פריצת סייבר למערכות נשק – קלה משחשבתם

This post is also available in: English (אנגלית)

כל אמצעי הלחימה של ארה"ב שנבדקו על ידי מחלקת ההגנה שלה בין השנים 2012-2017 נגועות בפרצות "קריטיות" מבחינת אבטחת סייבר, כך טוען דוח חדש שמפרסם משרד מבקר הממשל האמריקאי, ה-GAO. זוהי קריאת השכמה למחלקת ההגנה בכל הנוגע לאיומי סייבר על מערכות הנשק שלה.

"באמצעות שימוש בכלים וטכניקות פשוטים יחסית, הבוחנים הצליחו להשתלט על מערכות ולפעול בדרך כלל בלי להתגלות, זאת כתוצאה מכך שהסיסמאות חלשות והתקשורת אינה מוצפנת", כך נאמר בדוח. למרות זאת, מה שמדאיג יותר הוא העובדה שהגורמים הרשמיים המפקחים על מערכות אלה אינם לוקחים ברצינות את התוצאות.

תחת הכותרת "מחלקת ההגנה רק מתחילה להתמודד עם נקודות התורפה", מצא הדוח כי נראה שלמחלקת ההגנה יש דור שלם של מערכות שתוכננו ונבנו ללא אמצעים מספיקים לאבטחת סייבר". משרד המבקר טוען כי מחלקת ההגנה רק מתחילה כעת להתמודד עם המשמעות החשובה של אבטחת סייבר, ועם היקף הפרצות במערכות הנשק שלה.

הדוח מתבסס על נסיונות חדירה לצורך בדיקה, שבוצעו על ידי אנשי מחלקת ההגנה עצמם, וכן על ראיונות עם גורמים רשמיים במשרדים השונים במחלקת המדינה. בוחני מחלקת המדינה מצאו פרצות משמעותיות במערכות הנשק, חלקן כתוצאה מסיסמאות חלשות או היעדר הצפנה.

בין הממצאים של הדוח: אחד הבוחנים הצליח לנחש סיסמת אדמין על מערכת נשק תוך תשע שניות בלבד. מערכות נשק אחרות השתמשו בתוכנות מסחריות או בקוד פתוח אך מנהליהן לא טרחו לשנות את סיסמאות המחדל.

בוחן אחר הצליח להשבית חלקית מערכת נשק רק באמצעות הטכניקה הבסיסית של סריקה, טוען דוח המבקר, "דבר שכמעט ולא דורש ידע או מומחיות". הבוחנים הצליחו גם להשיג שליטה מלאה על חלק ממערכות הנשק.

יתרה מזאת, מחלקת ההגנה התקשתה לזהות את המקרים בהם הבוחנים נכנסו למערכות. באחד המקרים, הבוחנים היו נוכחים במערכת הנשק במשך שבועות, לפי הדוח, אך המנהלים שלה מעולם לא זיהו את ה"פריצה". כל זאת, למרות שהבוחנים לא התאמצו להסתיר את נוכחותם.

במקרים אחרים, מערכות אוטומטיות אכן הצליחו לאתר את הבוחנים אך האנשים האחראים לניטור המערכות האלה לא הבינו את האזהרות.

ב-wired.com נטען כי חסרים בדוח בלתי מסווג זה פרטים ספציפיים, והוא מזכיר גורמים רשמיים ומערכות בלי לזהות אותם. ב-wired מדגישים כי כאשר מחלקת המדינה אינה מתיחסת ברצינות לתוצאות אלה, היא בעצם מתעלמת מהבחינות שנעשו על ידי נציגים שלה-עצמה. משרד המבקר לא ביצע כל בדיקה בעצמו אלא רק ביצע ביקורת על הערכותיהם של צוותי הבדיקה של מחלקת המדינה.