ההודעה שנחתה בתיבה של המרצה נראתה חברית לגמרי. חוקר מאוניברסיטה אחרת כתב שקרא מאמר שפרסם, התעניין, וביקש לעיין בעבודות נוספות שלו. הקישור שצורף הוביל לעמוד התחברות שנראה כמעט זהה לזה של האוניברסיטה. מי שהקליד שם את שם המשתמש והסיסמה מסר אותם, לפי כתב אישום אמריקני שהוגש השבוע, לרשת פריצה איראנית שעבדה כמעט כמו פס ייצור.

מה קרה

משרד המשפטים האמריקני הגיש כתב אישום נגד 17 אזרחים איראנים, אנשי חברה מטהרן בשם מכון מבנא (Mabna Institute). לפי התביעה החברה פעלה מ-2013 ומכרה שירותי פריצה גם למשמרות המהפכה וגם ללקוחות פרטיים באיראן, וחילקה בין העובדים תפקידים מסודרים: איתור מטרות, כתיבת הודעות ההתחזות, רישום כתובות אינטרנט מזויפות ושמירה של הסיסמאות שנגנבו.

המספרים בכתב האישום גדולים. יותר מ-100 אלף חשבונות של מרצים ברחבי העולם סומנו כמטרה, כ-8,000 מהם נפרצו בפועל, ומתוכם נשאבו יותר מ-31 טרה-בייט של מאמרים, ספרים דיגיטליים, עבודות גמר ודוקטורטים. בכתב האישום מופיעות 178 אוניברסיטאות, 144 מהן בארצות הברית והשאר במדינות אחרות. ynet מדווח שגם אוניברסיטאות ישראליות נמצאות ברשימה, אבל שמותיהן ומספר החשבונות שנפרצו בכל אחת נותרו חסויים. את שווי החומרים מעמידה התביעה על כ-3.4 מיליארד דולר, וזה סכום שמשקף כמה שילמו האוניברסיטאות עצמן על המנויים למאגרים, לא מחיר שוק של מידע גנוב.

המידע גם לא נשאר בידי מי שגנב אותו. לפי התביעה, חלק ממנו נמכר בשני אתרים איראניים, ולקוחות יכלו לשלם כדי להשתמש ישירות בחשבונות של מרצים שנפרצו ולהיכנס דרכם לספריות מקוונות של אוניברסיטאות בחו"ל. מול חברות וגופי ממשל נעשה שימוש בשיטה אחרת: אספו מהאינטרנט שמות וכתובות מייל של עובדים, וניסו מולם סיסמאות נפוצות וסיסמאות ברירת מחדל. במקרים שבהם זה הצליח, התוקפים הורידו תיבות דואר שלמות והגדירו כללי העברה אוטומטית, כך שגם הודעות חדשות המשיכו לזרום אליהם.

מחלקת המדינה האמריקנית מציעה פרס של עד 10 מיליון דולר על מידע שיוביל לאיתורם של חמישה מהנאשמים. אחד מהם, אמיר בראטי בן ה-39, נעצר ביוני במונטנגרו ומוחזק שם במעצר עד להחלטה בבקשת ההסגרה.

למה זה חשוב לכם

מה שמפעיל את כל המבצע הזה הוא לא חולשה אקזוטית ולא נוזקה מתוחכמת. זה מייל אחד שנכתב במיוחד בשבילכם ועמוד התחברות שנראה נכון. אותו מהלך בדיוק מגיע כל יום גם למי שלא חוקר כלום: הודעה שנראית מהבנק, מחברת המשלוחים או מגוגל, וקישור לעמוד שמבקש להתחבר. ההבדל היחיד הוא שכאן התוקפים טרחו לקרוא קודם מה כל מרצה פרסם.

והחלק שכדאי לזכור הוא מה שקרה לסיסמאות אחר כך. הן נמכרו הלאה. חשבון שנפרץ פעם אחת ממשיך לשמש אנשים אחרים לגמרי, שנים אחרי.

מה עושים?

הפעילו אימות דו-שלבי בחשבון המייל ובחשבונות הלימודים או העבודה, ואם אפשר בחרו באפליקציית אימות או במפתח פיזי במקום בקוד ב-SMS.

אל תתחברו לשום חשבון דרך קישור שהגיע בהודעה. הקלידו את הכתובת בעצמכם, או היכנסו דרך הסימנייה או האפליקציה.

בדקו בהגדרות תיבת המייל אם מוגדר שם כלל העברה אוטומטית שאתם לא יצרתם, ומחקו אותו. זה בדיוק מה שהרשת הזאת עשתה בתיבות של עובדים, וזה ממשיך לעבוד גם אחרי שמחליפים סיסמה.

אם אותה סיסמה משמשת אתכם גם באתרים אחרים, החליפו אותה בכולם.

השיטה שעבדה על 8,000 מרצים היא אותה שיטה שמנסים גם עליכם, רק בלי המחקר המקדים.