מתקפת הסייבר על מקררי המרכולים בבלגיה, הולנד ובשבדיה במהלך סוף השבוע עוררה בהלה והביאה לכוננות מוגברת במגזר הקמעונאי, גם בישראל. מערך הסייבר אף שיגר אזהרה חמורה וחריגה כשהוא קורא לנקוט אמצעי זהירות לא שגרתיים סביב הבקרים המנהלים את מערוכות הקירור - נקודת תורפה לא מוגנת שמחוברת לרשת האינטרנט באופן פתוח, ומהווה מעין פרצה הקוראת לגנב.
● "לא תרצה להסתכן": האם רוסיה יכולה להציל את איראן?
● פריצת המיליארדים בקריפטו, העקבות לצפון קוריאה וההטרלה של אילון מאסק
אך מתברר כי התופעה כבר הגיעה לישראל: ב-2022 נפרצו בקרי קירור בכ-40 סניפים של רשת מזון, ובמתקפה נוספת השנה האקרים איראנים השתלטו על מערכות הקירור, פוצצו מדחסים והשביתו מקררים. כעת מומחים חוששים כי השיטות שנוסו בישראל מועתקות למערב.
מאות סניפים בכל רחבי מערב אירופה
ביום ראשון האחרון תקפה שוב קבוצת האקרים - ככל הנראה מטעם גוף מדינתי כמו איראן או רוסיה - את בקרי הקירור ברשתות מרכולים במערב אירופה. התוקפים שינו מרחוק את ההגדרות והעלו את הטמפרטורה במקררים עד ל-80 מעלות למשך כמה שעות, באישון לילה.
כתוצאה מכך הושמדו טונות של סחורה בשווי מיליוני אירו, ובהן ירקות, בשר, דגים ומוצרי חלב, שנמצאו לאחר מכן לא ראויים לשיווק ולמאכל ונאלצו להיזרק. הפגיעה לא הסתכמה במקררי המוצרים שבחנויות, אלא כללה גם את מחסני הקירור הממוקמים בעומק הסניפים.
לא מדובר רק במקררי המוצרים בתוך החנויות, אלא גם במחסני הקירור הנמצאים בעומק הסניף. פרצת האבטחה נמצאה בעיקר בבקרי טמפרטורה של החברות הדנית דנפוס (Danfoss) או קופלנד (Copeland) האמריקאית, כאשר לפי ההערכה, ההאקרים איתרו ברשת לקוחות של החברות הללו ותקפו אותם.
הדיווחים הגיעו ממאות סניפים בכל רחבי מערב אירופה, רובן מרשתות קרפור, ספאר ודלהייז בבלגיה, ICA וקו-אופ בשבדיה, ועוד סניפים של רשתות בלוכסמבורג, אירלנד ואסטוניה. לפני שבועיים, היו אלה 300 סניפים של הרשתות הצרפתיות Intermarche ו- SuperU שדיווחו יחד על הפסדים של 270 אלף אירו, ועוד 80 סניפים של קרפור, 100 סניפים של Cooperative U ו- 30 סניפים של Monoprix.
המתקפה לא הוגבלה לאירופה: הפנטגון מדווח החל מחודש אוגוסט ועד הימים האחרונים ממש על שורת תקיפות על מערכות קירור בבסיסים צבאיים. כעת, מספר חוקרי סייבר ישראלים טוענים: תקיפת מקררים ברשתות סופרמרקט אירו בישראל עוד קודם לכן, והצלחתם היא זו שהביאה, ככל הנראה, למתקפה העולמית.
מתי זה התחיל?
ד"ר גיא ויזל, שגריר טכנולוגי וחוקר בכיר בקייטו נטוורקס, חברת הסייבר של שלמה קרמר, טוען כי כבר ב-2022 דיווחה חברת הבקרים הדנית דנפוס על פריצות לכ-40 סניפים של רשת מרכולים ישראלית. "כל הסניפים השתמשו במקררים בעלי אותו סוג בקר הטמפרטורה שהותקף באירופה, AKSM800", אומר ויזל. "החברה דיווחה על הפריצה, אך לא פירטה מה היה הנזק, כיצד בוצעה המתקפה ואילו הגנות היו על אותם הבקרים".
גם עמרי שגב מויאל, מנכ"ל חברת הסייבר פרופרו (Profero) שמטפלת באירועי סייבר לאחר שהתרחשו ועובדת עם מספר רשתות קמעונאיות מודה כי כבר לאחר הפסקת האש עם איראן שנחתמה עם ארה"ב בחודש אפריל האחרון אירעה מתקפה חמורה על רשת קמעונאית בתחום המזון.
"ככל שידוע, זה המקרה הראשון בעולם שבו תוקפים מפוצצים, פשוטו כמשמעו, מדחסי מקררים ברשת מזון", אומר מויאל לגלובס. התקיפה בוצעה על ידי קבוצת התוקפים האיראנית "סייבר איסנאד" המיוחסת למשמרות המהפכה, שגם לקחה אחריות על המתקפה, על ידי שימוש בכלי AI, כשהיא מביאה לפיצוץ המדחס על ידי פתיחת שסתומי לחץ הגז והצפת במדחסים בנוזל הקירור, ובפועל משביתה את המקרר על כל תכולתו.
