מאגרי מידע תמורת ביטקוין: כתב אישום חושף ניסיון סחיטה של בנק יהב - דין וחשבון - TheMarker
 

אתם מחוברים לאתר דרך IP ארגוני, להתחברות דרך המינוי האישי

טרם ביצעת אימות לכתובת הדוא"ל שלך. לאימות כתובת הדואל שלך  לחצו כאן

תיק מניות

רשימת קריאה

רשימת הקריאה מאפשרת לך לשמור כתבות ולקרוא אותן במועד מאוחר יותר באתר,במובייל או באפליקציה.

לחיצה על כפתור "שמור", בתחילת הכתבה תוסיף את הכתבה לרשימת הקריאה שלך.
לחיצה על "הסר" תסיר את הכתבה מרשימת הקריאה.

לרשימת הקריאה המלאה לחצו כאן

מאגרי מידע תמורת ביטקוין: כתב אישום חושף ניסיון סחיטה של בנק יהב

ליאור שרעבי, עובד לשעבר של חברת אקטיב טרייל שמספקת שירותי דיוור ישיר, מואשם בסחיטה באיומים, עבירות של פגיעה בפרטיות וחדירה לחומר מחשב ■ במסגרת תפקידו, היתה לו נגישות למידע רגיש, והוא העתיק והחזיק מאות מאגרי מידע שנטל ללא רשות

תגובות
אפליקציה לרכישת ביטקוין
בלומברג

לפני כחודש, הופתעו שלושה בכירים בבנק יהב לגלות בתיבות המייל שלהם הודעות משולח אנונימי, שהתריע על פרצת אבטחה שאיתר במערכת הממוחשבת של הבנק. השולח האנונימי כתב שהשיג נגישות מלאה למאגרי המידע של הבנק, ובין היתר פרטי הלקוחות, כולל מספרי חשבונות בנק ו-4 ספרות אחרונות של מספרי כרטיסי האשראי.

השולח ציין כי הוריד מתוך מאגר המידע 2,000 רשומות מלאות שמכילות מידע על לקוחות הבנק, ואיים כי אם לא יעבירו לו 8.554 ביטקוין (שווים לכ-125 אלף שקל) עד לסוף היום - הוא יפרסם את הרשומות המלאות. השולח ציין גם כי הוא ימשיך להעתיק את הרשומות של הבנק מדי יום, עד שישולמו לו 68 ביטקוין נוספים (שווים לכמיליון שקל). הוא הדגיש גם כי אם הבנק לא ישלם את הכסף, הוא יפרסם את המידע הרגיש במקום ובזמן שבו יבחר.

כתב אישום שהגישה היום (ג') מחלקת הסייבר בפרקליטות המדינה לבית המשפט המחוזי בתל אביב, מתאר מסכת סחיטה מקוונת שביצע ליאור שרעבי, תושב פרדס חנה בן 32 ועובד לשעבר של חברת אקטיב טרייל (Active Trail), שמספקת שירותי דיוור ישיר לאלפי לקוחות. על פי הנטען, שרעבי נהג לחדור למערכות הממוחשבות של החברה ללא הרשאה, ולהעתיק מאות מאגרי מידע שהיו מאוחסנים בשרתים.

בכתב האישום שהוגש על ידי עו"ד איתי גוהר ממחלקת הסייבר, מואשם שרעבי בעבירות של סחיטה באיומים, עבירות של פגיעה בפרטיות וחדירה לחומר מחשב. כתב האישום כולל שלושה אישומים, ומפרט מסכת ארוכה ושיטתית של חדירה לחומר מחשב והעתקת מאגרי מידע המכילים מידע פרטי ורגיש על מיליוני אנשים.

שרעבי עבד בתמיכה הטכנית של חברת אקטיב טרייל בין 2014 ל-2015, והתפטר על רקע חילוקי דעות עם מנהל חדש שהגיע לחברה. אקטיב טרייל מתפעלת פלטפורמה לדיוור ישיר, ומספקת שירותים לחברות רבות ביניהן בנק יהב, בנק דיסקונט, לאומי קארד, בנק לאומי, ביטוח ישיר וחברת כלל. במסגרת תפקידו, היתה לשרעבי נגישות למידע ממוחשב רגיש, והוא העתיק והחזיק ברשותו מאות מאגרי מידע שנטל ללא רשות מהחברה.

בין המאגרים שהעתיק: מאגר מידע השייך לבנק יהב ומכיל כ-141 אלף רשומות של לקוחות, מאגר מידע השייך לעמותת בוגרי יחידת 8200, המכיל כ-13.4 אלף רשומות של אנשים אשר שירתו ביחידה, מאגר מידע בשם "לאומי תיירות" המכיל כ-341 אלף רשומות של לקוחות השירות, מאגר מידע בשם "לאומי שופרסל קארד" המכיל כ-117 אלף רשומות של לקוחות שירות האשראי, מאגר מידע ששייך לחברת קסטרו המכיל 270 אלף רשומות.

