הם נמצאים בכל מקום, סובבים אותנו, משרתים אותנו בצייתנות. ברוב המקרים אנחנו כלל לא מודעים לקיומם, וגם אם כן - אנחנו מתייחסים אליהם בשוויון נפש. מדפסות, מצלמות רשת, נתבי אינטרנט אלחוטי, חיישנים ברכב, קוצבי לב, קומקומים, רמזורים, מכונות במפעלי תעשייה, וכן, גם הבוילר שאנחנו מפעילים בדרך מהעבודה הביתה.
מעל 4 מיליארד עצמים שנראים לנו דוממים, זוכים לחיים משל עצמם ברגע שמחברים אותם לרשת האינטרנט. אלו הם חברי אומת ״האינטרנט של הדברים״ - כל חפץ שקולט נתונים על הסביבה שלו ומדווח עליו למרכז מידע או מקבל פקודות הפעלה מרחוק.
עד לסוף השבוע האחרון, היה המונח הזה - "אינטרנט של הדברים" (IoT) - סוג של באזז וורד, ששמור לאנשי תעשיית ההייטק, או לחובבי גאדג׳טים מושבעים שמדברים בהתלהבות על בית חכם, מכונות ייצור חכמות, מיחשוב לביש, או מכונית אוטונומית.
האינטרנט של הדברים מאפשר ממשק חכם יותר בין האדם למכונה ובין מכונה למכונה, ומעניק לכל מכונה אינטליגנציה שהופכת אותה ליעילה וכלכלית יותר, וכך גם משפרת את ביצועיה ואת התפוקה שלה. אבל מתקפת הסייבר שהפילה עשרות אתרים אמריקאיים ביום שישי, ושיבשה את החיים הדיגיטליים של מיליוני עסקים וצרכנים, הכניסה את המונח לשפת היומיום. כל מי שלא הצליח ביום שישי לצייץ בטוויטר, לשמוע מוסיקה בספוטיפיי, לרכוש מוצרים באמזון, או לקרוא חדשות בניו יורק טיימס - חש על בשרו את העוצמה האדירה שטמונה במיליארדי הדברים ״הטפשים״ שמחוברים לאינטרנט, הפגיעות שלהם וההשפעה הישירה שלהם על החיי היומיום שלנו.
התקפות סייבר כאלו אינן חדשות: בכל שנייה נתונה בעשור האחרון מתבצעות אלפי התקפות מסוג DDoS (מתקפות "מניעת שירות מבוזרת" distributed denial-of-service) היוצרות כמות פניות מתוכננות עצומה לאתר ברגע אחד - עד לקריסתו.
מתקפות סייבר באמצעות האינטרנט של הדברים
גם מתקפות DDoS אשר משעבדות מכשירים שמחוברים כ"אינטרנט של הדברים" - אינה טקטיקה חדשה. אלא שהפעם השילוב בין השניים להפלת האתרים הפופולריים ביותר בארה"ב, הוא זה שהעביר את מתקפות הסייבר על מכשירי אינטרנט של הדברים אל מעבר ל-Tipping Point (נקודת המפנה) שלהם: מניסיונות תיאורטיים של קבוצות האקרים מחתרתיות - אל חיי היומיום של כל צרכני האינטרנט בעולם. גם היחס כלפי המונח המעורפל הזה, IoT, כבר לא יכול להישאר כפי שהיה, ומהיום הצרכנים והיצרנים יהיו חייבים להבין את ההשלכות שהוא טומן בחובו.
ככל שיותר מכשירים ומגוון גדול יותר שלהם מחוברים לרשת, מתבצעים ניסיונות רבים יותר להשתלט עליהם דרך הרשת, להדביק אותם בתוכנות זדוניות וכך "לגייס" אותם בהמוניהם למתקפה ממוקדת על יעד ספציפי. כדי לצבור מספיק עוצמת תקיפה, ההאקרים מפיצים מבעוד מועד וירוס ויוצרים בוטנט - רשת "בוטים" (מחשבים) אצל משתמשים תמימים, הפועלת ללא ידיעתם בשירות ההאקרים ומתזמנת ומסנכרנת את המתקפה המשולבת.
