הגרוע מכל עוד לפניהם: העתיד העגום של שירביט ולקוחותיה

לאירוע מסדר גודל כמו פריצת הסייבר לשירביט ישנן השלכות ישירות ועקיפות על חברות. ההשלכות הישירות כוללות גניבה של מידע או כסף, זמן התאוששות מהאירוע, דמי כופר והוצאות אחרות ששולמו - כולל קנסות. נראה שבמתקפה לא נגנב מהחברה כסף, אולם הסברה הייתה שהתוקפים ידרשו כופר - וזה מה שאכן קרה.

אם לשפוט ממקרים דומים מהעולם, חברות מעדיפות לשלם כופר ולשחזר את המידע (וגם למנוע פרסום מביך של מידע שנגנב). עלות כופר כזאת יכולה להגיע למיליוני שקלים, כשדרישת הפתיחה של החוטפים הייתה 50 ביטקוין (קרוב למיליון דולר) ואם אלה לא ישולמו עד הדדליין - 100 ביטקוין. בנוסף, אירוע כזה מחייב הפעלת אמצעים שאין בידי החברה באופן שוטף - מומחי אבטחת מידע, מומחים טכניים, אנשי יח"צ ומשפטנים. לעיתים הוצאות אלו מכוסות על ידי ביטוח סייבר, אולם לרוב אין הביטוח מכסה את כלל ההוצאות הישירות והחברה צריכה להוציא זאת מקופתה.

בנוסף, בזמן המתקפה האתר של החברה אינו נגיש, ויש לשער שגם מערכות מידע פנימיות מושבתות לצורכי טיפול או על מנת למנוע מהתוקפים לפגוע בהן. פרק זמן זה (המכונה Downtime) משמעו פגיעה ברציפות התפקודית והעסקית של החברה ויש להעריך שהוא יעלה לחברה כסף רב (סטטיסטיקות מחו"ל קובעות שהעלות הממוצעת של אובדן זמן זה משתווה להוצאה של כ-740 אלף דולר, בממוצע).

שירביט היא חברת ביטוח קטנה יחסית שלה כמה עשרות אלפי לקוחות. כחברת ביטוח היא נמצאת תחת פיקוחה של רשות שוק ההון, ביטוח וחיסכון. אותה רשות פרסמה בשנת 2016 הוראה בדבר "ניהול סיכוני סייבר בגופים מוסדיים"(שנכנסה לתוקף בשנת 2017) שמחייבים את שירביט ואת שאר חברות הביטוח. ההוראה מפורטת למדי ומנחה את חברות הביטוח כיצד לבצע סקרי סיכונים, באלו טכנולוגיות סייבר וענן להשתמש ואיזה בעלי תפקידים נדרש לאייש כחלק מהערכות לאיומי סייבר.

מההודעה שפרסם מערך הסייבר הלאומי עולה שרשות שוק ההון, ביטוח וחיסכון מעורבת בטיפול וחקירת התקרית. בתקנה אמנם לא מפורט מה העונשים שיושתו על חברות שלא עמדו בהנחיות, אולם ניתן לשער שאם נפלו כשלים בהתנהגות החברה הרגולטור יקנוס אותה (כפי שקרה לשירביט בשנת 2013 ובשנת 2010, עת ספגה קנסות של 3 מיליון שקל בשל הפרת הוראות וניגודי עניינים). בנוסף, ייתכן מאוד שלקוחות החברה לא יסתפקו בעונש שישית עליה הרגולטור, ויחליטו לתבוע נזיקין בבית משפט (בתביעה פרטית או ייצוגית), מה שיוסיף הוצאות משפטיות (ואולי אף קנסות נוספים).

מבחינת נזקים עקיפין, הרי שמדובר בנזק למוניטין, נטישה של לקוחות קיימים והוצאות נוספות שעל החברה להוציא כחלק מתהליך ההתאוששות.

איתרע מזלה של שירביט והיא הותקפה בזמן שהמדיה והציבור כבר מודעים היטב לסיכוני סייבר, עקב כמות גדול של אירועים שקרו בשנים האחרונות. אופי הפריצה והעובדה שהאירוע מסוקר בצורה אינטנסיבית, יביאו לכך שהיא תסבול בוודאי מפגיעה במוניטין שלה. סקרים שונים שנערכו בשנים האחרונות בעולם מראים ששני שליש מהנשאלים יפסיקו לרכוש מוצרים ושירותים מחברה שסבלה ממתקפת סייבר רצינית. בנוסף, סביר מאוד להניח שלקוחות קיימים יבחרו לעזוב את החברה וכך היא תסבול פעמיים - גם יעזבו אותה לקוחות קיימים והיא גם תתקשה לגייס לקוחות חדשים במקומם. ייתכן שבעקבות הפריצה החברה תצטרך להשקיע בתשתיות מחשוב וציוד הגנה (שאולי ימנע את המתקפה הבאה), וכנראה גם עלויות פוליסת הביטוח שלה יעלו.

מבחינת לקוחות החברה, הרי שגם הם חשופים לנזק ישיר ועקיף כרגע,,על אף עננת חוסר הודאות שעוטפת את האירוע ברור למדי שהחברה נפרצה, וניתן להניח שפרטים ומסמכים הקשורים ללקוחות נגנבו ויוכלו לשמש בידי פושעים ונוכלים שונים.

נראה שלא נגנבו פרטי תשלום, כך שלא ניתן יהיה לגנוב כסף ישירות מחשבונם של אותם לקוחות, אולם המידע שכן נגנב (שמות, כתובות, פרטים מלאים של תעודות זהות, פרטי רישום רכב ועוד) יוכלו לשמש נוכלים שונים להזדהות באתרים שונים ולביצוע פעולות שונות שיביאו בסופו של דבר לנזק כלכלי ללקוחות. לא ניתן לשלול גם שפושעים ינצלו את הפרטים הללו לביצוע הונאות שונות (יתחזו לבעלי החשבון בטלפון ויבצעו פעולות שונות תוך ניצול פרטי הזיהוי שבידם), כמו גם את האפשרות שפושעים ינצלו את המידע לסחוט את הקורבנות (בסגנון - אנחנו יודעים שנהגת בשכרות ולכן רישיונך נפסל, אם לא תשלם נספר לבוסים שלך).

מבחינת נזקים עקיפים, הרי שאותם לקוחות חווים כרגע מועקה רבה. במחקרים שנערכו בעולם עולה שקורבנות של פשיעת סייבר סובלים מתסמינים של חרדה, דיכאון ומועקה, שיכולים להימשך חודשים ארוכים לאחר התקרית עצמה. חלקם מעידים שהם מרגישים "מחוללים" וחסרי ביטחון.

פעם בכמה שנים מתחולל מאורע מסדר גודל אחר שנחקק בזיכרון הקולקטיבי כ"אירוע סייבר מסדר גודל לאומי". ייתכן מאוד שהתקרית הזו תתויג בעתיד כאירוע כזה, ותיזכר עוד שנים ארוכות (בדומה לפריצה הגדולה ללאומי-כארד או ה"האקר הסעודי"). בכל מקרה, התקרית צפויה להשפיע בצורה משמעותית על חברת שירביט ועל רבים מלקוחותיה.

יותם גוטמן הוא מנהל השיווק של חברת הסייבר SentinelOne