נשיא מיקרוסופט: ידענו על הפריצה לסולארווינדס – רק כי פייראיי סיפרה לנו

הפריצה המסיבית למערכות ממשלתיות בארה"ב באמצעות מערכת אוריון של חברת סולארווינדס (SolarWinds), שנחשפה בדצמבר האחרון, הייתה נותרת בלתי ידועה למיקרוסופט (Microsoft) אלמלא החלטת חברה אחת להיות שקופה לגבי פריצה למערכותיה, כך אמר נשיא הענקית מרדמונד, בראד סמית', למחוקקים בדיון בסנאט שנערך אתמול (ג').

עדותו של סמית' מדגישה כיצד אירועי אבטחה ברשת עלולים להיחשף, וסמית' אמר בדיון כי יש לדרוש מחברות מהסקטור הפרטי להיות שקופות בנוגע לפריצות משמעותיות של מערכותיהן.

"העובדה שאנחנו כאן היום, דנים במתקפה זו, מבררים מה השתבש, ומזהים דרכים להקטנת הסיכונים העתידיים, מתרחשת רק בגלל שקווין מנדיה, ועמיתיו בפייראיי (FireEye), בחרו להיות פתוחים ושקופים לגבי מה שהם גילו במערכות שלהם, ולהזמין אותנו במיקרוסופט לעבוד איתם, כדי לחקור את ההתקפה שהם חוו", כך הסביר סמית לוועדת המודיעין הנבחרת של הסנאט האמריקני בדיון שנערך סביב אירוע הסייבר העצום והדרמטי. "ללא שקיפות זו, סביר להניח שעדיין לא היינו מודעים לתקיפה זו. מבחינה מסוימת, זהו אחד השיעורים החזקים ביותר עבור כולנו. ללא שקיפות מסוג זה, אנו נכשל בחיזוק אבטחת הסייבר".

עדותו של סמית' מדגישה כמה אירועי אבטחה ברשת יכולים לא להיחשף. סמית אמר למחוקקים כי יש לדרוש מחברות בסקטור הפרטי להיות שקופות לגבי פריצות משמעותיות במערכותיהן. הוא השווה את דרישות הגילוי החלקיות בארה"ב לדרישות עקביות יותר במקומות כמו האיחוד האירופי.

תקיפות מתוחכמות שכנראה החלו עוד לפני 2020. מתקפת הסייבר בארצות הברית. אילוסטרציה: BigStock

מתקפה חסרת תקדים – בחסות רוסית?

כזכור, פייראיי חשפה לפני כחודשיים כי היא נפרצה על ידי, מה שלדעתה היה, שחקן בחסות מדינה, שחיפש בעיקר מידע הקשור ללקוחותיה הממשלתיים. החברה מסרה כי ההתקפה הייתה מתקדמת באופן יוצא דופן, והשתמשה בשילוב חדש של טכניקות שלא היינו עדים להן בעבר.

זמן קצר לאחר מכן, רויטרס דיווחה כי האקרים שמקושרים לרוסיה עשויים לגשת למערכות דוא"ל במשרד המסחר ומשרד האוצר של ארה"ב באמצעות עדכוני תוכנה של חברת התוכנה סולארווינדס. משרד הביטחון, משרד החוץ והמשרד לביטחון פנים הושפעו אף הם, כך על פי הניו יורק טיימס. רויטרס הוסיפה וציטטה מקורות שאמרו כי התקפת סולארווינדס קשורה לתקרית פייראיי.

כעבור כמה ימים דיווחה רויטרס כי גם חברת מיקרוסופט נפרצה. מאוחר יותר סוכנויות אמריקניות שיתפו כי השחקנים הרוסים הם ככל הנראה מקור התקיפה. סמית' אמר בעדותו כי מיקרוסופט אינה חולקת על הערכה זו, בעודו אומר כי "מיקרוסופט אינה מסוגלת לייחס סופית את ההתקפה על סמך הנתונים שראינו".

סמית' אמר למחוקקים אתמול כי מיקרוסופט הודיעה ל-60 לקוחות, בעיקר בארה"ב, שנפגעו בקשר לתקיפה, אך הוא הזהיר את המחוקקים כי יש בהחלט עוד קורבנות שטרם זוהו. עוד הוסיף סמית' כי מיקרוסופט זיהתה קורבנות ממשלתיים ומגזרים פרטיים מחוץ לארה"ב שהושפעו. יועץ אבטחת הסייבר של הבית הלבן העריך בשבוע שעבר כי תשע סוכנויות ממשלתיות וכמאה חברות פרטיות הושפעו מהתקיפה.

חשיפה היא "נושא מורכב"

נשיא מיקרוסופט הציע למחוקקים כי בנוסף לדרישה לשקיפות גדולה יותר מחברות פרטיות, על הממשלה לספק "שיתוף מהיר ומקיף יותר" עם קהילת הביטחון.

"חובת גילוי של המגזר הפרטי תביא לחיזוי רב יותר, אשר יכול בתורו לחזק אסטרטגיית תיאום לאומית עם המגזר הפרטי, שיכולה להגביר את התגובתיות והזריזות", כך טען סמית'. "הממשלה נמצאת בעמדה ייחודית המאפשרת ראייה מקיפה יותר, שיתוף של אינדיקטורים וחומרים המעידים על התקפה הנוגעת לאירוע", אמר מנדיה, מנכ"ל פייראיי בראיון ל-CNBC, שם טען כי חשיפה היא "נושא מורכב".

"הסיבה שמדובר בנושא מורכב היא בגלל כל ההתחייבויות שחברות מתמודדות איתן כשהן מפרסמות בנושא גילוי נאות", אמרה מנדיה. "הן עלולות לעמוד בפני תביעות של בעלי מניות, יש הרבה שיקולים בעלי השפעה על הפעילות העסקית שלהן. אתה גם לא רוצה ליצור הרבה מאוד פחד, חוסר וודאות וספק", הבהיר.

יו"ר ועדת המודיעין, הסנאטור הדמוקרטי מארק וורנר, אמר כי ייתכן שכדאי לשקול דרישות גילוי גדולות יותר, גם אם המשמעות היא יצירת הגנה לחברות בכל נושא האחריות הנובעת מחובות הגילוי הללו.