מתקפת הסייבר על כלמוביל היא רק ההתחלה: הסכנה האמיתית נמצאת על הכביש
מתקפת הכופרה על יבואנית הרכב שיבשה את פעילותה, עיכבה מסירות מכוניות והובילה לניתוקה ממערכות משרד התחבורה. אלא שהאירוע חושף איום גדול בהרבה: מפריצה למערכות של יבואני הרכב ועד לשיבוש עדכוני תוכנה, השבתת עמדות טעינה ואפילו השתלטות מרחוק על מכוניות נוסעות. האם ענף הרכב הישראלי ערוך למתקפה הבאה?
לפני מספר ימים התרחש בישראל בפעם הראשונה אירוע שלא תועד מעולם בתולדות ענף הרכב הישראלי: כלמוביל הודיעה ללקוחותיה העסקיים כי "לפני מספר שעות זוהה אירוע אבטחת מידע על ידי צוות הטכנולוגיות של החברה. החברה נערכה לאירוע מסוג זה ובודקת את מקורו על ידי צוותים ייעודיים ועדכנה את הגורמים הרגולטוריים. האירוע מנוהל והחברה פועלת לסיומו בהקדם האפשרי".
רק כדי להמחיש את כובדו של האירוע, בהמשך נחשף ב"כלכליסט" שבמשרד התחבורה הוחלט לנתק את כלמוביל ממערכות המיחשוב של המשרד שאחראיות על רישום מכוניות חדשות. פניות של קוראי "כלכליסט" שהגיעו במהלך השבוע שעבר תיארו לקוחות של מרצדס שסיפרו כי השירות מתעכב. לקוחות של חברות ליסינג שהיו אמורים לקבל מכוניות חדשות פנו ל"כלכליסט" ודיווחו כי המסירות שלהם מתעכבות ולעת עתה מבקשים מהם להתאזר בסבלנות.
אפשר להבין מדוע: אצל יבואני הרכב לא ניתן כיום להחליף גלגל במכונית בלי שהפעולה תתועד במחשב. מדובר בחיוב על החלפת הגלגל, ברישום של החלפת הגלגל במאגר החלפים, בתשלום על החלפת הגלגל. כלמוביל עשתה ככל שביכולתה להתמודד עם התקיפה והפעילות שבה למסלולה, אבל במשך מספר ימים החברה התנהלה במתכונת שונה, כמו כל גוף גדול אחר שהותקף במתקפת סייבר - מבתי חולים ועד לחברות הייטק.
כאן נשאלת השאלה: מי תקף את כלמוביל? כיצד עשו זאת? מומחי סייבר שהיו מעורבים באירוע מסרו ל"כלכליסט" כי כלמוביל נפלה קורבן למתקפת כופרה מצד האקרים. התוקפים דרשו מכלמוביל סכום שגובהו המדויק אינו ידוע, ולדברי גורמים העוסקים בתחום כלמוביל שילמה את הסכום. בכלמוביל בחרו שלא להגיב לדברים הנוגעים לאופי התקיפה ונושא הכופרה.
כאן חשוב לציין: כלמוביל היא אומנם יבואנית הרכב הראשונה שמתמודדת עם אירוע סייבר כזה, אבל היא כנראה לא תהיה היבואנית האחרונה. יבואני הרכב מחזיקים במערכות מיחשוב אדירות ממדים, הם עובדים מול יצרני הרכב, מול מערכות המכס, מול משרד התחבורה, שלא לדבר על מערכות סליקה שמגלגלות מיליארדי שקלים בשנה. מכיוון שזהו האירוע הראשון מסוגו שמתרחש בישראל, שבו יבואן רכב מותקף, יש להבין את עומקם של הדברים, כלומר עד כמה ניתן לפגוע ביבואניות הרכב אם מצליחים וכיצד הצרכן מושפע.
