הפרצה החדשה מתחילה בשם משתמש וסיסמה: זהויות מעורבות בכמעט 90% מאירועי הסייבר
מחקר של Unit 42 בפאלו אלטו נטוורקס מראה כי גניבת חשבונות והרשאות הפכה לאחת מדרכי החדירה המרכזיות לארגונים; ב-65% מדרכי הכניסה הראשוניות שנבדקו נעשה שימוש בשיטות הקשורות לזהות, וב-87% מהאירועים התקיפה התפשטה בין כמה מערכות וסביבות
תוקפי סייבר כבר לא חייבים למצוא פרצה בתוכנה כדי להיכנס לארגון. לפעמים מספיק להם שם משתמש וסיסמה של עובד. מחקר של Unit 42, יחידת המחקר והתגובה לאירועי סייבר של פאלו אלטו נטוורקס, מראה כי חולשות הקשורות לזהות משתמש היו מעורבות בכמעט 90% מהאירועים שהיחידה חקרה במסגרת הדוח שלה ל-2026. עוד נמצא כי 65% מדרכי הכניסה הראשוניות לארגונים כללו שיטות המבוססות על חשבונות והרשאות.
כך במקום לפרוץ לשרת, התוקף יכול להשתלט על חשבון אמיתי של עובד ולהיכנס דרכו. מבחינת המערכת, זו עלולה להיראות בתחילה כמו כניסה רגילה של משתמש מורשה. לפי Unit 42, בין הדרכים הנפוצות להשגת גישה כזו נמצאות הודעות פישינג, שיחות התחזות, ניסיונות לגרום לעובד לאשר בקשות אימות חוזרות, שימוש בחשבונות של צד שלישי שנפרצו וניצול של תהליכי תמיכה ושירות פנימיים.
גם אימות רב-שלבי, שנועד להוסיף שכבת הגנה מעבר לסיסמה, אינו פותר את הבעיה לבדו. תוקפים יכולים לנסות לגרום לעובד לאשר בקשת כניסה, להשתלט על חיבור שכבר אומת או לשכנע נציג תמיכה לבצע שינוי שמעניק להם גישה.
מה קורה אחרי שהתוקף נכנס?
הכניסה לחשבון היא רק השלב הראשון. אחרי שהושגה גישה, התוקף מנסה בדרך כלל להישאר בתוך המערכת, להשיג הרשאות רחבות יותר ולעבור לחשבונות ולמערכות נוספות. לפי Unit 42, הפעולות האלה עשויות להיראות דומות מאוד לפעילות רגילה של מנהלי מערכות או עובדים בעלי הרשאות, ולכן הן עלולות להישאר מתחת לרדאר במשך זמן מה.
הסכנה גדלה משום שהחשבונות בארגון מחוברים כיום למספר גדול של שירותים. חשבון אחד יכול להוביל לדואר הארגוני, לאפליקציות ענן, לתוכנות כשירות, לתחנות קצה ולמערכות פנימיות.
הנתון שממחיש זאת הוא ש-87% מהאירועים שנבדקו על ידי Unit 42 התפרסו על פני יותר מסוג אחד של מערכת או סביבת עבודה. כלומר, חדירה שמתחילה בחשבון בודד יכולה להפוך במהירות לאירוע רחב שחוצה ענן, מחשבים, אפליקציות ורשתות.
מטרת התוקפים משתנה מאירוע לאירוע. לפי Unit 42, חשבון שנפרץ יכול לשמש בסיס להתקנת כופרה, גניבת מידע, הונאה כספית או הישארות ממושכת בתוך מערכות הארגון.
למה קשה יותר לזהות את התקיפה?
הבעיה היא שחשבון גנוב עדיין נראה כמו חשבון אמיתי. הסיסמה יכולה להיות נכונה, האימות יכול לעבור בהצלחה והמשתמש עשוי לקבל גישה בדיוק למשאבים שאליהם הוא מורשה להיכנס.
