המלחמה בין אזרבייג'ן לארמניה מתרחשת גם מאחורי המסך והמקלדת.
מערך המחשוב של ממשלת אזרבייג'ן נפרץ במהלך השבועיים האחרונים ע"י גורמים לא ידועים (מישהו אמר רוסיה? 🤔).
בשלב זה לא ידוע מה ההשפעה של הפריצה וכיצד זה בא לידי ביטוי בשטח הרווי בדם של שני הצדדים.

https://www.cyberscoop.com/nagorno-karabakh-azerbaijan-armenia-espionage-talos-hackers/

”פירצה שלא ניתנת לתיקון”: נפרץ שבב האבטחה של אפל.

בשנת 2017 אפל השיקה לראשונה את שבב ה-T2 שהיא תכננה וייצרה, שנועד להיות שכבת האבטחה וההצפנה החדשה למחשבי המק החדשים שלה. אבל עכשיו טוענים חוקרי אבטחה שהם הצליחו לפרוץ את שבב האבטחה, וגרוע מכך – הם טוענים שזוהי פירצה בלתי ניתנת לתיקון.

https://www.geektime.co.il/apple-t2-security-chip-has-an-unpatchable-security-flaw/

תיק בזק 2.0: כך הקלטות ל"שיפור השירות" היו חשופות לכל מי שחשק בהן

הקלטות של נציגי מוקד השירות של בזק היו חשופות לעיני כל על גבי שרת לא מוגן ברשת האינטרנט.
השיחות המוקלטות הכילו מי ידע מזוהה רגיש כגון מספרי אשראי, כתובת ופרטים נוספים.

מבזק נמסר בתגובה:

"לאחר בדיקה, מדובר באירוע שהתרחש אצל ספק של ספק חיצוני. מייד עם היוודע העניין נחסמה הפירצה על ידו. חשוב לציין כי לא מדובר במאגרי המידע של בזק"

אולי כדאי שמישהו יכיר לבזק מהם תהליכי אבטחת המידע בעבודה מול ספקים וכיצד צריך וראוי להגן על שרשרת האספקה. 🤔

https://www.haaretz.co.il/captain/.premium-1.9212231

חברת Thycotic (המספקת שירותי אבטחת מידע לניהול הרשאות גישה) שיחררה היום דו"ח ממצאים של סקר שבוצע בקרב 900 מנהלי אבטחת מידע בארגונים שונים ברחבי העולם.

הדו"ח מתייחס לנושאי תקציב אבט"מ, קבלת החלטות, חיבור בין גורמי אבט"מ לדירקטריון, גיוס עובדים ועוד...

World Economic Forum (WEH)
פירסמו השבוע מסמך נרחב בכל הקשור לשיתוף מידע במרחב הסייבר.

חברת קספרסקי חשפה את קבוצת התקיפה MontysThree המתמקדת במתקפות על ארגונים תעשייתיים.

https://threatpost.com/montysthree-apt-industrial-targets/159957/

שתי פגיעויות חדשות התגלו במוצר HashiCorp Vault כאשר המוצר מותקן בענן של גוגל / אמזון.

למי שלא מכיר, HashiCorp Vault זה מוצר קוד פתוח המאפשר לשמור מפתחות הצפנה וטוקנים בצורה מאובטחת.

הפגיעויות שהתגלו מאפשרות לתוקף לגשת למשאבים הדורשים הזדהות מבלי לעבור את תהליך ההזדהות הנדרש מול HashiCorp.
(Authentication Bypass)

למי שמשתמש במוצר, מומלץ לעדכן לגרסה האחרונה שם תוקנו הפגיעויות הנ"ל.

https://portswigger.net/daily-swig/vulnerabilities-in-hashicorp-vault-could-lead-to-authentication-bypass?&web_view=true

חברת Onapsis המספקת שירותי הגנה לאפליקציות קריטיות בארגון סיימה סבב גיוס מוצלח של 55
מיליון דולר.