לא מדובר רק באובדן פרטי אשראי - יבואני הרכב הם אחת החוליות בשרשרת שמסתיימת במכונית הנוסעת בכביש במהירות גבוהה, וניתנת לשליטה מרחוק. מומחי הסייבר של כלמוביל כן אפשרו לחברה לשוב מהר להתנהלות תקינה - אך עובדתית החברה הותקפה. ראשית: האקרים ודורשי כופרה יכולים כמובן לפגוע ביבואן הרכב עצמו, כפי שעשו לכלמוביל לכאורה. אבל מעבר לכך יש עוד נושאים רבים שמשפיעים לא רק על מי שכבר קנה מכונית, גם על מי שנוהג באחת. המכוניות כיום הן מכוניות מקושרות, כלומר יש להן במקרים מסוימים חיבור שעובר דרך מערכות המיחשוב של יבואן הרכב. מדובר בחיבור לצורך תיאומי טיפולים, עדכוני OTA, גם סליקה, נושא שבעתיד ייושם על ידי היבואנים. שלא לדבר על שירותי PAYD, כלומר PAY AS YOU DRIVE, שירות המאפשר רכישה של שדרוגים ושירותים מהרכב.
לגרום למכונית מרחוק לעשות תאונה
למי שסבור שלא ניתן להשפיע על מכונית באמצעות פריצה, בין אם פיזית ובין אם למערכות המחשוב של יצרן הרכב או היבואן: האקרים עשו זאת מספר פעמים, בדרך כלל בתנאי מעבדה. הם שיבשו למכוניות את מערכות ה-GPS, שיחקו בתחנות ברדיו - בקיצור שעשועים בלתי מזיקים. אבל במכונית מודרנית, האקר שמתחבר דרך מערכת הקישוריות יכול למשל גם לגרום למערכת בקרת השיוט להעלות את מהירותה של מכונית ל-200 קמ"ש, ואז זה פחות משעשע.
מעבר לעובדה שהאקרים יכולים להתחבר למכוניות המקושרות, כיום יש בישראל מאות אלפי מכוניות שקשורות בעבותות למערכות המיחשוב של יבואני הרכב - מדובר בעדכוני OTA, כלומר עדכונים מהאוויר, חלקם חיוניים, שמכוניות, בעיקר סיניות, מקבלות. השיטה פשוטה: הלקוח לא עושה כלום. יצרן הרכב שולח עדכון ואז הוא משודר לבעלי המכוניות. ולמחרת הרכב שודרג בעוד כוח, תוכנה טובה יותר וכיוצא בזאת. העדכון הוא של היצרן, אבל אי אפשר להתעלם מכך שבנקודה זו או אחרת היבואן מעורב בתהליך. כלומר יש מערכת מחשוב, אבל כאשר ה"מוח" - כלומר היבואן - נפגע או נפרץ, העדכונים הופכים לבעיה, אם בכלל יבצעו כאלה.
אלה כמובן הסעיפים העיקריים, אבל יש עוד אינספור בעיות שקשורות במצב כזה, שבו יבואן רכב נפגע מאירוע סייבר: כוחות הביטחון של מדינת ישראל נוהגים במכוניות מודרניות שנכנסות למוסכי היבואנים, שיש להן צורך בהתחברות לעמדות טעינה, שיש להן שקעי OBD (כלומר דיאגנוזה) והן מקבלות עדכונים. בתרחיש קיצון ניתן להשבית אוטובוס של צה"ל, מוביל טנקים, או מכונית של שוטר. וכמובן שיש גם ענייני סליקה: יבואני הרכב הם המסלקה של המדינה, כלומר הם גובים את מסי הקנייה. מיליארדי שקלים עוברים דרכם מדי שנה – וקשה לדמיין בכלל מצב שבו מערכות המיחשוב של יבואן יפרצו.
כלמוביל בחרה כאמור שלא להגיב לגבי אופי הפריצה, אבל ככל הנראה מי שביצע את אירוע הסייבר לא רצה לעצור מכוניות בכביש. הם כן רצו תשלום והמחישו לכלמוביל כיצד הם משבשים את מערכות החברה. כלמוביל אמנם התייחסה לאירוע כמשהו בר חלוף, וסביר להניח שאכן הוא כבר בשלבי סיום, אבל עד שזה קרה, עובדתית, החברה לא תפקדה באופן מלא.
