כשחשבון גישה מרחוק עוצר את זרימת הדלק
חשבון VPN ללא אימות רב שלבי, השבתת צינור דלק, תשלום כופר ותפיסת חלק מהכספים.
כופר ששולם
לפי עדות המנכ״ל ביוני 2021.[1]
מטבעות שנתפסו בידי הרשויות
שווים בעת הודעת התפיסה היה כ-2.3 מיליון דולר.[5]
תחילת חידוש ההזרמה
החברה הזהירה שנרמול האספקה יימשך עוד כמה ימים.[3]
האירוע בקצרה
במאי 2021 פגעה מתקפת כופר של DarkSide ברשת המחשוב של Colonial Pipeline, המובילה דלקים בצינורות בארצות הברית. החברה עצרה את הפעילות כדי לבלום את המתקפה. האירוע הפך במהירות ממשבר מחשוב למשבר אספקה, וחיבר בין שיקום תשתית קריטית, תשלום כופר וחקירה פיננסית.
תשתית שהמשק תלוי בה
Colonial Pipeline מובילה בנזין, סולר ודלק סילוני לשווקים במזרח ארצות הברית. לפי עדות המנכ״ל, הדלק שהיא הובילה היווה קרוב למחצית מצריכת החוף המזרחי.[1]
החדירה קדמה להשבתה
בעדות Mandiant לקונגרס תוארה כניסה ב-29 באפריל באמצעות שם משתמש וסיסמה לפרופיל VPN ישן. הפרופיל לא דרש קוד חד פעמי, והחברה סברה שאינו אמור להיות בשימוש.[2]
תשלום לצד שיקום עצמאי
המנכ״ל אישר בעדותו שהחברה שילמה כ-4.4 מיליון דולר. ההחלטה נועדה לקצר את המשבר, אך לא החליפה את עבודת החקירה ואת החזרה המבוקרת לפעילות.[1]
ציר זמן
- 29 באפריל 2021מחקר וחקירה
כניסה באמצעות פרטי גישה
לפי Mandiant, זהו המועד המוקדם ביותר שבו נמצאה עדות לכניסה דרך פרופיל ה-VPN הישן.[2]
- 7 במאי 2021
- 8 במאי 2021
העברת תשלום הכופר
לפי תצהיר החילוט של משרד המשפטים, הועבר תשלום של כ-75 ביטקוין. השווי הדולרי השתנה בין מועד התשלום למועד התפיסה.[6]
- 12 במאי 2021דיווח החברה
תחילת חידוש ההזרמה
החברה הודיעה על התחלת חידוש פעילות הצינור בסביבות 17:00 שעון החוף המזרחי.[3]
- 13 במאי 2021
המערכת חוזרת לשווקים
משרד האנרגיה תיעד את הודעת החברה על הפעלת המערכת כולה ועל חידוש משלוחי הדלק לכל השווקים.[4]
- 7 ביוני 2021
תפיסת חלק מכספי הכופר
משרד המשפטים הודיע על תפיסת 63.7 ביטקוין בעקבות מעקב אחר העברות המטבעות.[5]
- 8–9 ביוני 2021
מה קרה טכנית
חשבון ישן נשאר פתוח
פרופיל ה-VPN אפשר גישה באמצעות סיסמה ללא אימות רב שלבי. ממצא זה מדגיש את הסיכון מחשבונות ומסלולי גישה שנשארים פעילים מחוץ לתהליך הניהול השוטף.[2]
השבתת פעילות אינה הוכחה להצפנת הבקרים
בעדות החברה הוסבר שהניתוק נועד בין היתר למנוע התפשטות מרשת המחשוב הארגונית אל סביבת הבקרה התפעולית. אין להסיק מעצירת הדלק שהבקרים עצמם הוצפנו.[2]
חידוש ההזרמה הוא תהליך תפעולי
החברה החזירה פעילות בשלבים ועבדה עם משרד האנרגיה על תיעדוף שווקים. חיבור מערכות מחדש אינו מבטיח אספקה מיידית לכל תחנת דלק.[3]
תפיסה דרך חקירה פיננסית
לפי משרד המשפטים, החוקרים עקבו אחר העברות הביטקוין וה-FBI החזיק במפתח הפרטי לכתובת שאליה הגיעו המטבעות שנתפסו. ההודעה אינה מתארת פריצה להצפנה של ביטקוין.[5]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
סכום התשלום שצוין בעדות המנכ״ל. הוא אינו כולל את כלל הוצאות השיקום או את הפגיעה בלקוחות ובמשק.[1]
שווי של כ-2.3 מיליון דולר במועד הודעת משרד המשפטים. אין לחשב שיעור החזר דולרי בלי להתחשב בשינוי בשער המטבע.[5]
הממשל תיאם חלופות הובלה, הקלות זמניות ומענה למחסור. המקורות שבתיק אינם מספקים אומדן כולל של הנזק הכלכלי.[4]
התוקפים וטענות האחריות
משרד המשפטים זיהה את DarkSide כקבוצה שקיבלה את תשלום הכופר בקשר למתקפה על Colonial Pipeline.[5]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
לבטל גישה שאינה נחוצה
יש לבדוק לא רק את מערכת הגישה המרכזית, אלא גם פרופילים ישנים, חריגים וחשבונות שספק אם עדיין אמורים להיות פעילים.
לתרגל את התלות בין מחשוב לתפעול
תוכנית המשכיות לתשתית קריטית צריכה להגדיר מתי מנתקים, כיצד ממשיכים לספק שירות ומי מאשר חזרה לפעילות.
לשמר ראיות ולדווח במהירות
יומני גישה, תיעוד תשלומים וערוץ עבודה עם גורמי האכיפה עשויים לסייע גם בחקירה וגם במעקב אחר הכסף.
לתכנן שיקום גם בלי להסתמך על התוקף
תוכנית ההתאוששות צריכה לעמוד בפני עצמה, עם גיבויים בדוקים ותהליך החזרה בטוח של השירותים.
מה עדיין אינו ידוע
- העדויות תיארו פרטי גישה שנגנבו, אך לא קבעו באופן סופי כיצד התוקפים השיגו אותם.
- לא פורסם במקורות שבתיק סכום מאומת אחד הכולל את כל נזקי החברה, הלקוחות והמשק.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
- 5
- 6
