פריצת האקרים לשירביט - האם יש סיבה לאדם הפרטי לדאגה?

[yaniv572]

אותי מאוד מעניין איך הסיפור יתגלגל במישור המשפטי ומי יתן על זה דין וחשבון (לדעתי, אף אחד)

 

במקום עבודתי, אנחנו בדיוק עובדים על כל משצריך בכדי לעמוד בחוק מאגרי המידע(אין מידע בכמות גדולה ובטח ובטח שלא מידע כזה רגיש, אבל עדיין החוק מחייב). יש בסיפור כמה דברים שאם הכל היה מנוהל כמו שצריך - כניראה לא היו קורים.

 

1. באופן מפורש יש לעדכן את המערכות, בטח ובטח שמגלים שיש בהם פרצות. מישהו בארגון היה צריך לעשות בדיקה כזו, אבל ניראה שבהרבה חברות לא לוקחים את אבטחת המידע כמשהו רציני.

2. לא הגיוני שכמות כזו גדולה של מידע עוברת ברשת בלי יכולת לנטר את זה. בטח ובטח שמדובר בנתונים כאלו רגישים. גם פה - ניראה או שמישהו חסך כסף, או שבאמת ובתמים פשוט עשו עבודה לא טובה...

עריכה אחרונה ב-6 לדצמבר, 2020 על ידי yaniv572

[farkash7]

לפני 35 דקות, TsachiE כתב:

אני באמת עדיין לא מצליח להבין למה זה אמור להפריע לי שהאקרים גנבו לי את הת"ז.

זה לא  אמור לפגוע בי בשום צורה גם אם ישתמשו בה. לשום חשבון באינטרנט הם לא יצליחו להיכנס עם הת"ז שלי בלבד.

 

יש לא מעט אתרים ממשלתיים שדורשים תעודת זהות ותאריך הנפקה כדי לקבל מידע. דוגמא בשלוף ״הר הביטוח״.

כן המידע שיש בהר הביטוח אומנם נראה תמים ביחס למספר כרטיס אשראי אבל יש לו ערך ובנוסף הוא מגדיל את הסיכוי לנוכל קצת מיומן להפיל אותך בפח.

 

סתם דוגמא הם רואים שם שיש לך ביטוח רכב בחברה X, מרימים אליך טלפון, מציעים לך לחדש במחיר מסויים (יש להם סיכוי של 1 ל12 לפגוע בבנאדם שעומד להיגמר לו הביטוח) אתה אומר כן, הם מבקשים אשראי...

 

בנוסף עושים הצלבות, מישהו אחד גנב תעודת זהות מישהו אחר גנב אפילו כמה ספרות של כרטיס אשראי וכו׳, מצליבים, מתקשרים לבנק ומנסים לשחזר סיסמא...

עריכה אחרונה ב-6 לדצמבר, 2020 על ידי farkash7

[Benor]

לפני 9 שעות, natco כתב:

אני לא מכיר את רוב המונחים בכתבה, אבל את המסר הכללי הבנתי:

זה מתנהל כמו שרוב הדברים כאן מתנהלים....

אולי תביעה שתנער מהם רווחים של שנה תגרום לדביל הבא בתור להזהר יותר.

 

אגב- כמבוטח שלהם אני יכול לספר, שפרט לסמס גנרי של כמה שורות,  לא קיבלתי מהם שום הסבר או הודעה אם אני בין הנפגעים או לא, ומה בדיוק נגנב במקרה שלי, כך שרוכל להתגונן (להחליף כ"א או לחדש תעודה).

 

חוץ משינוי תאריך ההנפקה של תעודת הזהות איך זה עוזר בדיוק?

ימנע כניסה למאגרי מידע אבל עדיין אפשר להדהות ולהתחזות בפני גופים שונים. 

 

[snoop90]

לפני כשעה, TsachiE כתב:

אני באמת עדיין לא מצליח להבין למה זה אמור להפריע לי שהאקרים גנבו לי את הת"ז.

 

לא גנבו רק ת.ז.

גנבו הרבה מאוד סוגים של מסמכים. אתה יכול להצטרף לקבוצה, לראות בעצמך.

