סיכון פנימי נחשב עד לאחרונה במידה רבה כמוגבל לאירועים בודדים. מסוכן, כן. אבל בדרך כלל, תוצאה של עובדים רשלניים או "זאב בודד" פה ושם המונע על ידי חמדנות או נקמה. גילוי קמפיין בן שנים של צפון קוריאה לחדור לחברות מערביות הפך את ההנחות הללו על פיה. החדשות הרעות עבור מנהלי מערכות מידע בבריטניה: זו כבר לא בעיה רק עבור עסקים אמריקאים, על פי גוגל.
כעת, כאשר פיונגיאנג לוקחת את איומי הפנים לרמה חדשה לגמרי, מה יכולים לעשות מנהיגי אבטחה ועמיתיהם במשאבי אנוש כדי לסנן את הפושעים? ולמנוע מגל המרגלים הבא לחדור לתפקידי IT פנימיים?
ה-TTPs האחרונים
לפי מיקרוסופט"תוכנית העובדים מרחוק המרמה" של צפון קוריאה נמשכת לפחות משנת 2020, לאחר ששילבה אלפי עובדי IT בתפקידים בארגונים מערביים. מספר... כתבי אישום של מרגלים צפון קוריאנים ומקומיים מנחים בעקבות זאת, וחשפו את היקף המבצע. כעת נראה כי הוא מתרחב לאירופה, לדברי ג'יימי קולייר, יועץ ראשי בקבוצת מודיעין האיומים של גוגל (GTIG).
"היקף האיום שמציבים עובדי ה-IT של צפון קוריאה ממשיך לגדול, וארגונים בריטיים נמצאים בטווח האיום. מה שהחל כמבצע שהתמקד ברובו בארה"ב התרחב לקמפיין עולמי, כאשר אירופה היא כעת מטרה מרכזית", הוא אומר ל-IO (לשעבר ISMS.online).
"במקרה אחד, עובד IT של צפון קוריאה ניצל ארגונים בארה"ב ובבריטניה, באמצעות מחשב נייד של החברה – שנועד לשימוש בניו יורק – שנמצא פעיל בלונדון. זה מצביע על שרשרת לוגיסטית מורכבת, שבה מכשירים וגישה מועברים ביעילות דרך מיקומים מהימנים, מה שמאפשר לפעילים להסוות את זהותם ומיקומם האמיתיים."
עובדים אלה יוצרים, שוכרים או רוכשים זהויות התואמות את המיקום הגיאוגרפי של הארגון היעד, ופותחים חשבונות דוא"ל, מדיה חברתית ו-GitHub חדשים כדי לבנות פרסונה מקצועית משכנעת. המנחים שלהם מאמתים את הזהויות ההונאה הללו ועוזרים על ידי העברת מכשירי חברה והפעלת חוות מחשבים ניידים. העובדים משתמשים בכלי ניהול מרחוק כדי להתחבר לחוות המכשירים הללו, הממוקמות באופן מקומי לתפקיד, בעוד ש-VPN, שרתים פרטיים וירטואליים (VPS) ושירותי פרוקסי מסתירים את זהותם האמיתית. תמונות/סרטונים מזויפים מבוססי בינה מלאכותית ותוכנה לשינוי קול נפרסות גם הן כדי להשאיר את המעסיקים בחושך.
דו"ח עדכני מ-Flare ו-IBM X-Force חושף פרטים נוספים על התחכום של תוכניות אלו. הוא חושף את השימוש בפלטפורמות ניהול IT צפון קוריאניות כמו "RB Site" ו-"NetkeyRegister" כדי לספק "פעילות משרדית מובנית למעקב אחר עבודה, ניהול מכשירים והפצת עדכוני תוכנה". ואת השימוש ב-IP Messenger לתקשורת חשאית.
עבודתם של צוותי האבטחה ומשאבי האנוש מקשה על ידי העובדה שברוב המקרים, מטרת הקמפיין אינה בהכרח גניבת נתונים או סחיטה, אלא פשוט לייצר כסף עבור משטר קים ג'ונג און. Flare מעריכה כי היא מייצרת עד 500 מיליון דולר בשנה, כאשר חלק מהעובדים מחזיקים במספר משרות בו זמנית.
