אז מה אם נפרצנו? ענקית התחבורה Uber וענקית ניהול הסיסמאות LastPass הודיעו שתיהן בסוף השבוע כי למרות שהאקרים הצליחו לפרוץ למערכות הפנימיות שלהן בדרכים דומות, ולהשיג מה שמומחי אבטחה כינו "גישה מלאה", הלקוחות אמורים להישאר רגועים.

הראשונה היתה לאסטפאס, מפעילת שירות גיבוי וניהול הסיסמאות הגדול בעולם. מנכ"ל החברה, קארים טוֹאוּבה, כתב בבלוג החברה ביום חמישי כי בתום כחודש של חקירה משותפת של החברה עם Mandiant, חברת ניהול הסייבר שנרכשה לאחרונה על ידי גוגל תמורת כ-5.4 מיליארד דולר, נמצא כי ההאקר נהנה מגישה למערכות הפיתוח של החברה במשך 4 ימים. עם זאת, לדבריו, "למרות שגורם האיום יכול היה לגשת לסביבת הפיתוח, תכנון ושליטת המערכות שלנו מנעו מגורם האיום לגשת למידע לקוחות כלשהוא או לכספות סיסמאות מוצפנות".

ההאקר השיג את הגישה על ידי שימוש במתקפת אימות דו-שלבי – מה שאומר שהוא ניסה להיכנס לחשבון של עובד או עובדים שוב ושוב, עד שאחד העובדים אישר, מתוך חוסר תשומת לב או הטעיה מכוונת, את הכניסה של ההאקר לחשבון שלו, וכך העניק לו גישה לכל המערכות שלעובד היתה גישה אליהן.

החברה ציינה כי למרות שההאקר השיג גישה מלאה לכלי הפיתוח של השירות, היא "לא מצאה הוכחה" לכך שהוא ניסה להוסיף קוד זדוני למוצר שלה כדי לסכן גם את המשתמשים. עם זאת, הבסיס שלה לטענה הזו הוא שהיא בודקת כל קוד לפני הפרסום – טענה שקשה לתת בה אמון רב אחרי שהתגלה כי לאותם עובדים שאחראים עליה לקח 4 ימים להבחין בכך שהאקר מסתובב להם במערכות.

ביום שישי (לפי שעון ישראל זה היה בשבת לפנות בוקר) עדכנה גם אובר שהפריצה אליה בשבוע שעבר לא אמורה להדאיג את המשתמשים. "אין לנו כל הוכחה כי התקרית כללה גישה למידע משתמשים רגיש כגון היסטוריית נסיעות. כל שירותינו – כולל אובר, אובר איטס (משלוחי אוכל), אובר פרייט (תעבורת מטענים) ואפליקציית הנהגים פועלות. כפי ששיתפנו אתמול, מסרנו הודעה לרשויות אכיפת החוק. כלי תוכנה פנימיים שסגרנו אתמול כאמצעי ביטחון חוזרים הבוקר לאוויר", כתבה החברה בטוויטר.
 

pic.twitter.com/BwzpviHxmR

— Uber Comms (@Uber_Comms) September 16, 2022

מוקדם יותר בשבוע שעבר עלתה לפורום הפנימי של אובר בשירות העבודה המשותפת Slack הודעה בה נכתב: "אני מכריז שאני האקר ואובר סובלת מפרצת אבטחה". ההאקר פרסם כי השיג גישה מלאה לחשבונות הפנימיים של אובר, כמו Slack שאליה העלה את הפוסט, Amazon Web Services, Google Cloud Platform ועוד. הוא טען כי הוא בן 18 בלבד, פרץ לחברה "בשביל הכיף" או בשביל למחות על חוסר תנאי ההעסקה של נהגים ושליחים פרילאנסרים, וכי השיג את הגישה לחשבונות באותה שיטה בה השתמש ההאקר של לאסטפאס: הוא שלח לעובד מסוים המוני התראות על ניסיונות כניסה לחשבון שלו במשך יותר משעה, ולבסוף פנה אליו בוואטסאפ תוך התחזות לאיש מחלקת המחשבים באובר והסביר שמדובר בתקלה ולחיצה על אחת ההודעות תעצור את המבול. העובד השתכנע, לחץ – והעניק להאקר גישה לכל המערכות שאליהן היתה לאותו עובד גישה.

עוד ב-

מנהל הסיסמאות הפופולארי בעולם נפרץ

לכתבה המלאה

למרות ניסיונותיהן של החברות לטעון כי הפריצות לא מסכנות את המשתמשים, עצם האדישות לכאורה שבה הן מתייחסות לפריצות שבהן הושגו פרטים – ולו בסיסיים – של משתמשים ועובדים צריכה להדיר שינה מעינינו. חשוב לשים לב להודעות חשודות מתקבלות בכל אמצעי אפשרי – החל מ-SMS, דרך מייל ועד וואטסאפ – ולא להזדרז ללחוץ על אף הודעה בלי לקרוא אותה לעומק ולהבין האם מדובר בהודעה חשובה או בניסיון פריצה.