מתקפת הסייבר על משרד עורכי הדין הגדול מסתבכת: "אותר גורם עוין ברשת"

מתקפת הסייבר החריגה נגד משרד עורכי הדין גולדפרב גרוס זליגמן ממשיכה להסתבך: במשרד עדכנו כי בעקבות ההתראות שהגיעו ממערך הסייבר הלאומי, בוצעו בדיקות נוספות על-ידי חברת סיגניה שבוחנת את המקרה החמור של התקיפה. על-פי הודעת המשרד, עדיין קיימת פעילות של גורם עוין ברשת של המשרד, ועל כן יש חשש לדליפת מידע חשוב ורגיש.

על-פי ההודעה, במשרד עורכי הדין החליטו, בהתאם להמלצה המקצועית, לנתק באופן מיידי את התקשורת החיצונית של המשרד. 

● גולדפרב גרוס זליגמן: חשד שבוצע ניסיון חדירה נוסף לרשת החברה
● המנהל שהביא את וולט לישראל וההסתבכות בהיקף של 230 מיליון שקל

עדיין אין פרטים נוספים לגבי התקרית, אבל המשמעות של ההודעה היא שההאקר עדיין מצוי במערכות של משרד עורכי הדין. על-פי ההודעה שהמשרד הוציא, "חיבור מחדש של מערכות המשרד ייעשה באופן הדרגתי וזהיר כדי לוודא שהמערכות תחזורנה לשימוש באופן תקין ומאובטח" - אך כאמור טיפול בפריצת סייבר כזו לוקח זמן רב. 

תקיפה בהמשכים

גיל מסינג, ראש המטה ומנהל מערך התקשורת הגלובלית של צ'ק פוינט, מסביר כי "יש מתקפות סייבר שמתקיימות בהמשכים - כלומר גם אחרי שחושבים שאיתרו את התוקף והסירו את האיום, בפועל לא כך היה, והתוקף עדיין נמצא ברשת של הארגון ויכול להסב נזק.

"הצעד המניעתי שננקט הוא משמעותי - ניתוק הרשת החיצונית. זה צעד שעושים כשרוצים לעצור הדבקה בלי שיודעים איפה נמצא התוקף, ומכאן ניתן להסיק שהאירוע הזה הוא עדיין אירוע מתגלגל, ולא ברור באופן מלא מה היקפו".

מסינג מסביר כי האפשרויות כאן יכולות להיות משמעותיות עבור הארגון והלקוחות, "כשמדובר בחשד לדלף מידע".

האם בכל מקרה צריך לבצע ניתוק מלא מהרשת? לדברי מסינג, התשובה היא לא. "אם חושבים שיודעים לגדר את האירוע, כלומר להבין איפה נמצא התוקף ולחסום את המעבר שלו בצורה פחות כוללנית - ניתן להימנע מכך. זה תלוי במבנה של הרשת הארגונית".

לדבריו, במקרים בהם לא ראו נוכחות של התוקף, אבל הוא עדיין שם - או לחילופין כשלא חסמו את נקודת הכניסה האמיתית של התוקף - "אז מתרחשת תקיפת המשך, כפי שאולי קורה עכשיו".

תהייה נוספת שעולה היא האם מדובר באותו התוקף או שמא בתוקף אחר. מצד אחד, כשיש ארגונים מותקפים ובפרופיל גבוה, האקרים אחרים רואים את המקרה ומבינים שייתכן שיש מה שנקרא "נקודת כניסה" לארגון, והם מצטרפים לתקיפה. מצד שני, ההתראות הגיעו ממערך הסייבר הלאומי שזיהה את התוקף - משמע מדובר בתוקף שמצוי במעקב, ולכן כנראה מדובר במקור דומה.