פישינג: משחק החתול והעכבר בין חוקרים לתוקפים

חוקרים בכל העולם מפתחים אלגוריתמים שמסוגלים לנתח מיליוני הודעות דוא״ל. ובכל זאת, הודעה שגרתית, כתובה היטב, שמגיעה ברגע הנכון, עדיין יכולה להטעות מישהו. למה, למרות כל הטכנולוגיה הזאת, הודעה פשוטה עדיין עובדת? מבט מבפנים על מרוץ שלא נגמר לעולם.

הפרדוקס: אנחנו יודעים לזהות מלכודות… אז למה הן עדיין עובדות?

התרחיש פשוט. מגיעה הודעה. היא נראית כאילו נשלחה מהבנק, מהמנהל, מחבר או משירות מוכר. היא כתובה מצוין, אמינה, ומגיעה בדיוק בזמן הנכון. אם אלגוריתמים יודעים לסנן מיליוני הודעות, איך דווקא היא חמקה מהרשת?

חלק מהתשובה נמצא בשטח, רחוק מהמעבדות:

• החוקרים עובדים עם טכנולוגיה מתקדמת, אבל חברות ומוסדות רבים נאלצים להסתדר עם תשתיות ישנות;
• חלק משרתי הדוא״ל מוגדרים במינימום ההכרחי;
• כלי הזיהוי לא תמיד מחוברים זה לזה;
• ומעל הכול, מישהו צריך לנטר, לעדכן ולפרש את ההתראות. כלי שאף אחד לא מסתכל עליו לא מגן הרבה.

השרת ה„עירום”: מרכז מיון שלא קורא את המכתבים

שרת דוא״ל דומה קצת למרכז מיון של הדואר: הוא יודע לקבל מכתבים, למיין אותם ולהעביר אותם לכתובת הנכונה. אבל בלי כלים נוספים, הוא לא יודע לזהות מכתב ממולכד. הוא מעביר דואר, וזהו. (המסע המלא של הודעת דוא״ל מתואר במדריך איך הודעת דוא״ל עוברת מהשולח לנמען.)

ל„מרכזי המיון” האלה קוראים Postfix,‏ Sendmail או Exim. כדי להפוך אותם לחכמים יותר, מוסיפים להם עוזרים ייעודיים:

• Amavis משמש כמכוון תנועה: הוא מעביר כל הודעה דרך אנטי-וירוס ודרך מסנן ספאם;
• SpamAssassin או Rspamd נותנים להודעה ציון חשד על סמך מאות סימנים: תוכן, קישורים, המוניטין של השרת השולח, תוצאות SPF,‏ DKIM ו-DMARC…

בלי העוזרים האלה, ובלי מישהו שמכוון אותם, השרת נשאר „עירום”: הוא מוסר כל מה שמפקידים בידיו.

החוקרים בונים בלשים דיגיטליים

נעבור מהבעיה לפתרונות. במעבדות, הזיהוי השתנה מאוד: הוא כבר לא מסתכם בחיפוש מילים אסורות.

1. הבינה המלאכותית לומדת לקרוא בין השורות

פעם השאלה הייתה: „האם ההודעה מכילה את המילה כסף?” היום, בזכות עיבוד שפה טבעית (NLP) ובינה מלאכותית, השאלות דומות יותר לשאלות של חוקר:

• למה האדם הזה כותב כך?
• למה הוא מבקש את הפעולה הזאת, ודווקא עכשיו?
• האם ההודעה תואמת את ההרגלים של השולח האמיתי?

הגלאי כבר לא מסתכל רק על מילים, אלא על ההקשר: הטון, הדחיפות, העקביות מול הודעות קודמות.

2. לזהות התנהגות חריגה

עובד מסוים אף פעם לא שולח בקשות להעברת כספים. פתאום, ב-3:17 לפנות בוקר, יוצאת מהחשבון שלו בקשה דחופה, מחיבור שנמצא בצד השני של העולם. סתם תקלה… או שמישהו השתלט הרגע על החשבון?