"במקרים מסוימים, הם לא רק מגייסים תפקידים, הם מצטיינים בהם", אומר קולייר מגוגל. "כאשר הודענו ללקוח אחד שעובד הוא סוכן צפון קוריאני, התגובה הייתה: 'אתה בטוח ב-100%, כי הוא אחד העובדים הטובים ביותר שלנו'."
אילוף האיום מבפנים
אך גם אם עובדי IT מצפון קוריאה אינם גונבים באופן פעיל נתונים או סוחטים את מעסיקיהם, נוכחותם עצמה מהווה סיכון משמעותי לציות לתקנות.
"ההמלצה של משרד יישום הסנקציות הפיננסיות מספטמבר 2024 אינה מותירה מקום רב לעמימות. תשלום לעובד IT של צפון קוריאה, אפילו מבלי דעת, יכול להוות הפרה של סנקציות פיננסיות של בריטניה והאו"ם. העונשים הם אזרחיים (אחריות קפדנית, כך שבורות אינה הגנה) או פליליים (עד שבע שנים)", מסביר אדריאן צ'יק, חוקר בכיר בתחום פשעי הסייבר ב-Flare.
"משרד החוץ של ארה"ב (OFSI) דיווח על קנסות אכיפה בסך כ-500,000 ליש"ט בשנים 2024-25, וחתם על מזכר הבנות חדש עם משרד האוצר האמריקאי באותה שנה, מה שאומר ששיתוף הפעולה הטרנס-אטלנטי במקרים אלה מתהדק. אם החברה שלכם פועלת גם בארה"ב, אתם עומדים בפני חשיפה משני הצדדים והסיכון התדמיתי בקושי דורש פירוט."
צ'יק מתאר מספר צעדים שארגונים צריכים לשקול כדי להפחית את האיום. צעדים אלה צריכים להתחיל בתיקון תהליך הגיוס, שזו הדרך למנוע את רוב הנזק.
"התחילו עם היסודות: אימות זהות מול תעודת זהות ממשלתית, אישור הזכות לעבודה, ובדיקת היסטוריית תעסוקה והמלצות באופן עצמאי. אל תתקשרו רק למספר שבקורות החיים", הוא אומר ל-IO (לשעבר ISMS.online). "לכל דבר הנוגע למערכות או נתונים רגישים, לכו רחוק יותר. סינון בדרגת BS 7858 מכסה היסטוריית תעסוקה מאומתת של חמש שנים ללא פערים בלתי מוסברים, בדיקות סנקציות ובדיקות רשימת מעקב, ובדיקות שלמות פיננסית במקומות בהם החוק מתיר זאת".
הבא צריך לבוא סינון משופר בראיונות.
"זה החלק שרוב ההנחיות מתעלמות ממנו. ראיונות טכניים סטנדרטיים קלים יחסית למעבר עם בינה מלאכותית שפועלת על מסך שני, וזה בדיוק מה שהסוכנים האלה עושים. צריך לעצב ראיונות שישברו את תהליך העבודה הזה", אומר צ'יק. "הוסיפו משהו שקרי ותראו מה קורה. ושאלו שאלות שדורשות דעה אמיתית, לא תשובה מספר לימוד. הימנעו מכל דבר שמועמד יכול לענות עליו על ידי הדבקת השאלה לתואר שני במשפטים."
על מגייסים להתעקש גם על שיתוף מסך בזמן אמת, ולשנות את פורמט הראיונות בין סבבים, כדי להרתיע זיופים פוטנציאליים. "אם השטף שלהם יורד באופן דרמטי כשהם לא יכולים להתכונן ואין להם סיוע בינה מלאכותית מוכן, זהו אינדיקטור משמעותי", אומר צ'יק.
עבור תפקידים עם גישה למידע רגיש, חיוני לקיים לפחות פגישה אישית אחת.
לבסוף, ארגונים יכולים למתן את הסיכון של עובד צפון קוריאני פוטנציאלי בקרבם על ידי הטלת מינימום הרשאות, השבתת חשבונות מנהל מקומיים והגבלת היכולת להתקין כלי שולחן עבודה מרוחק, מסכם צ'יק.
