חברת הענן העולמית Dropbox דיווחה כי כ-5,000 מתושבי שירותיה נפלו קורבן לאירוע אבטחה חמור במהלך חודש אוגוסט, כך צוין ברויטרס.
במסגרת ההתקפה, גורמים לא מורשים הצליחו לצפות וללהוריד קבצים ותוכן שמאוחסן בענן, במה שמסתמן כמחדל אבטחה המשלב שירות של חברה צד-שלישי, כאשר האירוע נחשף לראשונה בדיווח של בלומברג, ועורר דאגה נרחבת בקרב משתמשי הפלטפורמה.
כך חודרים לענן: הפירצה במנגנון ההתחברות
מחקירת המקרה עולה כי התוקפים ניצלו אינטגרציה ישנה ("Legacy Integration") בין מערכת החשבונות של יצרנית המחשבים לנובו לבין דרופבוקס.
הגישה הושגה עבור חשבונות שהיו מקושרים לזיהוי לנובו ולא הופעל בהם אימות דו-שלבי. בחברה הבהירו כי הגישה לקבצים בפועל התרחשה בפחות משליש מהחשבונות שנפרצו, אך הפרצה עצמה הייתה פעילה במשך כמעט שלושה שבועות, בין ה-4 ל-21 באוגוסט.
הסכנה האמיתית שמאחורי הפריצה
אף על פי שמדובר במספר מצומצם יחסית של כ-5,000 חשבונות, המשמעות של חדירה לתיקיית ענן אישית או ארגונית חורגת בהרבה מעצם גניבת הקבצים.
עבור משתמשים פרטיים, דרופבוקס משמשת לרוב כארכיון דיגיטלי למסמכים הרגישים ביותר, מצילומי דרכונים ועד לחוזים, מסמכים פיננסיים, אישורים רפואיים ותמונות אישיות. דליפה של מידע מסוג זה חושפת את הקורבנות לסיכונים מידיים של גניבת זהות, עוקץ פיננסי והונאות דיגום (Phishing) ממוקדות, תוך ניצול הפרטים האישיים שנחשפו.
עבור מגזר העסקים והחברות שנפגעו, הנזק הפוטנציאלי דרמטי עוד יותר, כאשר חברות רבות מאחסנות בפלטפורמה קוד מקור של תוכנות, תוכניות עסקיות אסטרטגיות, חוזים מול ספקים ולקוחות, ומאגרי מידע המכילים פרטים על לקוחותיהם.
מידע כזה שנמכר ברשת האפלה (Dark Web) עלול לשמש מתחרים, להוביל לסחיטה באיומים מצד קבוצות כופר, או לאפשר להאקרים לחדור לעומק רשתות המחשוב של אותם ארגונים. מעבר לסיכון הכלכלי הישיר, חברות שמידע של לקוחותיהן נחשף צפויות לספוג מכה תדמיתית קשה ולעמוד בפני תביעות ענק בגין הפרת חובת הסודיות והגנת הפרטיות.
תגובת החברות וההשלכות על השוק
בעקבות הגילוי, נקטה דרופבוקס בצעדים מיידיים וניתקה את כל החשבונות שהיו מחוברים דרך מנגנון לנובו. כמו כן, שונו נהלי האבטחה וכעת נדרשת הזנת סיסמת דרופבוקס ייעודית בעת התחברות. בלנובו ציינו כי לקוחות החברה עצמם לא נפגעו מאירוע זה, והחקירה בנושא עודנה נמשכת.
האירוע כבר דווח לרגולטורים להגנת מידע, והדיווח הותיר את חותמו גם על שוק ההון, כאשר מניות דרופבוקס רשמו ירידות במסחר.