בנוסף, השתלטו ההאקרים על בקרי הקירור, שינו את טמפרטורת היעד, את מגבלות הבטיחות ולסיום - החליפו את ססמאות הגישה למערכת כדי למנוע מצוות התחזוקה מלהתערב. פתרון הבעיה ארך זמן: רשת הקמעונאות נאלצה להזמין מדחסים חדשים שהגיעו רק שבוע וחצי לאחר מכן, ובינתיים ספגה נזק כלכלי כבד.
ההאקרים לא הסתפקו בכך - והשתילו במחשבי המרכול הישראלי נוזקה שנועדה למחוק קבצי נתונים וגם השתלטה על המדפסת - שהדפיסה במקביל לתקיפה מסרים מאיימים. מויאל משוכנע, בין השאר על בסיס תחקיר של רשת NPR בנושא, כי קבוצת התקיפה האיראנית - או גורמים איראנים או רוסיים שלמדו את שיטותיה - עומדת מאחורי המתקפות באירופה ובארה"ב.
"מספר חודשים לאחר המתקפה על ישראל, התחלנו לראות מתקפות על מדחסים ברשות אירופאיות ובארה"ב באותה השיטה - לאחר ההצלחה היחסית בישראל הקבוצה למדה היטב את לקוחותיה של חברת המדחסים, ובמקומות שבהם מאותרים לקוחות שכאלה נערכות מתקפות הסייבר. ישראל היא ארגז ניסוי הכלים של ציר הרשע- איראן, סוריה, צפון קוריאה וסין - את הדברים שהם לומדים פה, הם משכפלים לאירופה ולארה"ב".
במערך הסייבר לא מתייחסים לפריצה למדחסים, אלא נאחזים בגרסה האירופאית - לפיה התוקפים שינו מרחוק את הגדרות הטמפרטורה בבקרים והפעילו את מערכות ההפשרה באופן שהביא להתחממות המקררים והמקפיאים. בין ההמלצות שהוציאה: וידוא שמערכות הבקרה אינן חשופות ישירות לאינטרנט, החלפת סיסמאות ברירת מחדל, עדכון מערכות מיושנות, אבטחת גישה מרחוק באמצעות אימות רב-שלבי והפעלת התרעות עצמאיות על שינויי טמפרטורה חריגים.
"בטן רכה ולא מטופלת"
עד כמה רשתות הקמעונאות מוכנות למתקפה דומה גם בישראל, גם חצי שנה לאחר שהתרחשה כאן לראשונה? "רשתות הסופרמרקט נמצאות בתחתית הסולם כשמדברים על מוכנות למתקפות סייבר", אומר דורון סיון, מנכ"ל MADSEC Security חברה מקבוצת SQlink שמתמחה באבטחת סייבר בחברות ישראליות.
"המודעות בקרב רשתות סופר למתקפות שכאלה נמוכה מאוד, המנהלים בתחום מתכוננים למתקפות כופרה או שהם חוששים מזליגת נתונים, אבל מקררים הם מעין בטן רכה ולא מטופלת. למעשה, כל תחום אבטחת הבניינים - מערכות מיזוג, מעליות, וחניונים של מבנים אזרחיים פגיעים למתקפות כיוון שלא חלה עליהן איזו רגולציה מיוחדת - כפי שהדבר קורה בבנקים או בחברות גז".
עמרי שגב מויאל מ-פרופרו סבור גם הוא ש"הקמעונאים סובלים מרווחיות נמוכה ומוגבלים ביכולת שלהם להשקיע במערכות סייבר. בהנחה והם לא מקבלים עזרה מהמדינה או ממערך הסייבר, אין מנוס מלנתק מערכות מרשת האינטרנט, אפילו באופן זמני. אני לא רואה את המדינה פותרת את הנושא הזה כפי שהיא לא עשתה זאת מאז שהמתקפה הראשונה התגלתה".
כדי להימנע באופן מיידי מתקיפה, עוד לפני שמחליפים בקרים או מדחסים, ממליץ דורון סיון על חסימת יכולת הגישה לבקרי הטמפרטורה ממדינות מחוץ לישראל או להבילן לכתובות ה-IP בלבד של מנהלי האבטחה בארגון או מבתיהם. ויזל מוסיף כי כדאי לחשוב מחדש על הגישה של בקרי הטמפרטורה לרשת הסלולר הנחשבת פגיעה, לא להשתמש בססמאות ברירת המחדל שניתנו עם ההתקנה ולהוריד את עדכוני התוכנה החדשים של יצרניות הבקרים. במידה והבקרים ישנים וכבר לא נתמכים על ידי עדכוני התוכנה - חובה להחליפם.