חברת Onapsis מתמקדת במתן שירותי הגנה לאפליקציות קריטיות המסופקות לארגון על גבי תשתית ענן (SAAS - Software as a service), כגון מערכות ERP, מערכות CRM (Salesforce וכדו') ועוד..

5 האקרים בחנו את המערכות והשירותים של אפל במשך 3 חודשים, מצאו 55 פגיעויות וקיבלו מאפל סכום כולל של 288,500$.

חלק מהפגיעויות שנמצאו היו מהותיות מאד וכללו אפשרות למשוך נתונים של משתמשים כגון תמונות, וידאו ומסמכים מ-icloud.

[בארגונים שמכבדים את עצמם Bug Bounty הוא חלק בלתי נפרד מתהליך תחזוקת אפליקציות.
כמובן שהדבר תלוי ביכולת של הארגון לתת מענה מהיר ולשלם שכר ששווה את המאמץ]


https://www.businessinsider.com/hackers-find-55-flaws-in-apples-systems-win-288500-bounty-2020-10

חברת Cisco מפרסמת עדכוני אבטחה דחופים למספר מוצרים:

- Video Surveillance 8000 Series IP Cameras

- Identity Services Engine

- Webex Teams Client for Windows.

אם אתם עושים שימוש באחד מהמוצרים מומלץ לבצע עדכון אוטומטי או ידני.

פרטים נוספים כאן:

https://tools.cisco.com/security/center/publicationListing.x

בתי הספר הציבוריים של Springfield נאלצו לסגור את שעריהם (הדיגיטליים) בשל מתקפת כופר.

ב-60 בתי הספר של Springfield לומדים כ-25,000 תלמידים ומועסקים כ-4,500 עובדים.

בשלב זה לא פורסם מה סוג המתקפה אבל השבתה של כל שירותי המחשוב בכל 60 בתי הספר מעיד על מתקפה רצינית.

עדכונים אם יהיו כאלה יישלחו בהמשך...

https://securityaffairs.co/wordpress/109250/cyber-crime/springfield-public-schools-district-ransomware.html

האקר שמסר מידע מזוהה רגיש על 1,300 אזרחים אמריקאים יישאר בכלא למרות בקשתו לשחרור בשל הקורונה.

כזכור, ההאקר Ardit Ferizi, הידוע בכינוי האינטרנטי- "Th3Dir3ctor" נתפס ב-2016 ונשפט ל- 20 שנות מאסר(!) לאחר שגנב ומסר מידע מזוהה רגיש למדינה אסלאמית.

(מעניין איזה עונש היה מקבל בישראל על עבירה כזו? 🤔)


https://www.securityweek.com/hacker-who-helped-islamic-state-remain-us-prison

הכנס השנתי של OWASP AppSec ישראל יתקיים השנה באופן ווירטואלי בתאריכים 27-28.10

בין נושאי הכנס:

Web security
Devops security
Cloud security
Mobile security
Application security

הרישום לכנס הוא בחינם, למעוניינים ניתן להירשם כאן 👇🏻

https://www.meetup.com/OWASP-Israel/events/273224114/

מידע נוסף על הכנס ניתן לקבל באתר הרשמי:

https://appsecil.org/

מיליוני רשומות המכילות מידע רפואי רגיש היו חשופות לעיני כל

המרפאות של Dr. Lab מבצעות בדיקות רפואיות למיליוני אנשים בשנה, בעיקר בהודו אך גם בעוד כ-20 מדינות נוספות.

חוקר אבט"מ גילה כי כל המידע הרפואי שאוספת Dr. Lab נגיש לכל אדם, ללא צורך בתהליך הזדהות כלשהו.

המידע הרגיש, הכולל תוצאות בדיקות (כן, גם לקורונה), שמות, כתובות, ת.ז ועוד מידע רב מאוחסן על גבי שרתים בענן של אמזון אך ב-Dr. Lab לא דאגו להגן על שרתים אלו בסיסמה ולחסום גישה מהעולם. 🙈🤦🏻‍♂

https://siliconangle.com/2020/10/08/millions-records-belonging-medical-testing-firm-found-exposed-online/

וובינר שיתקיים שבוע הבא (12.10.20) וידבר על עולמות אבטחת המידע בבריטניה ובישראל.

