דיווח: ההאקר המסוכן בעולם כיום הוא נער רוסי בן 17

חברת מודיעין הסייבר אינטרקרולר (InterCrawler) הודיעה במהלך סוף השבוע האחרון, כי גילתה את זהות ההאקר שפיתח את הנוזקה שאיפשרה את הפריצה למערכות הסליקה של טארגט, ניימן מרקוס ועוד שש רשתות קמעונאיות בארה"ב. הפריצה, שנחשבת לגדולה ביותר בשנים האחרונות, נחשפה לפני כשבועיים ופגעה בעשרות מיליוני לקוחות.

על פי ממצאי אינטרקרולר, ההאקר, המכונה "ree4" בפורומי ההאקרים, הינו נער רוסי ב 17 שמאחוריו פיתוח של מספר נוזקות פופולריות, שמיועדות לתקיפה של מערכות מיילים, רשתות חברתיות ומערכות DNS. על פי הדיווח מקום מושבו הוא בסנט-פטרסבורג ושמו האמיתי הוא כנראה רינת שיבאייב, כך על פי הפרופיל המיוחס לו ברשת החברתית הרוסית VK.

פרופיל ברשת החברתית VK המיוחס להאקר ree4

למרות שהוא כנראה האדם שפיתח את הנוזקות, הוא אינו זה שביצע את הפריצה. על פי הממצאים, שיבאייב מכר את פרי עבודתו לכ-60 קבוצות או עברייני סייבר והם אלה שביצעו את אותה. הנזק שנגרם לרשתות הסתכם באובדן של כ-70 מיליון פרטי לקוחות של טארגט, כ-50 מיליון פרטי לקוחות ניימן מרקוס ועוד מספר בלתי ידוע של פרטי לקוחותיהן של כשש רשתות קמאונעות נוספות.

מודעת המכירה של הנוזקה BlackPOS שפרסם ההאקר ree4

הנוזקה שמכונה "BlackPOS" ושהוחדרה למערכות הסליקה של החנויות, השתמשה בפירצה שאפשרה את משלוח המידע שהצטבר ישירות לידי ההאקרים. בין פריטי המידע שנגנבו היו מספרי כרטיסי אשראי, שמות, כתובות ובחלק מהמקרים אף מספרי ביטוח לאומי ופרטים מזהים נוספים. על פי ההערכות של גורמי אכיפה, כל פרט מידע מעין זה יכול להימכר בשוק השחור בעלות של בין 5 עד 25 דולר לפריט מאומת.

הרגולציה לא עומדת במבחן המציאות

הרווח של הפורצים יכול להסתכם אם כן במאות מיליוני דולרים, מה שהופך את המבצע לאחד מהפשעים הרווחיים ביותר בהיסטוריה. בנוסף מתברר כי הנוזקה הוחדרה למערכות המחשוב של הקמעונאיות כבר ביולי 2013 ולמרות גילויה בחודש שעבר, לקח לרשתות שנפגעו מספר ימים עד שהן דיווחו על כך לגורמים רשמיים וגם זאת רק לאחר שהנושא התגלה בידי חוקר אבטחת המידע האמריקאי בריאן קרבס.

בנוסף, הפירצה בניימן מרקוס טופלה באופן סופי רק במהלך שבוע שעבר, מה שהעלה שאלות רבות לגבי נהלי אבטחת המידע של הקמעונאים. הרגולציה ב-46 מדינות בארה"ב קובעת שעל קמעונאים חלה חובת דיווח במקרה של פריצה למערכותיהן, אולם הבדלים בתקנות בין המדינות מאפשרים במקרים מסויימים מרווח זמן מסויים לפני הדיווח לרשויות.

בכיר לשעבר בתחום הסייבר של משרד התובע הכללי של ניו יורק הסביר כי: "מדובר בהחלטה שרירותית. חקירת פירצה יכולה לקחת בין מספר ימים לשבועות רבים לפני שאתה מגיע למצב בו אתה מחוייב מבחינת החוק לדווח על כך". המצב דירבן פעילי זכויות צרכנים להעלות על סדר היום את הדרישה לחקיקה מסודרת בנושא ברמה פדרלית.