חברי כופרת LockBit ו-Evil Corp נעצרים במבצע גלובלי משותף

חברי LockBit ו-Evil Corp נעצרים במבצע גלובלי: עוד מכה לעולם הכופרה, אבל המלחמה רחוקה מסיום

זה התחיל, כרגיל, רחוק מעיני הציבור. חוקרי סייבר, יחידות משטרה, מודיעין דיגיטלי, שרתים שנתפסים, ארנקים קריפטוגרפיים שממופים, ושמות בדויים שמתחילים להתחבר לאנשים אמיתיים. ואז זה קרה: מבצע בינלאומי רחב היקף נגד גורמים המזוהים עם LockBit ו-Evil Corp, שתי קבוצות שהפכו בשנים האחרונות לשמות קבועים בשיחות על כופרה.

הסיפור הזה גדול יותר ממעצר נקודתי. הוא נוגע לאחת התעשיות הרווחיות והאגרסיביות ביותר בפשיעת הסייבר. כשקבוצות כופרה משביתות בתי חולים, מפעלי ייצור, חברות לוגיסטיקה ורשויות ציבוריות, הנזק לא נגמר במסך מחשב מוצפן. הוא זולג לעולם הפיזי, לעיכובים, להפסדים, ולפעמים גם לסיכון ממשי לחיי אדם.

המבצע המשותף נגד LockBit ו-Evil Corp מסמן הישג משמעותי לרשויות האכיפה. אבל הוא גם מדגיש אמת פחות נוחה: גם כשהמשטרה מצליחה להגיע לאנשים, לפרק תשתיות ולהחרים ציוד, האקוסיסטם של הכופרה כבר בנוי כמו תעשייה עולמית. גמישה, מבוזרת, ולרוב גם מהירה מאוד בהתאוששות.

למה דווקא LockBit ו-Evil Corp נמצאות במוקד

LockBit אינה עוד נוזקה. מאז הופעתה ב-2019 היא ביססה את עצמה כאחת מפלטפורמות הכופרה הבולטות בעולם. במילים פשוטות, מדובר ב"מכונת תקיפה" מתוחכמת, שפועלת במודל שמזכיר שירות עסקי: מפעילי הליבה מפתחים את הכופרה, ואחרים, המכונים שותפים או affiliates, משתמשים בה כדי לפרוץ לארגונים ולסחוט תשלום.

זה מודל שמוכר בשם Ransomware-as-a-Service, כלומר "כופרה כשירות". במקום שקבוצה אחת תעשה הכול לבד, נוצרת חלוקת עבודה. יש מי שמפתחים, יש מי שפורצים, יש מי שמנהלים משא ומתן, ויש מי שמלבינים את הכסף. התוצאה: קצב גבוה יותר, היקף גדול יותר, והרבה יותר קורבנות.

לפי נתונים שפורסמו לאורך 2023 ו-2024 על ידי גופי מודיעין ואבטחת מידע, LockBit הייתה אחראית בשיאה לחלק משמעותי מאוד מזירת הכופרה העולמית. בשנים האחרונות היא נקשרה לאלפי קורבנות ברחבי העולם, כולל ארגונים גדולים עם מערכי הגנה מתקדמים יחסית.

Evil Corp, מצדה, היא שם ותיק ומוכר עוד יותר בזירת הפשע המקוון. הקבוצה זוהתה לאורך השנים עם קמפיינים של נוזקות פיננסיות, הונאות סייבר ומתקפות כופרה. היא נחשבת לאחד הגופים הפליליים המתוחכמים והעמידים ביותר בתחום, עם היסטוריה של ניהול מבצעי תקיפה שהניבו סכומים של עשרות ואף מאות מיליוני דולרים.

בעולם הסייבר, המותגים האלה מעוררים תגובה מיידית. לא בגלל יחסי ציבור, אלא בגלל היקף הנזק. ברגע ששם כזה מופיע בדוח תקרית, כולם מבינים שהאירוע כנראה לא ייגמר באיפוס סיסמאות.

איך נראית מתקפת כופרה בפועל

כדי להבין את המשמעות של המבצע, צריך להבין איך פועלת כופרה מודרנית. זה כבר לא קובץ מסתורי שמשתלט במקרה על מחשב בודד. מתקפה עכשווית נראית יותר כמו מבצע צבאי קטן: איסוף מודיעין, חדירה שקטה, תנועה בתוך הרשת, גניבת מידע, ורק בסוף הצפנה.