השתתפות בחינם, ניתן להירשם כאן:

https://register.gotowebinar.com/register/4729451820317181966

אפרופו Bug Bounty, פייסבוק הודיעה על שדרוג משמעותי לתכנית ה-Bug Bounty שלה (שקיימת אגב עוד מ-2011).

התכנית החדשה שתיקרא "Hacker Plus" מנסה לדרבן את המשתמשים למצוא יותר פגיעויות ובאגים.
בתכנית החדשה יהיו ליגות כך שכל המשתמשים יחולקו לליגות בהתאם לכמות הבאגים והפגיעויות שמצאו.
ככל שתתקדמו לליגה גבוהה יותר כך תזכו לתשורות גבוהות יותר.

(לדוג', בין התשורות בליגות הגבוהות ניתן למצוא כרטיסי כניסה חינם לכנס ההאקרים הגדול בעולם המתקיים בלאס וגאס - Vegas DEFCON)

https://thenextweb.com/security/2020/10/09/facebook-now-has-a-loyalty-program-for-its-bug-bounty-hunters-on-its-platform/amp/

האקרים מנצלים (שוב) את יצר הסקרנות של המשתמשים, והפעם: הקורונה של טראמפ

מיילים שנשלחים בימים האחרונים קוראים למשתמשים לגשת למסמך המכיל מידע חדש על המצב של טראמפ לאחר שזה חלה בקורונה.

בלחיצה על הקישור בגוף המייל מתבצעת הפנייה למסמך Word שנמצא ב-Google docs, באותו מסמך Word יש קישור להורדת הקובץ הזדוני.
(המעבר דרך Google docs נועד ליצור תחושה של אמינות מסוימת, שהרי גוגל זה גוף מוכר וכו')

https://www.tripwire.com/state-of-security/featured/hackers-disguise-malware-attack-details-donald-trumps-covid-19-illness/

רישום כאן:

https://us02web.zoom.us/meeting/register/tZApce-tpzouH9Jzsac_F_2sWRNF5soKcvu6

כנס הענן של EuropeClouds

היום הרביעי של הכנס (22.10.20) מוקדש כולו לאבטחת מידע וסייבר בעולמות הענן.

רישום כאן:
https://www.europeclouds.com/europeclouds-summit-registration

ב-2014 בוצעה פריצה למאגר המידע של CHS וחשפה מיליוני רשומות רפואיות של חולים.

היום (6 שנים אחרי) הודיעה בית המשפט כי הוא הגיע להסדר עם אחד הסניפים של CHS לתשלום קנס בגין אותה מתקפה בגובה של 5 מיליון דולר...
הקנס הזה מתווסף לקנסות נוספים שהושתו על סניפים של CHS בשל אותה מתקפה והסכום הכולל של הקנסות עומד כעת על למעלה מ-10 מיליון דולר. (כסף קטן בינתיים, מניח שקנסות נוספים יתווספו עם הזמן)

https://news.1rj.ru/str/CyberSecurityIL/46

הסוכנות לאבטחת מידע וסייבר בארה"ב (CISA) מתריעה כי קבוצות תקיפה מנסות לפרוץ לרשתות הקשורות למערכת הבחירות בארה"ב.

לפי הדיווח קבוצות התקיפה עושות שימוש בשילוב של מספר פגיעויות מוכרות בהן גם ZeroLogon שהתגלתה לאחרונה.

בשלב זה לא ידוע על חשיפה של מידע ממשי כלשהו הקשור לבחירות אך ה-CISA מדווחים כי חלק מהתוקפים אכן השיגו גישה לרשתות שונות המסייעות למערכת הבחירות 🤔

https://www.bankinfosecurity.com/us-warns-hackers-chaining-zerologon-other-vulnerabilities-a-15152