הפריצה ל-CyberServe היא מקרה קיצון שמבהיר למה קוד סגור זה רעיון גרוע
נכתב ב-31 באוקטובר 2021
במהלך הסופ"ש האחרון, נפרצו שרתי חברת סייברסרב, וכל האתרים שהיו על השרתים האלה הושבתו. על פניו, זה נשמע כמו מקרה לא מעניין במיוחד של פריצות לאתרים, אבל במקרה דנן ההאקרים (קבוצת Black Shadow) גם פירסמו חלקים ממסדי הנתונים של המשתמשים באתרים האלה. בין האתרים הרגישים יותר ניתן למנות את אתר מכון מור (רפואה) ואתר אטרף (אתר דייטינג של הקהילה הלהטב"קית). במקרה של אטרף, מדובר בנתונים רגישים במיוחד, של אנשים שחלקם בארון ובוודאי לא מעוניינים שהזהות המינית או ההעדפות שלהם ייחשפו בפני הציבור.
אז איך קשור קוד סגור ולמה הוא כזה גרוע?
סייברסרב עוסקת בפיתוח אתרים וגם מאחסנת אותם. האתרים שהיא בונה הם בקוד סגור, מה שאומר שללקוחות שלה אין גישה לקוד או לשרתים. סייברסרב מטפלת להם בכל האספקטים הרלוונטיים כמו ניהול אתר, טיפול בתקלות, אחסון וכו'. זה מקרה קלאסי של כל הביצים בסל אחד, ועוד סל שאי אפשר ממש לצאת ממנו.
החיסרון העיקרי בקוד סגור, הוא שהלקוח כבול לספק. בניגוד לקלות ניוד האתרים בקוד פתוח (כמו אתרי וורדפרס), אם בעל העסק רוצה לעבור לאחסון אתרים אחר, הוא פשוט לא יכול. הוא גם לא יכול לטפל בעצמו בתקלות או להביא לשם כך ספק חיצוני. התלות ביוצר הקוד הסגור היא מוחלטת. בדרך כלל, עיקר הבעיה כאן היא במקרה של סכסוכים עסקיים, חוסר שביעות רצון או אפילו מצב שבו ספק השירות סוגר את העסק. הפריצה לאתרים של CyberServe היא פשוט מקרה קיצון של אותה בעיה – השרתים של החברה נפרצו (ככל הנראה בגלל רשלנות, חוסר מקצועיות ואי הקפדה על אבטחת מידע איכותית. העובדה שהסיסמאות באטרף נשמרו ללא הצפנה היא רק אינדיקטור אחד לכך), והלקוחות לא יכולים לעשות שום דבר בעניין, מלבד אולי לתבוע את החברה.
ומילא אבטחת מידע (לא באמת מילא, אבל לצורך הטיעון נניח שלא צריך אבטחת מידע) – מה עם הגיבויים? היום כבר יום ראשון, שעת צהריים, ואף אחד מהאתרים האלה לא חזר לאוויר. הסיבה די ברורה – הגיבוי של האתרים נשמר על אותו שרת שנפרץ, ולא היו גיבויים נוספים בשרת חיצוני או על דיסק שמנותק מהרשת. אם היו גיבויים כאלה, הרי שהעלאה מחדש של האתרים לאוויר היתה יכולה להתבצע במהירות יחסית (אפילו גירסה חלקית שלהם).
באתרים בקוד פתוח, אתם יכולים ליצור ולשמור בעצמכם גיבויים של האתר, ולהשתמש בהם במקרים כאלה, אפילו אם כל האתר נמחק. גם אם כל שרתי חברת האחסון המקורית שלכם קרסו או נשרפו, אתם יכולים פשוט לקחת את הגיבוי ולהעלות את האתר בשרתים של חברה אחרת. זה לא ייקח יותר מיום אחד של עבודה, במקרה הגרוע. במקרה של סייברסרב, גם אם ללקוחות שלה יש גיבויים שמורים אצלם, הם לא יכולים לעבור לאחסון אחר – הם תלויים תלות מוחלטת בחברה, שלא שמרה כיאות על הנתונים והאתרים שאיחסנה אצלה – והם רק יכולים להמתין לפתרון כלשהו.
בינתיים, בשעות הצהריים העלו ההאקרים הודעה בערוץ הטלגרם שלהם, וטענו כי איש מחברת סייברסרב או מערך הסייבר הישראלי לא יצר איתם קשר. הם דורשים מיליון דולר תוך 48 שעות ואף מזמינים את הגולשים "לתרום" לארנק הקריפטו שלהם. אם לא יגויס הסכום, הם ידליפו את כל המאגר של "אטרף", הכולל לטענתם צ'אטים ומידע נוסף.
יש הרבה לקחים שאפשר ללמוד מהאירוע הזה, שטרם הסתיים. ברמת אבטחת המידע, אני בטוחה שיש מי שיוכל לתחקר ולתת מסקנות מעמיקות יותר ממני, אבל כל מה שקשור לבניית אתרים וניהולם, אפשר לסכם זאת בקצרה: הפריצה לסייברסרב היא מקרה קיצון שמדגים בצורה מעולה למה קוד סגור זה דבר רע. אל תבחרו במערכות קוד סגור להקמת האתר שלכם. אל תכבלו את עצמכם לספק אחד, אל תגבילו את האפשרויות העסקיות והדיגיטליות שלכם.
ותעשו גיבויים. הרבה הרבה גיבויים.
לקריאה נוספת – כתבתו של עומר כביר בנושא ב"כלכליסט" (אני מצוטטת שם, גם).