בשלב הראשון התוקפים מנסים להיכנס. לפעמים דרך סיסמה חלשה, לפעמים דרך דוא"ל פישינג, ולפעמים דרך שרת חשוף לאינטרנט שלא עודכן בזמן. מרגע שהם בפנים, הם לא ממהרים. הם לומדים את הארגון, מחפשים גיבויים, מזהים מערכות קריטיות, ומחליטים איפה יכאב הכי הרבה.

רק אחר כך מגיע שלב הסחיטה. המידע מוצפן, מערכות מושבתות, ובמקרים רבים גם נתונים נגנבים מראש. זה מה שמכונה "סחיטה כפולה": לא רק שהקורבן מאבד גישה למידע שלו, הוא גם מאוים בפרסום המידע אם לא ישלם.

LockBit בלטה במיוחד בזכות רמת האוטומציה והיעילות שלה. לפי תיאורים שפורסמו בדוחות מקצועיים, היא הצליחה לייעל תהליכי תקיפה ולהאיץ פריסה בתוך רשתות ארגוניות. במונחי הגנה, זה אומר פחות זמן תגובה למגנים ויותר סיכוי לנזק רחב.

המבצע הגלובלי: מה ניסו להשיג

המבצע הבינלאומי לא נולד רק כדי לייצר כותרת. היו לו כמה מטרות ברורות מאוד. הראשונה הייתה לעצור את פעילות הכופרה עצמה, או לפחות לשבש אותה ברמה שתקטין את מספר הקורבנות בטווח המיידי.

המטרה השנייה הייתה מודיעינית. כל שרת שנתפס, כל מחשב שהוחרם, כל ארנק קריפטו שנבדק, וכל חשבון תקשורת שנחשף, מייצרים חומר חקירה יקר. בעולם הפשיעה הדיגיטלית, המידע הזה לפעמים חשוב לא פחות מהמעצר עצמו.

המטרה השלישית נגעה להרתעה ולמודעות. המסר של הרשויות היה פשוט: גם אם התוקפים יושבים במדינה אחרת, משתמשים בכינויים, ובונים תשתיות אנונימיות, זה לא מבטיח חסינות. שיתוף פעולה בין מדינות מקשה עליהם להיעלם.

במקביל, למבצעים כאלה יש גם אפקט חינוכי. הם מזכירים לציבור ולעסקים שהאיום אינו תיאורטי. כופרה היא לא רק בעיה של תאגידי ענק. גם עסקים קטנים, מוסדות חינוך, רשויות מקומיות וספקים טכנולוגיים נמצאים על הכוונת.

מה ידוע על המעצרים והאכיפה

לפי הטקסט המקורי, באוקטובר 2023 בוצעו מעצרים במדינות שונות, בהן ארצות הברית, קפריסין ורוסיה, ונעצרו עשרות חשודים הקשורים לשתי הקבוצות. לצד זאת, דווח על תפיסת ציוד מחשוב בהיקף גדול, שנועד לסייע לחוקרים למפות תשתיות, שיטות פעולה וקשרים בין המעורבים.

חשוב לומר בזהירות: בעולם הסייבר, לא כל מעצר משתק ארגון פשיעה בן רגע. לעיתים מדובר במפעילים, לעיתים בשותפים, ולעיתים בגורמים שסיפקו תשתיות או שירותים נלווים. ועדיין, עצם הפגיעה בבני אדם אמיתיים שמאחורי המקלדת היא הישג של ממש.

במקרים רבים, מבצעי אכיפה כאלה כוללים גם תפיסת דומיינים, השתלטות על שרתים, הקפאת נכסים דיגיטליים, ושימוש במידע שנתפס כדי להתריע בפני קורבנות קיימים ופוטנציאליים. זו לא רק תגובה פלילית. זו גם פעולה הגנתית.

החלק המשמעותי כאן הוא הפירוק הזמני או המלא של שרשראות הפעולה. כופרה מצליחה נשענת על רצף: חדירה, שליטה, פריסה, סחיטה, תשלום. ברגע שהרשויות שוברת כמה חוליות בשרשרת, קצב התקיפות יכול לרדת, גם אם לא להיעלם.

המספרים שממחישים את היקף הבעיה

הטקסט המקורי מציין כי עד כשנתיים לפני המבצע, LockBit לקחה אחריות על כ-20% ממתקפות הכופרה בעולם. גם אם שיעור כזה משתנה בין דוחות וגופי מדידה, הכיוון ברור: מדובר בשחקן מרכזי מאוד, לא בשוליים של הזירה.