לפני כשעה, save כתב:

אני מכיר גם מקרים ששילמו את הכופר. זה רק ממריץ את הגנבים .

אפשר לדעת במה אתה עוסק?

[sperial]

לנוכל יש מס. ת"ז, מספר קופת גמל שלך, תאריך הנפקת ת"ז - מכאן הדרך לגניבת הקופה כבר לא כל כך ארוכה (אמנם יש אימות נוסף בטלפון, אני לא בטוח שכל כך קשה להחליף במערכת את מספרו לזה של הנוכל). אותי זה מטריד מאד.

[Benor]

אני לא בטוח שזה כל כך פשוט.

לדוג' - בבתי ההשקעות, ניתן לבצע העברה בנקאית לכסף אך ורק לחשבון בנק שהוא שלך והוא רשום במערכות החברה. 

 

*חוץ מזה לדעתי, אבטחת המידע בבתי ההשקעות לא מי יודע מה. בשביל להזדהות יש 2 שדות בלבד לעומת 3 בבנק. 

עריכה אחרונה ב-6 לדצמבר, 2020 על ידי Benor

[renault5]

היה לי ביטוח חובה+ג לפני 7 חודשים בערך הכרטיס אשראי שנתתי להם בזמנו גם ככה בוטל 

אבל תעודת זהות+רישיון בטוח יש להם במערכת צריך להתקשר אליהם או לא לעשות דבר?

[farkash7]

לפני 53 דקות, Benor כתב:

אני לא בטוח שזה כל כך פשוט.

לדוג' - בבתי ההשקעות, ניתן לבצע העברה בנקאית לכסף אך ורק לחשבון בנק שהוא שלך והוא רשום במערכות החברה. 

 

כששיניתי חשבון בנק הם הגיעו אליי פיזית למשרד כדי לזהות אותי. אמרו לי שבלי זיהוי פיזי אין החלפת פרטי חשבון בנק, אז מהבחינה הזו הם סופר בסדר.

 

מבחינת האבטחה הם מחייבים אותך לשנות סיסמא אחת לכמה זמן, אבל כן זה לא מספיק, היו צריכים לדעתי לשלב sms בכניסה או קוד מתחלף.

[natco]

לפני שעתיים, Benor כתב:

חוץ משינוי תאריך ההנפקה של תעודת הזהות איך זה עוזר בדיוק?

ימנע כניסה למאגרי מידע אבל עדיין אפשר להדהות ולהתחזות בפני גופים שונים. 

 

בדיוק זה. זה הפרט שמאפשר להם לבצע פעולות. בעיקר באתרי ממשלה.
מ"ס ת.ז ותאריך לידה שלי יש כבר לכל זב חוטם. (בכל אתר קניות ישראלי סוג ז' שואלים את הפרטים האלה. אין ממש מה לעשות איתם.)

 

אגב- לפני איזה שבוע ניסו  "לדייג" ממני בדיוק  את הפרט הזה. 

התקשרה איזו פאקאצה, טענה שהיא מסוכנות הביטוח שלי והם עושים איזשהיא בדיקת שקר כלשהוא, ושזה נחוץ לה לצורך הבדיקה.

גם ככה לא הייתי מוסר לה (אני מכיר את כל הבנות בסוכנות בשמותיהן, והן כולן מתקשרות ממספר מזוהה שאני מכיר), אבל הטעות שלה היתה שהיא נקבה בשם הסוכן שחתום על אחת הפוליסות שלי, ולא בשם הסוכנות.

וכששאלתי שוב "מה? מאיזו סוכנות? " היא נקבה שוב בשם של אותו סוכן, ולא בשם הסוכנות...
ניסיתי למשוך איתה את השיחה עוד, כדי לראות בדיוק אילו פרטים יש לה עלי (היה לה סטוק די מרשים - ת"ז שלי, פרטי פוליסת ביטוח חיים ספציפית, כולל התאריך בו היא הונפקה, שמי ושם המשפחה שלי), אבל באיזה שהוא שלב היא כנראה הבינה מה אני עושה והשיחה נותקה לבלי שוב.

