האם צפויות תקיפות כופרה נגד מערכות תפעוליות קריטיות?

תקיפות כופרה נגד ארגוני בריאות, מוסדות אקדמיה, ארגונים פיננסיים, תשתיות קריטיות ומפעלים תעשייתיים – באמצעות חדירה למערכות והצפנה של הקבצים – הפכו בשנים האחרונות לאמצעי נפוץ ביותר. הסיבה העיקרית לכך היא שתהליך התקיפה לא דורש מומחיות, שניתן "לרכוש" שירותי תקיפה מאתרים מוכרים, ושהתוקפים יכולים לדרוש תשלום כופרה תוך דקות מהאירוע.

התוקף יכול לדרוש כופרה בשלושה מסלולים: עבור מסירה של מפתח פענוח; עבור הבטחה לקורבן שלא יפרסם מידע אישי ומסחרי חסוי; ועבור הבטחה שלא יתקוף את הלקוחות ואת הספקים של הקורבן.

במקרים רבים, הקורבן נאלץ לנהל משא ומתן ולשלם את הכופר הנדרש, כיוון שלא נערך מראש עם אמצעי הגנת סייבר חזקים ולא התכונן כנדרש כדי להתמודד עם האירוע.

סייבר עוין נגד מערכות בקרה תעשייתיות

אם נשאל מנהלי אבטחת סייבר בארגונים תעשייתיים האם תוקפים מקצועיים ומדינות עוינות צפויים לפעול נגד מערכות בקרה תעשייתיות במטרה לגרום להשבתתן, לנזק למכונות תעשייה ולסיכון חיי אדם, התשובה המיידית והברורה תהיה – כן! ואכן, אירועים רבים מסוג זה כבר התרחשו בעבר וצפויים להתרחש בעתיד.

הפענוח של מרבית הקבצים המוצפנים יכול להתרחש במערכות מידע (IT), כיוון שקיים סיכוי סביר כי מרבית הקבצים ישוחזרו באופן תקין. אבל, אם נשאל האם אירועים מסוג תקיפות כופרה על ידי תוקף מקצוען, באמצעות הצפנה של קבצים, צפויים להתרחש נגד מערכות בקרה תעשייתיות (ICS-OT-SCADA), שבפגיעה בהן קיים סיכון בטיחותי, כגון בתי זיקוק, תחנות כוח, מערכות התפלה ותשתיות מים, במלוא הזהירות – התשובה תהיה לא.

וכן, לא מעט קוראים ירימו גבה וישאלו: איך ניתן לומר בבטחה הצהרה כזו? ראשית, כי המידע התפעולי במערכות הבקרה תעשייתיות בדרך כלל אינו סודי (פרט למקרים חריגים), ושנית כי תוקפים שפועלים בכוונה של רווח כספי לא יבזבזו את זמנם על מערכות כאלה. זאת, משום שאין להם ערך כספי ממערכות אלה, או שהוא יהיה מועט ביותר – בוודאי בהשוואה למידע ולכסף שהם יכולים להשיג מתקיפת מערכות IT. לכן, ארגונים שחובתם להתגונן בפני אירועי סייבר יוכלו להפנות את המשאבים שהתפנו לאחר ההבנה שמערכות ה-OT הן לא יעד מועדף על ההאקרים לאמצעים אחרים, כגון: הגנה פיזית היקפית, הפרדת רשתות, ביצוע סקרים והדרכות לעובדים.

מה שכן, אם מי מכם יחליט לשחזר קבצים תפעוליים מוצפנים של מערכת תעשייתית, אין זה בטוח כלל וכלל שהמערכת תחזור לפעולה בטוחה ואמינה. עקב פעולה כזו, עלולים להתרחש השבתה, נזק למכונות תעשייה וגם סיכון לחיי אדם. אם אירוע מסוג של הצפנה או שיבוש של מערכות בקרה תעשייתיות יתרחש, אין אפשרות אחרת אלא לנקות את המערכת שנפגעה לחלוטין ולהתקין מחדש את הקבצים התפעוליים שנשמרו בנפרד מהמערכת בדיוק למטרה זו.

כותב המאמר הוא יועץ ומרצה בתחום אבטחת סייבר למערכות תפעוליות ויו"ר הכנס השנתי &AI IIoT ICS Cybersec 2025 OT מבית אנשים ומחשבים, שיערך ב-8-1-2025