אבטחת אתרים

האם פרצו לכם פעם את האתר?
למי שכן – האם תוכלו לתאר את התחושה כשהבנתם שהאתר שלכם בידיים זרות כעת?

בשתי מילים: שחור בעיניים. ובמילה אחת: גהינום.

כל רגע שאין לכם שליטה על האתר זה המוניטין שלכם בסכנה (כי הפורץ יכול להציג אתכם איך שהוא רוצה), נזק כלכלי גדול והכי גרוע? אי וודאות לגבי איך ממשיכים מכאן.

תיקון אתר שנפרץ

מדי שבוע פונים אליי לקוחות חדשים עם אתר שנפרץ.
ברוב המקרים אנחנו יודעים להגיש את האתר הפרוץ חזרה לאוויר בתוך מספר שעות, אבל במקרה אחד פנה אלינו לקוח עם בעיה משמעותית יותר.
התוקף הפנה את כל הטראפיק שלו לאתר אחר שנראה בדיוק כמו האתר שלו. ממש העתק מדוייק.

מספר הטלפון, כתובת המייל, וכמובן הסליקה היו שונים מהמקור, אבל הגולשים באתר לא יכלו לשים לב לכך.

צוות בוני האתר שלו סידר את זה פעם אחר פעם רק כדי לראות איך ההפניה חוזרת שוב בתוך שניות ספורות עד שהרימו ידיים.

לאחר בירור קצר הצלחנו למצא את הבעיה. ההאקר פרץ את מערכת הניהול של הלקוח באמצעות חולשת אבטחה באלמנטור, והחדיר סקריפט שמעדכן בצורה אוטומטית את הכתובת של האתר.
כל הנסיונות לסדר את זה לא הצליחו מפני ששניות לאחר מכן הסקריפט עבד שוב באופן אוטומטי וההפניה לאתר המשוכפל חזרה.

היה ברור שהתוקף הוא מקומי, כי שפת האתר המשוכפל היתה עברית, מספר הטלפון היה ישראלי, והדומיין שאליו בוצעה ההפניה נרשם בישראל.

לאחר שניקינו את הסקריפט האוטומטי, השארנו לתוקף הפתעה קטנה.
באותה פירצה ששימשה אותו כדי לחדור לאתר, הוספנו פיצ׳ר שהוא לא יכל לשים לב אליו ובנסיון הפריצה הבא שלו נתנו לו את הפידבק שהפריצה שלו הצליחה, אבל במקביל גם קלטנו את הכתובת IP שלו ועוד מידע שהעתקנו מה cookies של הדפדפן. כך הצלחנו לחשוף את זהותו של התוקף, ואת הפרטים האלה הגשנו ללקוח כדי שיוכל להגיש תלונה במשטרה על הפריצה לאתר.

כל חברי הצוות ב EOI עוברים קורס בתקיפה אתית כדי להכיר את האויב, ואנחנו רואים את התוצאות בשטח.
באחד הפרוייקטים הגדולים שהקמנו בארץ עברנו סקר אבטחה ע״י חברה חיצונית שנבחרה ע״י הלקוח ולא נמצאה אפילו חולשת אבטחה אחת.

מה זה אבטחת אתרים?

אבטחת אתרים היא נושא קריטי בעידן שבו האינטרנט הפך לחלק מרכזי בחיי היומיום שלנו. עם השימוש הגובר בטכנולוגיה, פושעי סייבר הפכו מתוחכמים יותר.
זה קריטי כיום לעסקים להגן על האתרים ופלטפורמות המסחר האלקטרוני שלהם מפני התקפות סייבר.

אבטחת אתר מתייחסת להגנה על אתר אינטרנט מפני גישה בלתי מורשית, פריצה וגניבת מידע.
זה חיוני לעסקים המסתמכים על אתר האינטרנט שלהם לנוכחותם המקוונת, כמו גם לאלו המבצעים עסקאות ומאחסנים מידע רגיש באינטרנט.

