סיפור מקרה (Case study): מתקפת סייבר שנעצרה בזמן – בחברה שמנהלת את התחבורה הציבורית של מדינה שלמה
בחודש מאי האחרון, צוות התגובה לאירועי סייבר (IR) שלנו קיבל פנייה דחופה מגוף ממשלתי מרכזי בחו"ל – חברה שאחראית על תשתית הכרטוס והניהול של כלל מערך התחבורה הציבורית במדינה.
כחודשיים קודם לכן, ערכנו עבור הארגון סקר סיכונים לאבטחת מידע באופן מעמיק, שבמהלכו זיהינו שורת פגיעויות קריטיות בתשתיות ובנהלים. המלצנו על פעולות מידיות לטיפול בפערים, אך בפועל – טרם הספיקו ליישם את ההמלצות לפני שקרה הלא צפוי.
האירוע
במהלך סוף חודש מאי התגלו סימנים לפעילות חריגה. הצוות שלנו ביצע חקירת אירוע (IR) שכללה גם מיפוי של פני השטח לתקיפה (Attack Surface Mapping), והתמונה שהתגלתה הייתה מדאיגה:
- גישה ציבורית לתשתית ה-VPN הארגונית – קובץ התקנה של תוכנת התחברות מרחוק (VPN) עם הגדרות קבועות מראש, כולל פרטי רשת ניהולית פנימית, היה נגיש באינטרנט לכל דורש – ללא סיסמה או אימות.
- ניסיונות תקיפה ממקורות חשודים – נרשמו ניסיונות חיבור מצד כתובות IP שהיו מזוהות בעבר בפעילות זדונית, חלקן ממקורות אנונימיים כמו VPNים זרים.
- מתקפת כוח גס (Brute Force) על חשבון הניהול הראשי – עשרות ניסיונות התחברות לחשבון Admin, על פני מספר ימים, ללא הצלחה. למרבה המזל, כל שינויי ההגדרות שבוצעו בפועל הגיעו ממשתמשים פנימיים מורשים.
למה זה מסוכן?
כאשר מדובר בגוף שאחראי על תשתית קריטית – כמו מערכת התחבורה הציבורית של מדינה שלמה – המשמעויות של מתקפת סייבר הן חמורות במיוחד:
- שיבוש תחבורתי נרחב – תוקף שהיה מצליח לחדור למערכת היה עלול לשבש את מערך הנסיעות, לבטל כרטיסים, ולשבש חיובים.
- פגיעה באמון הציבור – דליפת מידע אישי של מיליוני נוסעים עלולה הייתה לפגוע באמון במערכת ולגרור השלכות פוליטיות.
- שימוש בתשתיות כפלטפורמה לתקיפות נוספות – ניצול רשתות התחבורה הציבורית לפעילות זדונית כלפי גופים ממשלתיים או תשתיות קריטיות נוספות.
ומה עשינו?
בזכות הפנייה המהירה, הצלחנו לאתר את מקור הסיכון ולעצור את המתקפה לפני שגרמה לנזק ממשי. ביצענו:
- חסימה של הגישה הציבורית ל-VPN
- ניטרול כתובות חשודות
- סקירה מלאה של הלוגים וניתוח עומק של הפעילות הארגונית
בנוסף, סייענו בהקמה של נהלים חדשים לניהול שינויים ותחזוקת מערכות בצורה בטוחה.
השורה התחתונה
למרות שהאירוע הסתיים ללא פגיעה תפעולית, הוא מהווה תזכורת חדה לכך שתשתיות קריטיות אינן חסינות – והתגובה בזמן אמת, לצד מוכנות מוקדמת, הן קריטיות למניעת נזק.
