגולטוריים – והכול מלווה בפגיעה במוניטין שקשה לתקן.

חשוב להבין: המקרה של KNP אינו יוצא דופן. בשנה האחרונה לבדה דווחו בבריטניה כ-19,000 מתקפות כופרה על עסקים, ביניהן גם על שמות גדולים כמו Harrods ו-M&S. אף אחד לא חסין. ובזמן שהטכנולוגיה מתקדמת, כנופיות תקיפה פועלות באסטרטגיה הפוכה: הן פונות לטקטיקות פשוטות, זולות, קלות לביצוע, שמבוססות על טעויות אנוש ולא על פרצות קוד. זה כולל גם שיחות טלפון מזויפות למוקדי תמיכה, גניבת סיסמאות, שימוש בפרטי גישה שנחשפו בעבר, וניצול הרגלים רופפים של עובדים.

דווקא בגלל שזה פשוט הפתרון אינו מורכב. זה מתחיל בבקרות בסיסיות על סיסמאות, אימות דו שלבי לכל מערכת קריטית, זיהוי סיסמאות שהודלפו, הגדרה מחדש של הרשאות וביצוע בדיקות שגרה לגיבויים וליכולת ההתאוששות הארגונית. זה לא דורש השקעה עצומה. זה דורש תשומת לב והבנה שאף מערכת לא חזקה יותר מהסיסמה הכי חלשה שלה.