אנחנו נוהגים לחלק את הפריצות לאתרים ל 4 תחומים עיקריים לפי מטרות הפריצה:

• מתקפות מידע – מטרת התוקף היא להשיג מידע מאתר האינטרנט שלך. המידע יכול להיות מסוגים שונים. למשל רשימת הקונים של חנות אונליין יכולה לשמש בסיס לפרסום של מתחרה, או למתקפת פישינג עוקבת.
  רשימת קונים מפורטת הכוללת את שם הלקוח, פרטי יצירת קשר, כתובת והפריט שנרכש יכולה לשמש כדי לשלוח לקונים אימייל שבו נדרש מהם תשלום נוסף עבור דמי המשלוח. קונה שלא ישים לב עשוי לשלם תוספת עבור רכישה שכבר ביצע.
  תקיפה נוספת יכולה להיות פרסום של מוצר מתחרה לקהל הקונים של האתר שנפרץ, טירגוט של הקונים בפייסבוק והפצה של תכנים פירסומיים ישירות אליהם. הפרסומים יכולים להיות של מוצר מתחרה, או של מוצר זהה. באחד המקרים שראינו התוקפים יצרו אתר מראה שנראה בדיוק כמו האתר הנתקף, והפנו אליו טראפיק. אין שום דרך לדעת אם הם סיפקו את המוצרים שנרכשו באתר המשוכפל.
  עם תאריך הרכישה ניתן לייצר חוקיות אוטומטית שתשלח לקונים של קורבן התקיפה מוצרים משלימים או חלקי חילוף וממש לעשות פעולת שיווק ללקוחות שנגנבו מאתר אחר.

• מתקפות הפניה – מטרת התוקף היא להפנות את הטראפיק לאתר אחר. יש לכך מגוון סיבות.
  יכול להיות שהתוקף מקבל תשלום על כל גולש שנכנס לאתר שהוא מפנה אליו (תכניות אפיליאייט מסוימות משלמות סכום זעום על כל כניסה של משתמש חדש גם אם הוא לא קנה כלום, אבל במתקפות מסוג זה התוקף מזרים טראפיק של אתר משווק ולגיטימי), או בשביל להביך את קרבן התקיפה. כך למשל גולשים שנכנסים לאתר שמרני במיוחד עשויים לגלות הפניות לאתרי פורנו.
  באחד המקרים שנתקלנו בהם, התוקף הפנה את הגולשים מאתר מסחר אלקטרוני לאתר מתחרה.

• מתקפות הפלה – מתקפה שמטרתה להפיל אתר. תחת מתקפות מסוג זה אנחנו יכולים למנות למשל מתקפות Ddos למשל. בין הסיבות למתקפת הפלה:
  לעתים קרובות מתקפות מסוג זה מבוצעות על ידי פושעי סייבר כדי לסחוט כסף ממטרה על ידי איום לשבש את נוכחותם המקוונת. התוקף דורש כופר בתמורה לאי פתיחת המתקפה. 
  • מוטיבציה פוליטית: התקפות הפלה משמשות לעתים כסוג של מחאה או כדרך לשבש יריבים פוליטיים.
  • תחרות: עסקים מסוימים עשויים ליזום התקפות הפלה כדי לשבש את המתחרים שלהם, במטרה לגנוב לקוחות או לגנוב מידע רגיש.
  • טינה אישית: התקפות הפלה עשויות להיות יזומות על ידי אנשים עם טינה אישית למטרה, למשל, עובד לשעבר המבקש נקמה במעסיקם לשעבר.
  • לוחמת סייבר: התקפות DDos יכולות לשמש כצורה של לוחמת סייבר, כדרך של מדינות לשבש את התשתית של אויביהן.
  • פריצה: התקפות הפלה עשויות לשמש כדרך להסיח את דעתם של אנשי האבטחה מניסיון פריצה אחר, או כמסך עשן למתקפת סייבר משמעותית יותר.

