מחשוב ענן: מקור לפרצות אבטחת סייבר הקורצות להאקרים

This post is also available in: English (אנגלית)

יותר ויותר ארגונים פונים כיום אל כלי הענן כדי להקל על העבודה ולאפשר לעובדים שלהם גישה זמינה ונוחה לקבצים. סקר שנערך בקרב 140 מנהלי אבטחת מידע בארגונים גילה כי 90% מהם כבר אימצו טכנולוגיות ענן או עומדים לעשות זאת בקרוב. מעבר זה יוצר אתגרים חדשים, כאשר ארגונים מתחילים לאחסן על הענן קבצים שמכילים מידע רגיש כגון נתונים רפואיים, נתונים כלכליים סודיים או אפילו סיסמאות. אפליקציות מבוססות ענן, ברשת ובמובייל, מהוות כל העת יעדים להתקפות חוזרות ונשנות ע"י האקרים שמנצלים את פרצות האבטחה.

פרצת אבטחת סייבר שכזו התגלתה בקוד המקור של אפליקציית המובייל של דרופבוקס. הפרצה היתה מאפשרת לתוקפים פוטנציאליים לקשר את חשבון הדרופבוקס שלהם לחשבון הדרופבוקס של הנתקפים. משתמשים בדרופבוקס היו עלולים להעלות קבצים לחשבון שלהם ובמקביל הם גם עלו לחשבון של התוקף.

רועי חי ואור פלס הם שגילו את הפרצה באמצעות ניתוח קוד המקור של האפליקציה. הם נמנים על צוות X-Force, צוות מחקר האבטחה העולמי של חברתIBM הפועל בישראל ומונה שבעה חוקרים מתחומים שונים.

"מתקפת הסייבר של ההאקרים מתחילה בדרך כלל בגלישה סלולרית לאתר שהתוקף יצר או שהוא פרץ אליו," מסביר רועי חי. "מרגע זה, נקודת התורפה מנוצלת, ובפעם הבאה הקורבן ייכנס לחשבון הדרופבוקס, הוא יקושר עם החשבון של התוקף."

הירשמו לאתר הישראלי לביטחון המולדת

קורבנות התקיפה אינם מודעים לכך שהקבצים שלהם מגיעים אל חשבון התוקף, כיוון שתיבת הדרופבוקס במובייל מראה כי הקבצים עלו לחשבונם. עם זאת, הצלבה מול חשבון הדרופבוקס במחשב שולחני עלולה לגלות כי הקבצים לא הגיעו ליעדם.

אחד מתחומי המחקר העיקריים שלX-Force הן ערכות המפתחים בהן עושות שימוש רוב האפליקציות ועלולות להוות ראש גשר למתקפת סייבר. כדי לא לאפשר לגורמים בלתי רצויים לנצל את הגילויים שלהם, הנוהל בחברה הוא לדווח קודם כל לגוף החשוף לפגיעה. "באופן יוצא דופן, דרופבוקס הגיבה באופן מאוד מהיר," מספר רועי. "המייל ששלחתי אליהם נענה תוך שבע דקות והם תיקנו את הבעיה תוך חמישה ימים." לדברי רועי, גם כשיש מודעות לאיזושהי פרצה, הרבה חברות לא ממהרות לפעול. חלקן לא טורחות להגיב כלל על ההתראות של הצוות, ואילו אחרות מתקנות באיטיות רבה את הליקויים.

במקרה של דרופבוקס, נוצר צורך לתקן את קוד המקור גם באפליקציות המובייל האחרות שמתממשקות עמה. בין האפליקציות האלו ניתן למצוא את חבילת הכלים של מיקרוסופט אופיס במובייל ואת כלי ניהול הסיסמאות 1Password של AgileBits. העדכון הוטמע בגרסא 1.6.2 של דרופבוקס ולדברי רועי, גם הצוות וגם דרופבוקס לא גילו נוזקה (malware) ספציפית שניצלה את פרצת האבטחה. ברם, "אף פעם אי אפשר לדעת בוודאות."