Venomware הוא לא כלי. הוא מראה. בנינו אותו כדי לשקף את המציאות של אבטחת המידע המודרנית: רוב החברות משקיעות מיליארדים באבטחת דלתות שמעולם לא נועדו להיות נעולות. הוא לא מנצל חולשות. הוא מתבונן. הוא מוצא את הפער. הוא פשוט נכנס דרכו. ועד שאתם מבינים מה קרה, אנחנו כבר לא שם. לא מפני שאנחנו מהירים, אלא מפני שאתם איטיים.

הפעולה הייתה היברידית. Venomware טיפל בכל מה שהיה יכול. בני אדם קיבלו את ההחלטות הסופיות. אבל האמת היא שיכולנו להפוך את כל התהליך לאוטומטי. בחרנו שלא לעשות זאת, מפני שרצינו לראות כמה זמן ייקח להם להבחין בנו. הם לא הבחינו, וזו לא התרברבות. זה כתב אישום.

אנחנו מפתחים אותו כבר שלוש שנים. לא, Novo לא הייתה הראשונה. היא פשוט הייתה הראשונה שהייתה יהירה מספיק כדי להתעלם מאיתנו. האחרים שילמו. הם הבינו את המצב.

התמקדנו במודלי ה-AI מפני שאין להם תחליף. כל השאר, כולל נתוני ייצור ורשומות קליניות, ניתן לשחזור. אבל מודלי AI מייצגים שנים של מחקר, השקעה של מיליארדים והעתיד התחרותי של הארגון. כאשר אתה לוקח את זה, אתה לא לוקח רק מידע. אתה לוקח מנוף לחץ. נמנענו מ-OT ומ-PII במכוון. יכולנו לקחת אותם. בחרנו שלא. לא מפני שלא היינו מסוגלים, אלא מפני שיש לנו יותר קלאסה מכמות האבטחה שיש להם. אנחנו לא תוקפים תשתיות שעלולות לפגוע במטופלים. אנחנו לא תוקפים מידע שעלול להרוס חיים. זה הגבול שאנחנו מציבים.

הסכום של 50 מיליון דולר לא נבחר באקראי. הוא חושב בהתאם לערך של המידע עבור המתחרים שלהם, לעלות החלפת תשתית ה-AI שלהם ולנזק האפשרי להכנסות העתידיות שלהם. 50 מיליון דולר זה כסף קטן ביחס למה שהם יפסידו. הם פשוט עדיין לא מבינים את זה. הם יבינו.

יצאנו לתקשורת מפני שהם אילצו אותנו. נתנו להם כל הזדמנות לפתור את העניין בשקט: אימות, תהליך מחיקה ודרך לסגירת האירוע. הם ניצלו את הזמן שלנו כדי להכין הודעה לעיתונות במקום לבצע תשלום. הם חשבו שהשתיקה תגרום לנו להיעלם. זה לא קרה. היא גרמה לנו לדבר.

לא היו ניצולים של חולשות ולא הייתה הנדסה חברתית. לא פרצנו פנימה. פשוט נכנסנו. השתמשנו בקריאות API לגיטימיות, בטוקנים תקפים ובנקודות קצה חשופות. לא היו חולשות Zero-Day. לא היו ניצולים מתוחכמים. רק סדרה של הנחות בסיסיות שמישהו היה צריך לערער עליהן.

אנחנו מבוזרים בכוונה. אין מנהיג יחיד. אין נקודת כשל יחידה. אין מוקד אגו יחיד. לכל מפעיל יש אוטונומיה במסגרת הפרמטרים שעליהם הוסכם. הבוס קובע את הסטנדרט: דיוק, שקט ויושרה. וזה לא תואר. זו מחויבות.

Novo נבחרה מסיבה אחת: פגיעות. סרקנו את מגזר התרופות. ל-Novo היו פערים גלויים. זו הייתה המטרה הקלה ביותר שאי פעם ראינו. לא בחרנו בה בגלל המוניטין שלה. בחרנו בה מפני שהיא הייתה חשופה. השם שלה הגיע אחר כך.

העצה שלי לחברות? תפסיקו להתייחס לאבטחת מידע כאל משבצת שצריך לסמן. בדקו שירותים חשופים. החליפו פרטי גישה. עקבו אחר השימוש ב-API. תניחו שכבר נפרצתם. אם מישהו מציע להראות לכם את החולשות שלכם, תקשיבו. כי הבא שיגיע לא יבקש. הוא פשוט ייקח.