שאלה מאוד צפויה 🙂 כשחשבנו איך לקרוא לקבוצה שלנו, עברנו על השמות של קבוצות כופר אחרות באתר ransomware.live. שמנו לב לרציניות מאולצת שאין לה שום קשר למה שהקבוצות באמת עושות. כל הקבוצות נראות אותו הדבר, 90% מהן פשוט מחקות את LockBit, גם בשם וגם בלוגו. אז החלטנו לבחור בשם שכל דובר עברית מכיר, ושאף אחד אחר לא. זו בחירה פונקציונלית לחלוטין, בלי אג'נדה פוגענית או אידאולוגית מאחוריה. ככה הרבה יותר קל להבדיל בין 'אנשים משלנו' לבין זרים, ועם אנשים משלך תמיד קל יותר להגיע להסכמות, וגם לנו קל יותר לבוא לקראתם.

אני חושב שלא יהיה ראוי לענות על השאלה הזו, משיקולי אבטחה.

גם זו שאלה צפויה, ונראה שאתה לא לגמרי מבין איך התעשייה עובדת. אם מתרחקים רגע מהמסגור הפשטני של 'תוקף מול קורבן', אפשר לראות שתחום הסייבר בכלל, ותעשיית אבטחת המידע בפרט, קיבלו חיים והפכו לרווחיים במידה רבה בזכות קבוצות הכופר. תחזור לרגע לתחילת שנות ה-2000 או אפילו לעשור הראשון של שנות ה-2010. אז, הנזק המקסימלי שאפשר היה לחוות היה לרוב איזו תוכנת 'סחיטה' מגוחכת שהמשתמש עצמו הריץ על המחשב. לא היה איום אמיתי, ולא הייתה תעשייה אמיתית. מהרבעון השלישי של שנות ה-2010 המצב השתנה לחלוטין. אם בוחנים את ההערכות של מומחים לגבי ההכנסות של קבוצות כופר בשנים 2024-2025, ומשווים אותן להכנסות של חברות שפועלות באופן חוקי בתחום, מקבלים פער של כ-$813 מיליון מול כ-$213 מיליארד דולר בתעשייה החוקית. הפער, של פי 261 לטובת התעשייה החוקית, רק הולך וגדל מדי שנה. זה רק מדגיש שכמה שזה ישמע אבסורדי, מספר עצום של אנשים שעובדים כחוק ומקבלים משכורת, למעשה 'ניזונים' מעבודתם של מספר קטן מאוד של אנשים. בגלל זה, מפעילי כופר ואנשי אבטחת מידע יכולים להיחשב בצדק כקולגות שעובדים על אותו הדבר. לגבי דלף מידע, יש שני סוגים של קבוצות. יש קבוצות 'טרוריסטיות', כאלה שדורשות מיליון דולר מעסק עם מחזור שנתי של אלף דולר. ויש קבוצות אחרות שמסתכלות על ההכנסה השנתית ודורשות, למשל, אחוז אחד. אנחנו משתייכים לסוג השני. הסכום שאנחנו דורשים הוא כזה שהחברה יכולה לשלם בוודאות, ובמקרים מסויימים אנחנו גם עושים ויתורים. דלף מידע הוא בעדיפות של החברה. אנחנו לא דורשים את הבלתי אפשרי. זו בחירה שלה האם מסמכים פנימיים יתפרסמו או לא. אם היא לא רוצה בכך, המידע לא מתפרסם והחברה גם לא תופיע באתר ההדלפות. בנוסף, אנחנו מספקים סיוע ומייעצים לחברה כיצד לסגור את כל החולשות ולהגדיר את התשתית בצורה נכונה.

