חולשה אחת, אלפי ארגונים ושרשרת ארוכה של נפגעים
ניצול המוני של שרתי העברת קבצים, גניבת מידע וסחיטה גם של ארגונים שנפגעו דרך ספקים.
היקף שתועד במעקב Emsisoft
תמונת מצב ל-28 ביוני 2024, כולל פגיעה דרך ספקים.[3]
אנשים במניין הדיווחים
המעקב אינו מנכה בהכרח אנשים שנפגעו אצל כמה ארגונים.[3]
תקבולי סחיטה לפי מחקר
אומדן Chainalysis לקמפיין, לא עלות השיקום העולמית.[4]
האירוע בקצרה
מסוף מאי 2023 נוצלה חולשת יום אפס במוצר MOVEit Transfer של Progress לגניבת מידע. CL0P ניהלה קמפיין סחיטה רחב, והפגיעה התגלגלה גם ללקוחות של ספקי שירותים שהשתמשו במוצר. זהו קמפיין הכולל אירועים רבים, ולא פריצה יחידה לארגון אחד.
המוצר שדרכו עבר המידע
MOVEit הוא פתרון להעברת קבצים מנוהלת. לפי הדוח של Progress, נגנב מידע מסביבות MOVEit של לקוחות. השימוש הנרחב במוצר הפך את אותה חולשה לסיכון משותף לארגונים רבים.[5]
הניצול התחיל לפני הפרסום
Mandiant מצאה עדויות לניצול כבר ב-27 במאי 2023. החולשה פורסמה ב-31 במאי וקיבלה את המזהה CVE-2023-34362. היא אפשרה הזרקת SQL, כלומר מניפולציה של פניות למסד הנתונים.[1]
ציר זמן
- 27 במאי 2023מחקר וחקירה
העדויות המוקדמות לניצול
Mandiant תיארה ניצול חולשה שטרם פורסמה, התקנת רכיב גישה זדוני וגניבת מידע.[1]
- 31 במאי 2023מחקר וחקירה
פרסום החולשה
Progress פרסמה את החולשה ואת המענה הראשוני. החוקרים זיהו את הקשר ל-CVE-2023-34362.[1]
- 5 ביוני 2023מחקר וחקירה
השפעה על לקוחות של ספקי שירות
בערוץ דווח על הפגיעה ב-Zellis ועל חשיפת מידע של לקוחותיה, בהם British Airways וה-BBC.[6]
- 7 ביוני 2023
- יוני–אוגוסט 2023
- 7 בפברואר 2024מחקר וחקירה
אומדן לתקבולי הקמפיין
Chainalysis העריכה שתקבולי הסחיטה של הקמפיין עלו על 100 מיליון דולר.[4]
- 28 ביוני 2024מחקר וחקירה
תמונת היקף מאוחרת
מעקב Emsisoft מנה 2,773 ארגונים וכ-95.8 מיליון אנשים בדיווחים, תוך הסתייגות מחפיפה בין נפגעים.[3]
- ינואר 2026דיווח החברה
דיווח על עלויות הספק בשנים 2023–2025
בדוח לשנת הכספים 2025 הציגה Progress הוצאות נטו לפי שנה והסבירה שההליכים המשפטיים מוסיפים אי ודאות.[5]
מה קרה טכנית
הזרקת SQL בממשק העברת קבצים
החולשה אפשרה לתוקף בלתי מזוהה לפגוע במוצר החשוף לאינטרנט. לפי האזהרה המשותפת, הניצול שימש להצבת רכיב זדוני ולגניבת מידע.[2]
LEMURLOOT נבנה עבור סביבת MOVEit
Mandiant תיארה רכיב גישה זדוני מסוג web shell, שהתחזה לקובץ לגיטימי ואפשר בין היתר איתור קבצים ושליפת מידע מהמערכת.[1]
גניבת מידע וסחיטה גם בלי להצפין
תיאור הקמפיין מתמקד בגניבת מידע ובאיום לפרסמו. הכינוי קבוצת כופר אינו מעיד שכל שרת MOVEit שנפגע הוצפן.[2][4]
תיקון החולשה אינו מוחק גישה קודמת
כיוון שהניצול קדם לפרסום החולשה, התקנת עדכון אינה עונה לבדה על השאלה אם מידע כבר נגנב. יש לשלב בדיקת ראיות מהתקופה שקדמה לעדכון.[1]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
אומדן לתשלומים שהתקבלו בקמפיין. הוא שונה מהוצאות החברות ומאומדן כולל של נזק כלכלי.[4]
הוצאות הספק הקשורות לחולשה, לאחר קיזוז החזרי ביטוח. אלו אינן הוצאות כלל הארגונים שנפגעו.[5]
המספר מבוסס על דיווחים פומביים ומקורות נוספים. הוא אינו שקול למספר שרתי MOVEit שנפרצו ישירות.[3]
התוקפים וטענות האחריות
FBI ו-CISA קישרו את הקמפיין ל-CL0P. הקבוצה פרסמה גם טענות אחריות ודרישות סחיטה, שתועדו בערוץ.[2][9]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
למפות גם היכן ספקים מעבירים את המידע
מצאי מוצרי העברת קבצים צריך לכלול שירותים שמפעילים ספקי שכר, ביטוח, ייעוץ ושירותים נוספים עבור הארגון.
להפריד בין סגירת חולשה לבדיקת חדירה
יש לעדכן במהירות, אך גם לחקור גישה קודמת, לבדוק קבצים זדוניים ולבחון חשיפה של מידע ופרטי גישה.
לצמצם שמירה של קבצים רגישים
שרת העברת קבצים אינו צריך להפוך לארכיון ללא מגבלת זמן. מדיניות מחיקה והרשאות מצומצמות יכולות להפחית את חומרת הדלף.
לתכנן הודעות לאורך שרשרת הספקים
יש להגדיר מי מודיע למי, אילו נתונים נדרשים וכיצד מזהים את בעלי המידע כשהנפגע הישיר הוא ספק שירות.
מה עדיין אינו ידוע
- מניין האנשים במעקב אינו בהכרח מספר ייחודי של נפגעים, משום שאותו אדם עשוי להופיע בכמה אירועים.
- לא פורסם כאן סכום כולל מאומת של נזקי הקמפיין. תקבולי סחיטה והוצאות של ספק יחיד אינם תחליף לנתון כזה.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
- 5דיווח החברה20.01.2026, דוח לשנת הכספים 2025דוח שנתי: הוצאות והליכים הקשורים לחולשת MOVEit
Progress / SEC
- 6
- 7
- 8
- 9