המספר היה בקידומת 079.

(והפוליסה הנ"ל אינה בשירביט...)

 

עריכה:

ראיתי הרגע-

ברור... כדי שבפעם הבאה שתהיה דליפה, יהיו להאקר גם הפרטים הביומטריים שלי. 😁

חייבים לדאוג להאקרים המסכנים לפרנסה, לא ?

 

עריכה אחרונה ב-6 לדצמבר, 2020 על ידי natco

[netco]

לפני 11 שעות, מרק10 כתב:

 

דווקא את האתר הזה החלטת לצטט. מי אלה האנשים מאחורי המאמר/כתבה ?

כמדומני זה נעם רותם, יש לו מוניטין די מוכר בתחום א"מ כחושף פרצות וכד' עד כמה שאני יודע (וגם את הפודקאסט סייבר סייבר שחשף שם לא מעט דברים, והיה גם מפרסם בטוויטר בזמנו לא מעט פרצות שמצא).
הוא לא היחיד שמתריע על הברדק בתחומי אבטחת מידע בארץ בהרבה גופים (גם רן ברזיק ועוד כל מיני. כדאי לעקוב אחריהם בטוויטר, זה די עצוב לגלות חלק מהדברים ובעיקר את ההתנהלות השכונתית).  

[פינדר]

זה אכן נעם רותם.

הוא, ועוד אחרים, עוסקים בזמנם החופשי בזיהוי של פרצות אבטחה באתרים של חברות ישראליות.

כשהם מזהים פרצה, הם מיידעים את החברה ונותנים לה אפשרות לתקן. הכל בהתנדבות.

לפני כשנתיים, מד"א הורידו את האתר שלהם לתקופה לא קצרה, אחרי שנעם ושו"ת, חשפו פרצת אבטחה חמורה.

אני עוקב אחריו כבר כמה שנים, וזה ממש מרגיז לראות באיזו קלות האתרים ששומרים את הפרטים שלנו נפרצים והזלזול שהם נתקלים בו, כשהם מודיעים לחברות על הפרצות.

[shugiflex]

בעקבות הארוע הזה יש לצפות שבשנים הקרובות תוחמר מאוד הרגולציה בתחום, מה שיגרום לחברות ביטוח קטנות כמו שירביט להפסיק להתקיים או להמכר לחברות הגדולות בנזיד עדשים.

בעקיפין, ההאקרים האלה הצליחו לפגוע באופן משמעותי בשוק הביטוח בישראל.

[natco]

לא מבין למה.

חברה קטנה לא יכולה לנהל מאגר מידע (קטן) מאובטח כמו שצריך? 

העלויות של זה באמת כל-כך גבוהות? הרי לחברה קטנה, גם מסד הנתונים קטן בהתאם.

(זו בכ"ז חברת ביטוח, לא איזה משרד דמיקולו עם מחזור עסקים של 1.5M ש"ח/שנה)

 

[TsachiE]

מוסר השכל: לא להיות לקוח בחברות ביטוח קטנות?

[yor2]

סיפור מהיום.

אבא שלי מקבל sms וקישור לביטוח ישיר שאומר שבקרוב נגמר הביטוח.

אבא שלי בודק בתיק ביטוחים וזה נכון.

מתקשרים מסכמים על מחיר מבקשים 4 ספרות אחרונות.

אומר הבחור הנחמד בצד השני נשלח לך גם בדואר וגם במייל בסדר מאשרים.

אבל הפעם יש הפתעה רק התקציר נישלך וקישור אם אימות 4 ספרות.

מקישים דברים מזהים שולחים קוד. אבל מזהירים שנכנסים זה ביילתי הפיך.

מתקשרים עוד הפעם מבקשים את הקובץ למייל לא מוכנים.

הבחור שואל אם יש פקס אומרים כן ונותנים מספר.

הטלפון מצלצל ואחרי 4 צלצולים עובר לפקס.

אחרי שני נשיונות אני מבין שצריך להרים תטלפון לחכות לצליל של הפקס בצד השני.

בסוף קיבלנו תפוליסה.

 

מרגיש קצת שנת 2000 חזרנו לאחור. 😐