לכן, ארגונים צריכים לבדוק לא רק אם המשתמש הצליח להתחבר, אלא גם מה הוא עושה לאחר מכן.
- מיוניק רה רוכשת את At-Bay הישראלית במאות מיליוני דולרים
- שלחו לכם צילום מסך שהכסף הועבר? זה כבר לא אומר ששילמו לכם
כניסה ממדינה חדשה, פעילות בשעה חריגה, מעבר מהיר בין כמה שירותים, ניסיון לקבל הרשאות גבוהות יותר או גישה פתאומית למידע שהמשתמש אינו נוהג לפתוח - כל אלה יכולים להצביע על כך שמי שמפעיל את החשבון אינו העובד האמיתי.
Unit 42 מדגישה כי כניסה מוצלחת לחשבון אינה מספיקה עוד כדי לקבוע שהפעילות תקינה. כדי לזהות חשבון שנפרץ, ארגונים צריכים לחבר מידע על פעילות המשתמש עם נתונים שמגיעים מהמחשב שלו, משירותי הענן, מאפליקציות ארגוניות ומהרשת.
הענן וה-AI יכולים להאיץ את התקיפה
הבעיה נעשית מורכבת יותר ככל שארגונים משתמשים ביותר שירותי ענן וכלים מבוססי בינה מלאכותית. חשבון אחד בעל הרשאות רחבות יכול לשמש נקודת מעבר בין מספר גדול של מערכות, וכלי אוטומציה יכולים לקצר את הזמן שנדרש לתוקף כדי לאתר מידע ולעבור לשירות הבא.
מחקר קודם של פאלו אלטו הציג מערכת מבוססת AI שביצעה שרשרת תקיפה בסביבת ענן, משלב איסוף המידע ועד גישה לנתונים. השילוב בין אוטומציה לבין חשבונות שנפלו לידי תוקפים עלול להפוך חדירה בודדת לאירוע רחב בזמן קצר יותר.
גם הנדסה חברתית ממשיכה להיות חלק מרכזי מהבעיה. בקמפיין ריגול שנחשף השנה, חוקרי פאלו אלטו תיארו פעילות שיוחסה לקבוצה איראנית שפעלה בין היתר נגד יעדים בישראל ובארה"ב. בין השיטות שתוארו היו פניות לאנשי טכנולוגיה תוך התחזות להצעות עבודה, במטרה לגרום להם לפתוח קבצים ולספק לתוקפים דרך כניסה למערכות.
מה ארגונים יכולים לעשות?
המשמעות המרכזית של המחקר היא שאבטחת סייבר כבר אינה מסתכמת בהגנה על מחשבים ושרתים. צריך להגן גם על הזהות של המשתמש. אימות רב-שלבי עדיין חשוב, וכך גם הגבלת הרשאות, אבל הם צריכים להיות חלק ממערכת רחבה יותר. Unit 42 ממליצה לבחון את הפעילות של החשבון לאורך זמן, לחבר מידע ממערכות שונות ולהפחית את התלות בבדיקות ידניות של צוותי האבטחה.
החברה ממליצה גם לעדכן באופן קבוע את כללי הזיהוי והתגובה ולבצע חיפוש יזום אחר סימנים לשימוש חריג בחשבונות, העלאת הרשאות או ניסיון להישאר בתוך המערכת לאורך זמן.
השינוי המרכזי הוא בתפיסה. בעבר השאלה הייתה בעיקר אם מישהו הצליח לפרוץ למערכת. כיום ארגונים צריכים לשאול גם מי באמת עומד מאחורי החשבון שכבר נכנס.
בעולם שבו תוקף יכול להיראות כמו עובד מורשה, שם משתמש וסיסמה נכונים כבר אינם הוכחה לכך שהאדם שמאחוריהם הוא באמת המשתמש שאמור להיות שם.