כאמור, התגובה של משרד התחבורה לאירוע בכלמוביל היתה לנתק אותה ממערכות המשרד - "שלא יידבקו" אבל בפועל למשרד התחבורה יש משנה סדורה כיצד להתמודד עם אירוע סייבר אצל יבואן רכב. למרבה הצער, משרד התחבורה נדרש לנושא רק לפני כמה חודשים בפעם הראשונה, למרות שבענף הרכב יודעים היטב שמתקפת סייבר היתה זה שנים עניין שתמיד "היה ברקע". משרד התחבורה כאמור אכן פרסם את ההוראות - וקשה לומר שהן חידשו הרבה: יבואני הרכב נדרשים להגיש למשרד התחבורה "מדיניות הגנת סייבר ארגונית" שתיבדק אחת לשנה בהתאם לאיומי סייבר משתנים ולחומרתם. יבואני הרכב מחויבים בהעסקת "ממונה הגנת סייבר" או לסירוגין אחראי תחום סייבר במיקור חוץ וגם להקים אצל כל יבואן "ועדת היגוי להגנת סייבר שתתכנס אחת לחצי שנה לצורך עדכונים. הוועדה תקבע בין היתר אילו הדרכות סייבר יעברו עובדי היבואן – כולל הדרג הניהולי". זה כמובן ברמת היבואן. ברמת הרכב - יש פגיעה בבטיחות - האיום לפגיעה ברכב ורמת הבטיחות המסופקת למשתמש; פגיעה בשלמות ואמינות - פגיעה במעבר המידע בין היבואן למערכות השירות, או ניסיונות הונאה; פגיעה בזמינות - שיבוש של יכולת לספק מידע ושירות, למשל פגיעה בעמדות טעינה לרכב חשמלי - ודליפת מידע ופגיעה בצנעת הפרט.
צעדי המנע שמשרד התחבורה פרסם כוללים מעקב אחר עדכוני אבטחת מידע במערכת ההפצה, ניטור של כל אירוע חריג ברכבים או במערכות של היבואן ודיווח עליו, ניהול יכולת עצמאית לטפל באירוע סייבר ברכב (לפני הדיווח עליו למשרד התחבורה) ואפילו מיפוי של הספקים החיצוניים של כל יבואן רכב מבחינת רמת הסיכון שהם עלולים להוות להגנות הסייבר שלו - כמו גם הפצת עלונים ללקוחות אשר יידעו אותם על סיכוני סייבר. הדרישות הללו אינן מכסות כמה תחומים חשובים - ובראשם הנושא הסיני, כלומר מרכזי המידע של יצרני הרכב שיושבים בסין. הדרישות ככל הידוע גם אינן מטפלות במצב שבו יבואן רכב אכן עלול "להדביק" את כל המערכות של מדינת ישראל, או רכבים של כוחות הביטחון. בפועל, נראה שהאירוע בכלמוביל הסתיים - אך ייתכן שמתקפת הסייבר הבאה בדרך – ויhתכן שההשפעה לא תורגש בכיסו של היבואן בלבד, אלא בהשתלטות למשל על רכבים שנוסעים בנתיבי איילון, או בהשבתה של עמדות טעינה. במקרה כזה, ייתכן שניתוק ממערכות משרד התחבורה ובקשה מלקוחות שמקבלים רכב חדש להתאזר בסבלנות כבר לא יספיקו.
מכלמוביל נמסר כי החברה התגברה על אירוע אבטחת המידע. לקוחות החברה מקבלים שירות מלא, הכולל בין השאר טיפולים, עדכוני תוכנה וטיפול במרכזי השירות. מערכות החברה חזרו לפעול בהדרגה, ומיום ראשון כל המערכות יפעלו באופן מלא. כל הגורמים הרלוונטיים עודכנו. יודגש כי האירוע, שכאמור הסתיים, לא קשור למערכות הרכבים ו/או ליצרנים ובכל מקרה אין OTA ברכבי החברה.
ממערך הסייבר הלאומי נמסר: "מערך הסייבר הלאומי פועל מול הגורמים הרלוונטיים באירועי סייבר, וכך גם במקרה זה. לא ניתן להתייחס לפרטי האירוע, אולם המערך מפיק לקחים ותובנות רוחביות מאירועי סייבר ומפיץ בהתאם לצורך התרעות, המלצות והנחיות לגופים במשק, במטרה לחזק את ההגנה ולצמצם את הסיכון לתקיפות נוספות נגד המשק הישראלי".
