לקראת סוף החודש, פורסם ב-TheRegister על הסכם הפשרה שהוגש בגין תביעה בין מדינת פנסילבניה לבין חברת DNA Diagnostics Center, חברת בדיקות גנטיות מהמרכזיות בעולם. התביעה התרחשה בשנת 2021, ולפי הפשרה הוחלט כי החברה, בין היתר, תשלם 400,000$ בגין אירוע פריצה ודלף מידע שהיא חוותה באותה השנה אשר במסגרתו נגנבו, בין היתר, רשומות גנטיות של יותר מ-2 מליון בני אדם.

 

מה שדלף והכיל את אותן הרשומות הוא מאגר מידע שהגיע לידי DDC בשנת 2012 כחלק מרכישה של חברה בריטית בשם Orchid Cellmark. יש כמה נקודות מביכות בסיפור הזה: הראשונה היא שכדי להגן על עצמה במהלך התביעה, החברה טענה שעד האירוע היא כלל לא ידעה על קיום המאגר הנ"ל או על המידע שקיים בו. טענה הגיונית אך מביכה. החברה טענה שהיא ביצעה לא מעט בדיקות חדירות והערכות אבטחה, אך רק על מידע "חי" ולא על שרתים ישנים עם מידע שלא נעשה בו שימוש. הנקודה השניה היא שהחברה גילתה את הפריצה באיחור של כמה חודשים כאשר במהלכם היא קיבלה עוד ועוד הודעות מספקית התשתית שלה על כך שיש ברשת שלה פעילות חשודה ורק כאשר היא קיבלה התראה קונקרטית על זיהוי שימוש ב-Cobalt Strike על כמה שרתים בחוות השרתים שלה - היא הגדילה והפעילה את תוכנית ה-IR שלה כתגובה וזיהתה שברשותה יש 5 שרתים ושכ-28 מאגרים שהיו ברשותה על אותם השרתים - נגנבו.

 

הנקודה השלישית המביכה בכל הסיפור הזה (ואולי המביכה ביותר לדעתי?), היא שאם קוראים את המסקנות של הסכם הפשרה (עמוד 10 עד עמוד 13) זה נראה בגדול שעד כה לא הותקנו שום מערכות הגנה ברשת שלה, ושרמת האבטחה ברשת שלה נמוכה מרמת האבטחה ברשת של הספרייה הציבורית הקרובה לביתכם. בהסכם הפשרה, נכתב, "על החברה להדק את רמת האבטחה שלה ולהתחיל ליישם עדכוני תוכנה שוטפים, בדיקות חדירות וליישם מנגנוני 2FA לרשת שלה", או שעליה להתחיל לאסוף ולתעד אירועים חריגים שמתרחשים ברשת שלה, להתקין מערכת SIEM, ו-IDS/IPS לטובת כך. בהמשך גם נכתב על מספר תקני אבטחה בסיסיים ביותר שעל החברה יהיה לעמוד והרוח שעולה מאותם סעיפים בהסכם הפשרה הוא שבכלליות חלאס כבר עם שובך היונים הזה שאתם קוראים לו רשת המחשבים שלכם, אתם לא משתלה ציבורית אתם מתעסקים ברשומות גנטיות של אזרחים אז תתחילו להתנהג בהתאם. אה, וכן, באחד הסעיפים נכתב גם שאולי הגיע הזמן שהם יאיישו תפקיד CISO בארגון שלהם... בטח כדי שיהיה את מי להאשים בפעם הבאה שהמידע שלהם ידלוף.

 

אני ממליץ לכם לקרוא את הסכם הפשרה, הוא לא ארוך והוא יאפשר לכם להחליט לבד האם התמונה שעולה ממנו היא בעיקרה עצובה, מכעיסה או מצחיקה.

 

המסקנה שאני הגעתי אליה היא שהתמונה שעולה מהסכם הפשרה היא אכן מעט מצחיקה (אם אתם אנשי אבטחת מידע), והיא מעט מכעיסה (אם אתם מחוקקים או אנשי פרטיות), אבל היא בעיקר עצובה. היא בעיקר עצובה אם אתם מבינים שאנשי החברה הזאת התייחסו לנתונים שהיו ברשותם בעצם כמו רב מי שקרא את אותה הכתבה. למה? כי כשנפרץ מאגר עם סיסמאות יש לנו כאב ראש של כמה דקות ועכשיו אנחנו צריכים להחליף סיסמה בכמה אתרים, ואם נפרץ מאגר עם כרטיס האשראי שלנו, אנחנו ככל הנראה נהיה עם כאב ראש למשך השבוע-שבועיים הקרובים במקסימום ואז נשכח את הפרשה.

 

אבל כשנגנבת רשומה עם מידע גנטי, העניין לא מלווה בכאב ראש של יום או יומיים, וגם לא שבוע, שבועיים חודש או חודשיים, העניין למעשה לא מלווה בכאב ראש בכלל. כי כאב הראש נובע ממשימות שעלינו לעשות כדי להתמודד עם הידיעה או להכיל אותה (לעבור על רשימת האתרים שבהם הסיסמה שלנו זהה במקרה בו לא היינו זהירים, או להתקשר לחברת האשראי, לבטל את האשראי ולהזמין אחד חדש), אבל במקרה שבו נגנבה לנו רשומה מהסוג המדובר, אין לנו שום דבר לעשות כדי להתמודד עם הידיעה הזאת. אותם 2.1 מליון האנשים שהרשומה הגנטית שלהם נחשפה לעולם ועד יהיו חשופים לשלל מתקפות וזיופים, אין שום צעד שהם יכולים לנקוט בו כדי להכיל את האירוע הזה.

 

בעולם שבו כדי לבצע Deepfake לקול שלכם צריך לא יותר מדגימה בת 3 שניות, בעולם שבו ראיה גנטית בבית משפט עדיין נחשבת מספיקה וחזקה במיוחד (דוגמא מעולה היא ההחלטה בתיק דנ"פ 9903/03, שבה אפילו כאשר המתלוננת לא זיהתה במסדר זיהוי חי את החשוד - הדגימה הגנטית נחשבה כמספקת כשלעצמה), ובעולם שבו ארגוני פשיעה יעשו לא מעט כדי להערים על רשויות החוק. למידע גנטי פשוט אסור להגיע למאגרים שכאלה. ובטח ובטח לא כאשר חברות שנחשבות לכאלו המובילות בתחום פשוט לא מסוגלות לשמור עליו.

 

ושיהיה חודש נפלא לכולנו!