• מתקפות השחתה – מתקפה שמטרתה להשחית אתר, או לשנות את התוכן שלו באופן שיפגע באתר. תחת מתקפות מסוג זה ניתן למנות את המתקפות Defacement הפשוטות שבהן האקרים מחליפים את עמוד הבית בדף עם מסרים אנטי ישראליים, אבל גם עדכון קטן ובלתי מורגש יכול להיות מאוד אפקטיבי. למשל שינוי של מספר הטלפון באתר יכול להוביל לקוחות להתקשר למתחרה, או עדכון תוכן באופן שיביך את המטרה. (זכורה לי השוואה מעניינת בין גודל איברים של שחורים ולבנים שהופיעה באתר של ה KKK, והתייחסות למקור יהלומי דמים שהופיעה באתר של רשת תכשיטים גדולה)

אז מה עושים כדי למנוע את זה?

קודם כל, כלל היסוד הוא שרוב התקיפות מונעות ע״י אינטרס כלשהו, ולכן אפשר להתייחס אליהן במונחים של עלות מול תועלת.
המטרה שלנו כשאנו ניגשים להגן על אתר היא לא למנוע את הפריצה שלו, מפני שזה לא ניתן לביצוע. בסופו של דבר כל אתר וכל שרת יכולים להפרץ.
המטרה שלנו היא לעכב את הפורץ כדי שהמתקפה לא תהיה כדאית והוא יעדיף לעבור למטרה הבאה.

הכלים הבסיסיים ביותר להגנה על אתר

• התקנת חומות אש: חומת אש היא מכשיר תוכנה או חומרה הפועל כמחסום בין רשת לאינטרנט, חוסם תעבורה לא רצויה ומגן על הרשת מפני התקפות סייבר.
• שימוש בסיסמאות מאובטחות: השימוש בסיסמאות חזקות יכול למנוע גישה לא מורשית לאתר אינטרנט, במיוחד עבור חשבון המנהל. חיוני להחליף סיסמאות באופן קבוע ולהשתמש בשילוב של אותיות רישיות וקטנות, מספרים ותווים מיוחדים.
• עדכון תוכנה באופן קבוע: תוכנה מיושנת עלולה להיות פגיעה להתקפות סייבר, ולכן חיוני לעדכן תוכנה באופן קבוע כדי לשמור עליהן מאובטחת.
• הצפנת נתונים: הצפנת נתונים מבטיחה שמידע רגיש מוגן, גם אם הוא יורט. זה חשוב במיוחד עבור מערכות פיננסיות או רפואיות.

אתרי מסחר אלקטרוני פגיעים במיוחד להתקפות סייבר בשל המידע הרגיש שהם מאחסנים, כולל תשלום ומידע אישי. כדי לאבטח אתרי מסחר אלקטרוני, עסקים חייבים לנקוט באמצעים נוספים, כגון:

• שימוש במערכות תשלום מאובטחות: מערכות תשלום מאובטחות כגון SSL (Secure Sockets Layer) ו-TLS (Transport Layer Security) מצפינות מידע המועבר בין אתר אינטרנט לדפדפן של לקוח, מה שמקשה על פושעי סייבר ליירט מידע רגיש.
• ביצוע סריקות פגיעות בשגרה: סריקות פגיעות רגילות יכולות לזהות ולמנוע איומים פוטנציאליים לאתר מסחר אלקטרוני.
• הטמעת אימות דו-שלבי: אימות דו-שלבי (2FA) מוסיף שכבת אבטחה נוספת לאתר מסחר אלקטרוני על ידי דרישה מלקוח או מנהל האתר להזין סיסמה וצורה שנייה של אימות, כגון קוד שנשלח לטלפון הנייד שלו.

סיכום

אבטחת אתרים ואבטחת אתרי מסחר אלקטרוני הם קריטיים להגנה על עסקים מפני התקפות סייבר.
על ידי הטמעת אמצעי אבטחה יעילים, עסקים יכולים להגן על אתר האינטרנט ועל פלטפורמת המסחר האלקטרוני שלהם מפני גישה בלתי מורשית, פריצה וגניבת נתונים, תוך הבטחת בטיחות הלקוחות שלהם והמידע הרגיש שלהם.

במקרה פריצה או אם יש לכם ספק סביר שאתם לא מוגנים, פנו אלינו ונשמח לנעול את הנושא עבורכם