לכל דבר יש התחלה ויש סוף. הצוות שלנו חשב על השקת הפרויקט במשך זמן רב, אבל כפי שאתה יכול להבין, לפני שמקימים דבר כזה צריך לפתור מכלול שלם של סוגיות ארגוניות, כמו תשתיות, גישה, ה-locker, כוח אדם ועוד. כל זה לוקח זמן. מה שחשוב להבהיר הוא שחברי הצוות שלנו מגיעים עם ניסיון נרחב בעבודה במסגרת שיתופי פעולה (RaaS), כך שלא מדובר בפרויקט שמנוהל על ידי חובבנים. אגב, אנחנו נמצאים כרגע בסוף השנה, תקופה שבה כולם מאטים קצב.

אנחנו לא פועלים בישראל, במדינות חבר העמים, ובמספר מדינות באירופה ובאסיה. אין לנו מטרה לתקוף מגזר מסויים, והחריג היחיד הוא תחום הבריאות, אנחנו לא פוגעים בחברות שקשורות לילדים, או בארגונים בהם תלויים חיי אדם.

אני יכול לומר שמעולם לא שילמנו על גישה במובן המקובל של רכישה מברוקרים. אני לא יכול לפרט את השיטות המדויקות, אך כן אפשר לומר שאנחנו מבצעים את כל מה שציינת בהקשר הטכני של עבודה מול היעד, ואף מעבר לכך.

דבר ראשון המידע שנגנב לא משמש רק כמנוף סחיטה, אלא כהוכחה ממשית לכך שהתרחשה פריצה. הענין הוא שאפשר לכתוב כמעט כל דבר, אפילו טענות כמו 'פרצנו לפנטגון' או ל-Microsoft. אין אימות אמיתי של המידע מעבר להצגת הוכחות. לכן להוכחת הדלף יש משמעות מרכזית. לגבי תוכן המידע עצמו, לרוב מדובר במסמכים איכותיים ולא זבל, אנחנו מבצעים מיון. היעד שלנו הוא בדרך כלל סביב 1 טרה-בייט של מידע, לפעמים פחות ולפעמים יותר.

זה רק דדליין ראשוני, ניתן להאריך את פרק הזמן הזה במידת הצורך, והוא נועד בראש ובראשונה לאפשר להנהלת החברה זמן ליצור קשר לפני הפרסום הראשוני באתר ההדלפות. השיטה הזו הוכיחה את עצמה כיעילה במיוחד.

בשלב זה מדובר בתוכנית שנמצאת בתכנון בלבד. מימוש של התכנית ידרוש היערכות רצינית, וברור לנו שלא נגייס אנשים אקראיים מהרחוב. סביר להניח שעבור מי שבאמת ירצה להצטרף, יוצבו דרישות כספיות משמעותיות שישמשו כאמצעי לבחינת הרצינות והכוונות שלו.

הטענה שלפיה 'כל אדם מושפע ממשהו' אינה נכונה באופן מוחלט, ולמעשה לא ממש רלוונטית לתחום שלנו. זה לא פשע קלאסי שבו אתה מתחבא בלילה מהמשטרה. אנחנו חיים חיים רגילים, ולא באמת צריכים להסתתר או להתחבר רק דרך Tor בשעה חמש בבוקר מאיזו חניה נטושה. לדעתי, רוב האנשים שראיתי בתחום מונעים משיקולים אישיים בלבד, ולא מהשפעות חיצוניות כלשהן. ההסתייגות היחידה היא קבוצות שפועלות ממניעים פוליטיים, שם הדינמיקה שונה.

זו שאלה רלוונטית, ואנחנו חושבים עליה לא מעט. באופן עקרוני, פתרונות EDR כבר משתמשים במנגנונים דומים, וגם פיירוולים מתקדמים רבים עושים שימוש במערכות כאלה. ברייה רחבה ובטווח הנראה לעין זה לא צפוי לשנות משהו בצורה מהותית, למעט היכולת לבקש מ-ChatGPT להתאים פקודה למקרה ספציפי. שוב, בזכות ChatGPT, סף הכניסה לתעשייה ירד בצורה מורגשת.

בסך הכול הייתי אומר שהכול בסדר, ואני בטוח שמכאן והלאה הדברים רק ישתפרו עבור כולם. כמובן, בשביל שזה יקרה, כולם יצטרכו לעבוד קשה.