מדובר בדרך כלל במוצרים "פשוטים" יחסית, שמתוכננים לבצע כמה פעולות בסיסיות, וכוללים רכיבי חיבור לאינטרנט - בווייפיי, למשל, או במשדר או מקלט סלולרי - בלי יכולות הגנה עצמית (כמו באמצעות חומות אש, או אפילו תוכנות וירוסים סטנדרטיות). הפשטות שלהם היא גם עקב אכילס, שהופכת אותם לפגיעים ביותר וזמינים לפריצה ולתכנות מחדש, כלומר לכך שישתילו בהם קודי תוכנה זדוניים.
מצלמות אבטחה ונתבי אינטרנט ביתיים הם "החיילים" החדשים
השימוש המאסיבי והמתוכנן בכלים הללו הופנה בסוף השבוע למתקפת סייבר עוצמתית - ישר לבטן הרכה של רשת האינטרנט האמריקאית: חברת תשתית האינטרנט, דיין, שדרכה מתנהלת תעבורת האינטרנט של חברות אמריקאיות גדולות. שרתי דיין, אחראיים לתרגם את כתובות האינטרנט מהשמות המוכרים באנגלית (למשל themarker.com), לכתובות IP - רצף המספרים שאותו "מבינים" המחשבים. ברגע שהשרתים של דיין קרסו בעקבות המתקפה האלימה - הושבת תהליך התיווך והגישה לאתרים לא התאפשרה. כך, במקום לתקוף כל אתר בנפרד, הפנו ההאקרים את כל המשאבים שלהם להפלת תשתית אחת שמשרתת מאות אתרים גדולים.
זמן קצר אחרי הגל הראשון התחילו להתגלגל ההשערות שהתוקפים (לא משנה מאיזו מדינה או עדה) רתמו לצרכיהם רשת של בוטנטים שהושתלו במכשירי אינטרנט של הדברים. ככל הנראה לא מדובר במתקפה על קומקומים חשמליים או קוצבי לב, אלא במכשירים בעלי תפוצה רחבה הרבה יותר שהמפרטים הטכניים שלהם זמינים, קודי התוכנה שלהם די שבלוניים והם מיוצרים על ידי מספר מצומצם של יצרנים. ברבות מהמתקפות על רכיבי IoT בחודשים האחרונים שיעבדו ההאקרים לטובתם בעיקר מצלמות אבטחה ונתבי אינטרנט ביתיים שפזורים במיליונים בכל רחבי העולם, ועל פי ההערכות אלו גם היו "החיילים" שהשתתפו במתקפת הסייבר הפעם.
כמו בכל נקודת מפנה טכנולוגית, גם במתקפה הנוכחית (מעבר לסכנות הברורות שלה) טמונות כמה הזדמנויות. ראשית, הזעזוע הזה יחייב את יצרני הרכיבים של IoT לחשוב מחדש על רמת הבטיחות והפגיעות שלהם - סוגיות שסביבן מתקיימים דיונים תיאורטיים כבר כמה חודשים. חברות ייאלצו לבחון מחדש את רמת הבטיחות של ציוד היקפי שהן מחזיקות ולוודא שהוא לא חושף את מערכות המחשוב שלהן לפריצות לא קונבנציונליות. רשויות מקומיות שפורסות חיישנים בשטחן כדי לספק שירותים חכמים לתושבים, יצטרכו לשקלל את הפגיעות של החיישנים אל מול החדירה לפרטיות התושבים. מפתחי ציוד מעקב רפואי יבדקו שוב עד כמה הם חושפים את המבוטחים לאירועי סייבר. אפילו יצרן מקררים חכמים יהיה חייב להעניק ללקוחות שלו חותמת בטיחות מחמירה יותר מכפי שיכל לעשות עד היום.
בגלל הגיוון הרב של המכשירים, הפלטפורמות והיישומים - כל אחד מהם מחייב דרגות שונות של בטיחות וגישות רבות של אבטחה. אין דין סנסור לתאורת רחוב כדין קוצב לב, מצלמת אבטחה, או קומקום חכם. על פי ההערכות פועלות בישראל מעל 300 חברות וסטארטאפים השייכים לקטגוריה הרחבה של אינטרנט של הדברים, ועוד עשרות חברות שמפתחות שירותי אבטחת סייבר לתחום. לכן, גם עבור תעשיית ההייטק הישראלית, המתקפה הנוכחית יכולה לשמש כאירוע מכונן והזדמנות שראוי לנצל.
עוד ב-TheMarker
הביל גייטס: ביג מק בצהריים וכל דקה מתוכננת מראש
סייבר און פייר: סטארט-אפ ישראלי שהוקם לפני 3 שנים נמכר ב-55 מיליון דולר