חן בורשן, מנכ״ל סקייהוק סקיוריטי, באדיבות סקייהוק סקיוריטי
לפני שבוע כל המדינה געשה כשסרטונים אינטימיים נגנבו ממערכת אבטחה של מכון כושר ומצאו דרכם לאינטרנט. תקרית זו ממחישה את הסכנות והאתגרים בשמירה על פרטיות ואבטחה בעולם שבו מכשירים חכמים ומקושרים נמצאים בכל בית ובכל ארגון. על מנת למנוע תקריות כאלו החלו מחוקקים ורגולטורים ברחבי העולם לקדם חקיקה ותקינה שתקשיח את המכשירים החכמים ותקשה על גניבת מידע ועל ידי כך תשפר את הפרטיות של הצרכנים.
הבוטנט מיראי: סיפור אזהרה
דוגמה עכשווית לצורך באמצעים כאלה היא בוטנט מיראי . בוטנט הינו קבוצה של מכשירים שנמצאים תחת שליטה של תוקף ונמצאים בשליטתו. התוקף חודר למכשירים עם אישורים חלשים או ססמאות ברירת מחדל, מדביק אותם, נעזר בהם לשגר הלאה את הרושעה ולהדביק אחרים, ואז משתמש בהם ליצירת רשת המשמשת לפעילויות זדוניות, כמו מתקפות מניעת שירות מבוזרות DDoS.
בשנת 2016 מיראי שימש למתקפה הגדולה ביותר שנראתה עד אז, כנגד ספק האינטרנט DYN, מתקפה ששיתקה את תעבורת האינטרנט בחלקים גדולים מהחוף המזרחי בארצות הברית. הבוטנט הדביק בעיקר מצלמות IP, מכשירי הקלטה מחוברים וראוטרים. גרסא עדכנית של הבוטנט הזה נתגלתה לאחרונה- משוכללת ומסוכנת יותר. בגרסה האחרונה שלו, מיראי מנצל למעלה מ-20 פגיעויות, כולל פגיעויות יום אפס בנתבים תעשייתיים ומכשירים חכמים לבית, ומסוגל לעקוף מנגנוני הגנה שונים. האבולוציה של הבוטנט מדגישה את החשיבות של אמצעי אבטחה חזקים במכשירים מחוברים ואת ההשפעה ההרסנית של היעדרם.
הסימון האמריקאי לאמון סייבר: פישוט אבטחת המכשירים החכמים
ב-7 בינואר 2025, הבית הלבן הציג את ה- Cyber Trust Mark , מערכת סימון חדשה שמטרתה לעזור לצרכנים לזהות בקלות מכשירים חכמים מאובטחים. יוזמה זו שואפת להגדיר סטנדרט ברור לאבטחת סייבר במכשירים מחוברים, ומאפשרת לאמריקאים לקבל החלטות מושכלות בעת רכישת טכנולוגיה.
היבטים מרכזיים של Cyber Trust Mark כוללים:
- השתתפות וולונטרית: יצרנים יכולים להצטרף לתוכנית ולהראות את מחויבותם לעמידה בתקני אבטחה מחמירים.
- סטנדרטים שקופים: המכשירים חייבים לעמוד בהנחיות שהוגדרו על ידי המכון הלאומי לתקנים וטכנולוגיה (NIST), אשר מטפלות בסיכונים כמו סיסמאות חלשות, תוכנה לא מעודכנת והגנה בלתי מספקת על נתונים.
- חינוך צרכנים: התווית משמשת כאישור ויזואלי לכך שהמכשיר עומד בסטנדרטים הטובים ביותר באבטחת סייבר, ומקלה על הצרכנים להעדיף בטיחות.
תוכנית זו לא רק מספקת מדד למוצרים מאובטחים, אלא גם מעודדת יצרנים להעניק עדיפות לאבטחת סייבר בעיצוביהם. על ידי יישור הפעילות התעשייתית עם סטנדרטים לאומיים, ארה”ב שואפת ליצור אקוסיסטם בטוח יותר למכשירים מחוברים.
חוק PSTI של בריטניה: יצירת הבסיס לאבטחת מכשירים
הגישה של בריטניה לאבטחת מכשירים חכמים קדמה ליוזמה האמריקאית ומשמשת מודל למאמצים דומים ברחבי העולם. חוק אבטחת המוצרים ותשתיות הטלקומוניקציה (PSTI), שהוצג ב-2022, מחייב אמצעי אבטחת סייבר מחמירים לכל המוצרים המחוברים הנמכרים בבריטניה. ההוראות המרכזיות של החקיקה כוללות:
- איסור על סיסמאות ברירת מחדל: סיסמאות ברירת מחדל אוניברסליות, שהן דרך שכיחה עבור האקרים לפרוץ למכשירים (כך התפשט בזמנו הבוטנט האיימתני Mirai) אינן מותרות עוד.
- עדכוני אבטחה חובה: יצרנים חייבים ליידע צרכנים על משך הזמן שבו המכשירים יקבלו עדכונים.
- דיווח על פגיעויות: חברות חייבות לספק נקודת קשר ציבורית לדיווח על בעיות אבטחה.
חוק זה, שנכנס לתוקף באפריל 2024, מהווה צעד קריטי לקראת אבטחת האינטרנט של הדברים (IoT). באמצעות אכיפת עמידה בחוק, בריטניה יצרה מסגרת שמגנה על צרכנים תוך שמירה על יצרנים באחריות.
תנועה גלובלית מתרחבת
מעבר לארה”ב ובריטניה, מדינות נוספות מיישמות צעדים דומים להגנה על מכשירים חכמים. לדוגמה:
- האיחוד האירופי קבע כללים המחייבים יצרנים לעמוד בתקני אבטחת סייבר ספציפיים למכשירים מחוברים לפני שניתן למכור אותם באזור.
- סינגפור הציגה תוכנית דירוג אבטחת סייבר, המספקת מערכת דירוג שמיידעת צרכנים על תכונות האבטחה של מוצרי IoT
- אוסטרליה ודרום קוריאה גם השיקו יוזמות שמטרתן לשפר את אבטחת ה-IoT, כולל תוכניות הסמכה ותקנים מחייבים.
מאמצים גלובליים אלה משקפים הכרה מאוחדת בצורך להתמודד עם פגיעויות במכשירים חכמים ולהגן על צרכנים ברחבי העולם.
למה זה חשוב
עבור צרכנים, תוכניות אלה מעניקות ביטחון רב יותר בבטיחות המכשירים שלהם. עבור יצרנים, הן מסמנות שינוי בציפיות השוק, שבו אבטחה כבר אינה אופציה אלא הכרח. ככל שהנוף הדיגיטלי ממשיך להתפתח, יוזמות אלו יוצרות תקדים לאיזון בין חדשנות להגנה.
מחשבות מסכמות
הצגת Cyber Trust Mark בארה”ב ויישום חוק PSTI בבריטניה מסמנים אבני דרך משמעותיות במסע לעבר עולם מחובר ובטוח. על ידי קביעת הנחיות ברורות והעמדת יצרנים באחריות, מאמצים אלה מבטיחים שמכשירים חכמים ישפרו את חיינו מבלי לסכן את בטיחותנו. המומנטום הגלובלי מאחורי רגולציות כאלה, יחד עם לקחים מאירועים כמו בוטנט מיראי, מדגישים את הצורך במחויבות קולקטיבית לאבטחת סייבר. יחד, מאמצים אלו סוללים את הדרך לעולם דיגיטלי בטוח ואמין יותר.
