מתקפת הסייבר שספגו אדיף ורנפה בשבוע שעבר הותירה שובל של ספק לגבי היקפה האמיתי. ההתקפה מקורה בשרתי אדיף המחוברים למערכות רנפה, ומשם, ככל הנראה, הצליחו הפורצים לגשת לשירותי חברת הרכבות. עם זאת, שירות הרכבות מעולם לא הופסק, ואתרי האינטרנט של מנהל התשתיות חזרו לפעול בשבת.
דיווחים ראשוניים מהחברות הצביעו על גישה מוגבלת למידע, בעיקר לשמות וכתובות דוא"ל. אין ראיות לגניבת פרטי בנק, אמצעי תשלום או מספרי תעודות זהות , אם כי החקירה נותרה פתוחה והמרכז הלאומי לקריפטולוגיה (CCN), המקושר למרכז המודיעין הלאומי (CNI), מנתח את המקרה. ההתפתחות המדוברת ביותר היא שלראשונה במתקפה נגד ממשל ציבורי ספרדי, נראה כי נעשה שימוש בבינה מלאכותית כדי להקל על המתקפה.
מה קרה וכיצד התפתחה ההתקפה?
על פי מספר דיווחים, התקרית החלה באתר האינטרנט של Adif. התוקפים חיפשו פגיעויות עד שמצאו נקודת כניסה ולאחר מכן עברו לענן של Renfe. המפעיל טוען כי הגיב מיד: הפעלת פרוטוקולים, בידוד סביבות שנפגעו ופריסת אמצעים יוצאי דופן בתמיכת מומחים חיצוניים.
עדיף זיהה פעילות חריגה בשעות הערב המאוחרות של יום חמישי. תנועת הרכבות לא נפגעה , על פי החברה הממשלתית, ולא נפגעו מערכות הקשורות לפעילות הרכבות. המתקפה נמשכה מספר ימים, כאשר יום חמישי היה החזק ביותר.
- נְקוּדָה: שרתי Adif נפגעו בעבר.
- קפיצה נוספת: חיבור עם מערכות Renfe וענן.
- משך הפעילות: מספר ימים, עם לחץ מיוחד ביום חמישי.
- שירות: רכבות פעילות ותנועה מובטחת.
תפקידה של הבינה המלאכותית והמחקר
מספר דיווחים מצביעים על כך שהקבוצה הפלילית השתמשה בבינה מלאכותית כדי לאתר נקודות תורפה ולנוע במהירות ברשת. זו תהיה הפעם הראשונה שבה נעשה שימוש בבינה מלאכותית במתקפה מסוג זה נגד ממשל ציבורי , נסיבות שמעוררות חששות. למרות זאת, אף רשות לא אישרה איזה כלי ספציפי בו נעשה שימוש או באיזו מידה הוא פעל באופן אוטונומי.
המרכז הלאומי לקריפטולוגיה, חלק מהמרכז הלאומי למודיעין (CNI), לקח על עצמו את הניתוח. הוגשה גם תלונה רשמית, וספקים שעשויים להיפגע קיבלו הודעה . לא נשללת האפשרות שטעות אנוש הייתה סיבה אפשרית, והמקורות שנועצו לא ציינו האם האחראים נמצאים מחוץ לספרד.
הנתונים שנפגעו: מה אומרים רנפה, אדיף והחקירות הראשוניות
רנפה התעקשה מלכתחילה כי ייתכן שהתוקפים השיגו מידע מוגבל על משתמשים, בעיקר שמות וכתובות דוא"ל. החברה טוענת כי אין ראיות לגישה לנתונים פיננסיים, מספרי תעודות זהות או כל מידע רגיש במיוחד , ומוסיפה כי אין תיעוד של פרסום הנתונים הגנובים. אדיף, מצידה, הצהירה כי אתרי האינטרנט שלה חזרו לפעול לאחר שווידאה כי האבטחה מובטחת.
הערכות ראשוניות מצביעות על כ-500 ג'יגה-בייט של מידע גנוב. זהו סכום ניכר, אם כי אינו מהווה בהכרח נתונים קריטיים : חלק מהחומר עשוי להתאים למאגרי מידע של נוסעים ולרשומות פנימיות. מקורות המעורים בתהליך הזכירו טבלאות עם יותר מ-150 מיליון רשומות, המחולקות בין נתונים בסיכון נמוך, רשומות בסיכון גבוה וכרטיסים בעלי שם, אך יש להתייחס לנתון זה בזהירות מכיוון שהוא אינו מפורט בהצהרות הרשמיות.
- הצהרה ראשונית: שמות וכתובות דוא"ל, ללא פרטי בנק או פרטי תעודת זהות.
- נפח משוער: בסביבות 500 ג'יגה-בייט.
- חקירות נוספות: טבלאות אפשריות עם מיליוני רשומות, ממתינות לאישור.
שירות רכבות, אתרי אינטרנט ותגובת מוסדות
התקיפה לא שיבשה את פעילות הרכבות. רנפה שמרה על שירותה, וחברת אדיף הבטיחה תנועת רכבות תקינה , דבר חיוני לאור אופייה הקריטי של התשתית. אתרי האינטרנט של אדיף ושל אדיף אלטה ולוסידד חזרו לפעולה ביום שבת, בעוד שאתר האינטרנט של רנפה נותר נגיש לאורך כל התקרית.
חברת הרכבות טוענת כי יש לה אישורים ותקנים משלה לתשתיות קריטיות. כמו כן, היא מציינת כי היא זיהתה וחסמה ניסיונות תקיפה נגד מערכותיה במשך שבועות. במקביל, עדיף העבירה את כל המידע למרכז הקריפטולוגי הלאומי והוציאה אזהרה לחברות ולספקים במערכת האקולוגית הטכנולוגית.
התקרית העלתה מספר ודאויות ושאלות רבות שלא נענו. אושרה התקפה מתואמת מצד אדיף נגד רנפה, ככל הנראה שכללה בינה מלאכותית ומאות ג'יגה-בייט של נתונים , אך היקף הנתונים שנגנבו נותר לא ברור. מה שלא השתנה הוא פעילות הרכבת, שנמשכה ללא הפרעה בזמן שהרשויות מנסות לאתר את העבריינים.