זה ניתוח התנהגותי: המערכת לומדת מה „נורמלי” עבור אדם או שירות, ומסמנת את מה שחורג מכך. היתרון עצום: גם הודעה כתובה בצורה מושלמת עלולה להסגיר התנהגות חריגה.

3. לתת למכונות ללחוץ במקומנו

קישור נראה רגיל לגמרי? אין סיבה שאדם ייקח את הסיכון. מכונה פותחת אותו בסביבה מבודדת, ארגז חול (sandbox), ומתבוננת:

• לאן הוא מוביל, אחרי כל ההפניות?
• מה הוא טוען?
• האם הוא מנסה לגנוב פרטי התחברות?
• האם הוא מוריד משהו חשוד?

התוקפים, כמובן, יודעים זאת: חלקם מציבים „שומר בדלת” לפני דף המלכודת, כדי שהרובוטים יראו רק דף תמים. התרגיל הזה מוסבר במדריך פישינג: איך נוכלים מצליחים להעביר את ההודעות שלהם. ומצידו, Baitback עוקב אחרי ההפניות של הקישורים בהודעה ומציג כל שלב, כך שאפשר לראות לאן הם באמת מובילים בלי ללחוץ עליהם.

אבל התוקפים הבינו: לפעמים מספיק לפרוץ למוח שלנו

וזה הפרדוקס: ככל שהמכונות נעשות חכמות יותר, ההתקפות נעשות אנושיות יותר.

מסנן מזהה די טוב קישור חשוד או קובץ מצורף ממולכד. הרבה יותר קשה לזהות משהו כזה:

היי דני, זה המנהל שלך. אני בפגישה
ולא יכול להתקשר. אתה יכול לבצע את ההעברה הזאת
לפני 16:00? זה דחוף, אני סומך עליך.

ייתכן שבהודעה הזאת אין וירוס, אין קישור, אין שגיאת כתיב ואין מילה חשודה. ובכל זאת היא עלולה לעלות ביוקר: זה העיקרון של הונאת המנכ״ל (CEO fraud). הכול נשען על סמכות, דחיפות וסודיות. מבחינה טכנית, שום דבר לא נראה כמו התקפה.

בינה מלאכותית מול בינה מלאכותית… ואדם מול אדם

החוקרים משפרים את הגלאים שלהם. התוקפים משפרים את ההודעות שלהם. והבינה המלאכותית היוצרת נותנת להם דחיפה משמעותית: היא יכולה לעזור לנסח טקסטים אמינים יותר, מותאמים אישית, בלי שגיאות, ומותאמים למקצוע ולשפה של כל מטרה.

לכן המחקר צריך לענות על שאלה שהולכת ונעשית קשה יותר: איך מזהים התקפה שנראית בדיוק כמו הודעה אמיתית? הגישות משלבות כמה אותות במקום אות אחד: הטקסט, התנהגות השולח, המוניטין של השרתים, היעד של הקישורים… והדיווחים של המשתמשים.

ומה איתנו?

גלאים לומדים מדוגמאות. כל הודעת פישינג שמדווחת היא עוד דוגמה: היא עוזרת למסננים לזהות את הגל הבא, ומאפשרת להשבית את השרת ששלח אותה. דיווח הוא לא מעשה חסר תועלת: הוא מאכיל את החתול.

זה הרעיון של Baitback: להדביק הודעה חשודה, לאתר אוטומטית את שרת השליחה ואת ספק האחסון שלו, ולשלוח בכמה לחיצות דיווח ברור למקום הנכון.

אולי הבעיה האמיתית היא לא הדוא״ל

בסופו של דבר, הדוא״ל הוא רק דלת כניסה. מאחוריו יש אלגוריתמים, שרתים, חוקרים, תוקפים… ובעיקר בני אדם. זה מה שהופך את אבטחת הסייבר לתחום מיוחד כל כך: בכל פעם שטכנולוגיה לומדת לזהות מלכודת, מישהו מנסה להמציא מלכודת שהיא עוד לא מכירה.

וכשהתרגיל מכוון ישירות לבני אדם, התוצאות יכולות להיות דרמטיות. ארבעה סיפורים אמיתיים מראים זאת במדריך כשהודעה פשוטה מפילה ענקים.