מתוך מאגרי המידע הללו יצר שרעבי רשימות של אנשים, שאותם זיהה על בסיס הנתונים כאנשים אמידים מבחינה כלכלית. בין השאר, זיהה רופאים ורואי חשבון, שפרטיהם האישיים ופרטי מקצועם הופיעו במאגרי המידע, כאנשים בעלי פוטנציאל להיות אמידים. בהמשך הוא מכר לבית ההשקעות "טופ אלפא" שתי רשימות של אנשים אמידים, המכילות יחדיו בסה"כ כ-3,000 רשומות המכילות פרטים אישיים. בעבור המכירה גרף לכיסו על פי כתב האישום כ-6,000 שקל, על פי תמחור של שני שקלים לכל אדם שפרטיו האישיים מופיעים ברשימות.

ביולי שלח שרעבי מייל אנונימי ובו הודעות איום גם למנכ"ל אקטיב טרייל בה עבד. בפתח ההודעה, שנכתבה באנגלית, צירף טקסט שנחזה להיות כתבה עיתונאית כביכול, שמסקרת את "פרצת האבטחה הגדולה ביותר בישראל" שגרמה ל"מיליוני רשומות של מידע אישי רגיש להתפרסם ב-darknet. שרעבי ציין כי ההודעה נכתבה על ידי קבוצת האקרים שנוהגים למצוא פרצות אבטחה בחברות שונות ודורשים תשלום בתמורה לכך שלא יחשפו את פרצת האבטחה אותה ניצלו.

שרעבי דרש להעביר לו 123.0091 ביטקוין (1.8 מיליון שקל) לארנק אלקטרוני שפרטיו צורפו להודעה. כנגד תשלום זה, הבטיח כי יחשוף בפני החברה את "פרצת האבטחה" והקשר בין החברה ל"האקרים" יסתיים. לחלופין דרש להעביר לו תשלום שבועי של 23.5543 ביטקוין (כ-345 אלף שקל) בתמורה ל"איבטוח הפרצה" מפני האקרים נוספים מעתה והלאה.

במענה לדרישה הזו השיב המנכ"ל כי אין ביכולתו לשלם את הסכומים הללו והציע לשרעבי תשלום של 10 אלף דולר בעבור חשיפת הפרצה. אולם אז, על פי כתב האישום, שרעבי השיב לו כי הוא "נפגע" מהצעת התשלום הנמוכה ובעקבות זאת החליט להעלות את המחיר ב-15%. להודעה זו הוא צירף רשימת כותרות (headers) של קובץ המפרט את התקשרויות החברה עם לקוחותיה כהוכחה לכך שהוא יודע שלחברה יש את הכסף לשלם לו ולכך שהוא יכול לשלוף קבצים מתוך מערכת הניהול של החברה. בנוסף, ציין שלא יהיה משא ומתן נוסף וכי על החברה לשלם את הסכום שדרש.

שרעבי איים כי אם לא יקבל את הסכום הוא ישלח הודעות למיליוני האנשים שפרטיהם מופיעים ברשימות הדיוור של לקוחות החברה, תוך השתלטות על מערכות החברה, והודעות אלה יכללו "הפתעות", וגם יפרסם בכל שעה 10 סיסמאות גישה לחשבונות של לקוחות החברה בשרתי החברה.

ההתכתבות עם החברה נמשכה כחודש עד למעצרו של שרעבי על ידי המשטרה. במקרה של הודעות המייל שנשלחו לבנק יהב, הבנק יידע את המשטרה על הסחיטה, ומאותו שלב ליוו השוטרים את ההתכתבות שנערכה עם שרעבי. הבנק שלח לשרעבי סכום של 0.160 ביטקוין (כ-2,000 שקל) לארנק אליו ביקש שרעבי להעביר את דמי הסחיטה וכתב כי מדובר בדמי רצינות.

בהמשך פירסם שרעבי באתר Pastebin.com, שני קבצים המכילים 10,000 רשומות של לקוחות הבנק, אולם כשלושה ימים לאחר מכן נעצר על ידי המשטרה.

במקביל לכתב האישום, מבקשת הפרקליטות להאריך את מעצרו של שרעבי עד תום ההליכים המשפטיים נגדו. בנוסף, הוגשה בקשה לאסור את פרסום פרטי המידע האישי שבמאגרי המידע שנטל שרעבי מחברת אקטיב טרייל, שבו השתמש על מנת לסחוט את החברה ואת הבנק.



תגובות

דלג על התגובות

בשליחת תגובה זו הנני מצהיר שאני מסכים/מסכימה עם תנאי השימוש של אתר TheMarker

סדר את התגובות

כתבות ראשיות באתר

כתבות שאולי פיספסתם

*#