ארז מטולה, Appsec Labs: "הטלפון שלכם הוא כלי ריגול מושלם"

"בימים עברו, כשסוכן או סתם חוקר פרטי רצה לרגל אחרי מישהו בנעליים או בטלפון החוגה מכשירי ציטוט, או שהיה חמוש בעט מצלמה",אמר ארז מטולה, מייסד Appsec Labs.

הוא דיבר בכנס  CyberSecurity 2014, בהפקת אנשים ומחשבים,  שנערך ביום ה' במלון דיוויד אינטרקונטיננטל בתל אביב, בהשתתפות מאות מקצועני אבטחת מידע וסייבר. הנחו אותו אבי וייסמן, מנכ"ל שיא סקיוריטי, ופלי הנמר, יזם ומנהיג אנשים ומחשבים.

מטולה הוסיף: "הימים האלה נגמרו כי היום כל אחד הולך בכיס עם טלפון שיש לו את כל מה ששמי שרוצה לרגל אחרינו יכול לנצל – מיקרופון בו ניתן להקליט כל שיחה, מסך מגע לו ניתן לעשות קי-לוגינג כדי לדעת מה מוקלד, NFC באמצעותו ניתן לצוטט לטלפון אחר בסביבה או ליירט תשלומים, וכמובן למצוא את מיקום מחזיק המכשיר באמצעות המצלמה או ה-GPS".

הוא הסביר על שיטות ישנות יותר שמתעדכנות: "בעולם הישן, אפליקציות ווב היו מוקד לבעיות של מניעת שירות, הזרקת SQL ועוד, דברים שנשארו גם היום, כי האפליקציות האלו משמות תשתית לאפליקציות הסלולריות אך כעת יש לנו וקטורי תקיפה חדשים – למשל איך המידע נשמר".

לדבריו, "בעולם המובייל יש גם מתקפות שרצות על המכשיר עצמו, למשל התקפות צד – אפליקציה תמימה ששולחת הודעות בתוך המכשיר וגורמת נזק. יש אפליקציות שמציבות 'סנייפר', רחרחן, שבודק אפליקציות אחרות על אותו מכשיר".

"כל אפליקציות הבנקאות הגדולות פגיעות"
יאיר עמית, שותף מייסד ו-CTO בחברת Skycure דיבר על הגנת מכשירי טלפון מבוססי מערכת ההפעלה iOS של אפל (Apple): "בעוד שבאנדרואיד (Android) יש אפליקציות עוינות רבות ובהן כאלה הפוגעות בפרטיות, ב-iOS הגן הסגור של אפל מגן על המשתמשים, לפחות על אלו המורידים מחנות האפליקציות של החברה".

"כמו כן, כאשר אפליקציה של אפל רצה על מכשיר נייד, היא מוגבלת ביכולתה להשפיע על אפליקציות שכנות ועל מערכת ההפעלה", הוסיף.

"ועדיין", לדברי עמית, "יש לאפליקציות יכולת לקנפג את המערכת באמצעות קובץ XML – דבר שמהווה נקודת תורפה. התוקף יכול להשפיע ולפתוח אפליקציות אחרות. אם רוצים לגנוב זהות, ישנה אפשרות לעשות זאת דרך פייסבוק או אתרים אחרים. כשהתקנו על מכשיר מערכת המדווחת אלינו על גישות לאפליקציות והסתבר לנו למשל שכל אפליקציות הבנקאות הגדולות פגיעות".

יובל נתיב, מנהל תחום תקיפה בחברת See Security, תיאר מערכת התנהגותית של קוד עוין (Malware). הוא הדגים כלי קוד פתוח הפועלים על מערכת חלונות XP, שמסוגלים בין השאר לשהות ברקע של המערכת תוך כדי בדיקה על כל התהליכים הפתוחים ומה המערכת עושה.