"אל תמסרו לקבלן חדש את המפתחות לכל מאגר וכלי פנימי ביום הראשון. ספקו גישה בהדרגה ובדקו אותה באופן קבוע", הוא אומר. "ואם אינכם יכולים להנפיק מכשיר מנוהל, ודאו כי קיימות רישום ונראות מקבילות של נקודות הקצה."
שיתוף פעולה עם משאבי אנוש
רבים מהמאמצים הללו ידרשו מצוותי אבטחה לבנות גשרים עם עמיתיהם בתחום משאבי האנוש, אומרת אדניקה קוסגרוב, אסטרטגית אבטחת הסייבר של Mimecast.
"שיתוף פעולה צריך להיות מובנה בגיוס כסטנדרט, לא להתייחס אליו כאל שלב הסלמה", היא אומרת ל-IO. "משאבי אנוש הם לעתים קרובות קו ההגנה הראשון. הם רואים את הסימנים המוקדמים: מועמדים שמסיטים שאלות זהות, דוחים את האימות או מתנהגים בצורה לא עקבית. ללא ערוץ ברור להעלות את החששות הללו לאבטחה, הסימנים הללו נעלמים."
הדבר צריך לחול גם על יציאה מהרשת, כדי להבטיח שהגישה לרשת מוסרת מיד לאחר סיום עבודתו של חשוד כגורם פנימי זדוני, היא אומרת.
"שום דבר מזה לא עובד בלי הסכמה מראש: על מה משאבי אנוש מודיעים לאבטחה, איזה צוות האבטחה מתקשר בחזרה, וכיצד מתקבלות החלטות כאשר התמונה אינה חד משמעית", מוסיף קוסגרוב.
"סיכון פנימי הוא בסופו של דבר בעיה של אנשים. הצוותים הקרובים ביותר לאנשים והצוותים הקרובים ביותר לנתונים צריכים לעבוד לפי אותה מערכת פעולות. אם משאבי אנוש ואבטחה לא עובדים כמערכת אחת, האיום הזה חומק ישר דרך הפער ביניהם."
תפקידן של מסגרות שיטות עבודה מומלצות
החדשות הטובות הן שלמרות שתקנים כמו ISO 27001 יכולים להרגיש "מנותקים" מאיומים כאלה, "בפועל הם רלוונטיים יותר מתמיד", אומר קוסגרוב.
"מה ש-ISO 27001 מספק זה מבנה", היא מוסיפה. "הוא כופה התאמה בין סינון משאבי אנוש, בקרות גישה ופיקוח אבטחה, וזה בדיוק המקום שבו טמון האיום הזה."
Flare's Cheek הולך רחוק יותר. הוא מציין את NIST CSF 2.0 כרלוונטי לחברות רב-לאומיות או חברות שעובדות עם לקוחות אמריקאים. ואת Cyber Essentials כבסיסי אך עם דרישות בקרת גישה שימושיות. אבל ISO 27001 הוא המקיף ביותר להתמודדות עם האיום הצפון קוריאני, הוא טוען.
צ'יק מתייחסת לדברים הבאים כשימושיים ורלוונטיים כאן:
- נספח א' 6.1 (סינון), הדורש בדיקות רקע ביחס לרמת הסיכון של התפקיד, וסינון מתמשך
- נספח א' 5.16 (ניהול זהויות), הדורש זיהוי משתמש ייחודי ואוסר על חשבונות משותפים
- נספחים א' 6.5 ו-6.6, הדורשים שחובות סודיות יישארו בתוקף גם לאחר סיום ההסכם והגישה תבוטל באופן מיידי, ובכך להפחית את סיכוני הסחיטה.
- נספח א' 6.7 (עבודה מרחוק), המכסה את הסיכונים של מכשירים לא מנוהלים המאמתים פיזית עובדים מרוחקים
"עם זאת, הערך האמיתי של ISO 27001 הוא תרבותי", הוא מסכם. "חוקרים טוענים כבר למעלה משנה שסיכון פנימי צריך להיות באחריות משותפת בין מחלקות אבטחה, משאבי אנוש, משפט, ביקורת ופיננסים. ISO 27001 נותן לכם את המבנה הדרוש כדי שזה יקרה."
הרחב את הידע שלך
בלוג: כאשר מוקד התמיכה הוא האיום
פודקאסט: פישינג לצרות עונה 02 פרק 02: מחדר הישיבות לחדר ההפסקה - בניית תרבות של ציות
