אקדים ואומר, לא הייתה לי דרך לאמת את כל הפרטים ולכן אני לא חושף כאן אף פרט מזהה.
אני כן אגיד שמהפרטים שקיבלתי עולה כי האירוע מתרחש בימים אלו באחת מהעיריות במדינת ישראל.
כאמור, באחת העיריות במדינה החליט מבקר העירייה לבדוק את ההתנהלות של אגף מערכות מידע.
מבקר העירייה פנה לראש העיר, הציג את הבקשה וקיבל אישור לבצע את הבדיקה. נראה כי ההבנה הראשונית הייתה כי מדובר בבדיקה של התנהלות האגף אך אופי הבדיקה והיקפה לא היו ברורים לכולם.
בעקבות הבקשה של המבקר פנה ראש העיר למנהל אגף מערכות מידע וביקש ממנו משתמש עם הרשאות ניהול למערכות הארגון עבור הבדיקה.
מנהל האגף מספק לראש העיר את המשתמש וזה מעביר אותו למבקר העירייה.
מבקר העירייה פונה לחברה חיצונית המספקת לפי פרסומים שונים שירותי IT מגוונים, כגון שירותי DR והתאוששות, ניהול מערכות מידע, שירותי ענן ועוד.
החברה מקבלת ממבקר העירייה את המשתמש שסופק לו מראש העיר בעזרת מנהל אגף מערכות מידע, ומקבלת בנוסף, גישת VPN לרשת של העירייה. כל זאת כמובן עבור אותה בדיקה שנדרש לבצע.
כעבור מספר שעות באגף המחשוב בעירייה מתחיל כאוס. אנשי הסייבר מזהים גישה בלתי מורשית למערכות שונות ומאגרי מידע, קבצים נמחקים, משתמשים של עובדים ננעלים וכו' וכו'. בקיצור, הם בטוחים שהם בתוך אירוע סייבר אמיתי לגמרי.
צוות תגובה מוזמן למקום, דיווחים עוברים לגורמים הרלוונטיים ואנשי הסייבר והמחשוב מנסים לנהל את האירוע.
המתקפה גורמת לשיבושים בפעילות הפנימית של העירייה (ללא פגיעה בשירותים לתושב).
מחקירה מהירה מבינים כי המשתמש דרכו מתבצעת המתקפה הוא המשתמש שסופק לראש העיר לבקשת מבקר העירייה, ונראה כי האירוע, שהיה אמור להיות בדיקה פשוטה ולא מבדק חוסן, יוצא לגמרי משליטה והופך להיות אירוע סייבר של ממש.
באגף מערכות מידע לא אישרו פעילות כזו, והמבקר טוען אף הוא כי הוא לא זימן מתקפה כזו.
החברה שנשכרה לבצע את הבדיקה לא מגיבה לפניות (לפחות זה מה שידוע לגורמים האנונימיים שהעבירו לי את הסיפור).
מחלוקות פנימיות בתוך הארגון מתחילות לצוף, המבקר טוען כי אגף מערכות מידע הוא זה שאחראי למתקפה ולכאוס, אך באגף טוענים מנגד כי המבקר אחראי לכך ולא הם.
בשורה התחתונה בעירייה כבר מספר ימים חווים סוג של אירוע סייבר מבלי שיודעים מי הזמין דבר שכזה....
עד כאן הסיפור כפי שהגיע אלי ממקורות שונים.
ברור לי שיש כאן כמה חלקים חשובים שחסרים כדי להשלים את התמונה כמו לדוגמא התגובה של החברה שנשכרה לביצוע הבדיקה.
אין לי מסקנות ואין לי מידע נוסף, האירוע עדיין מתנהל במידה מסוימת כשאף אחד לא ממש לוקח אחריות על המתרחש ובמקביל מנסים להבין מה קרה בתוך הרשת, איזה קבצים נמחקו, לאיזה מאגרים ניגשו, אילו מערכות הושפעו ועוד.
כשיהיה חדש אשתדל לעדכן.
שבת שלום!