לגבי Evil Corp, ההערכה המקורית דיברה על הכנסות של יותר מ-100 מיליון דולר מפעילות כופרה והונאות קשורות. הנתון הזה מתיישב עם ההבנה הרחבה יותר שלפיה קבוצות כאלה פועלות כמו עסקים פליליים גלובליים, עם מודל הכנסות, ניהול סיכונים, שותפים, ותשתיות הלבנת כספים.

עוד נתון שמופיע במאמר המקורי הוא עלייה של כ-50% במתקפות סייבר ב-2022 לעומת שנים קודמות. קשה לקבע מספר אחיד אחד לכל סוגי המתקפות והגיאוגרפיות, אך אין מחלוקת מקצועית על המגמה: שוק הכופרה התרחב במהירות, והפך לאיום מערכתי על ארגונים בכל סדר גודל.

במילים אחרות, המעצרים אינם נוגעים לשני שמות מפורסמים בלבד. הם חלק ממאבק בזירה שבה נזק של מיליוני דולרים לארגון בודד כבר אינו נדיר, והשבתה של שבועות הפכה לתרחיש ריאלי לגמרי.

למה שיתוף פעולה בינלאומי הוא הסיפור האמיתי

פשיעת סייבר כמעט אף פעם לא מכבדת גבולות. שרת יכול לשבת במדינה אחת, מפעיל במדינה שנייה, קורבן בשלישית, וזרימת הכסף לעבור דרך בורסות קריפטו בארבע יבשות. בלי שיתוף פעולה בין-מדינתי, האכיפה נשארת צעד אחד מאחור.

זה בדיוק מה שהמבצע הזה מדגיש. כדי להגיע לקבוצות כמו LockBit ו-Evil Corp, צריך לחבר בין משטרה, יחידות סייבר, גופי מודיעין, תובעים, חוקרי בלוקצ'יין, ולעיתים גם חברות פרטיות שמחזיקות בנתוני טלמטריה ואינדיקציות תקיפה.

היתרון של עבודה משולבת הוא מהירות ודיוק. מדינה אחת יכולה לזהות תשתית, מדינה אחרת לבצע תפיסה, ושלישית לספק מודיעין פיננסי. ברגע שכל החלקים האלה מתחברים, הסיכוי לפגיעה אמיתית בתוקפים עולה משמעותית.

יש כאן גם מסר גיאו-פוליטי. מדינות אולי חלוקות ביניהן על הרבה נושאים, אבל כשפשיעת סייבר פוגעת בבנקים, בחברות תעשייה, בבתי חולים ובשירותים חיוניים, האינטרס המשותף נהיה ברור מאוד.

מה זה אומר לארגונים עכשיו

קל להסתכל על המבצע ולהרגיש הקלה. הנה, הרשויות פועלות, ויש תוצאות. אבל מבחינת ארגונים, זו לא סיבה להוריד רגל מהגז. להפך. כל פגיעה בקבוצה אחת יכולה לדחוף שחקנים אחרים לתפוס נתח שוק, או לגרום לחברי הקבוצה להתארגן מחדש תחת שם אחר.

בפועל, ההגנה הטובה ביותר נשארת הגנה בסיסית שמבוצעת היטב. עדכוני אבטחה בזמן, אימות רב-שלבי, סגירת גישה מיותרת מהאינטרנט, הפרדת הרשאות, גיבויים מבודדים, וניטור רציף. אלה לא צעדים נוצצים, אבל הם שוב ושוב ההבדל בין אירוע שנבלם בזמן לבין משבר ארגוני מלא.

גם ההיבט האנושי חשוב מאוד. לא מעט מתקפות מתחילות בטעות קטנה: קובץ שנפתח, קישור שנלחץ, סיסמה שנעשה בה שימוש חוזר. לכן הדרכת עובדים אינה תוספת נחמדה. היא חלק ממערך ההגנה.

מנקודת מבט ניהולית, ארגונים צריכים לשאול לא רק "איך נמנע חדירה", אלא גם "מה יקרה אם ניפגע". האם יש תוכנית התאוששות? האם הגיבויים באמת עובדים? מי מקבל החלטות בשעת משבר? האם אפשר להמשיך לפעול ידנית אם המערכות מושבתות?

הצד הציבורי: מודעות היא לא סיסמה

אחד המסרים החשובים בטקסט המקורי נוגע לחינוך הציבור. זה אולי נשמע כללי, אבל בעולם הסייבר זו נקודה קריטית. ככל שיותר משתמשים, עובדים ומנהלים מבינים איך נראית הונאה דיגיטלית, כך קטן מרחב הפעולה של התוקפים.

מודעות לא אומרת שכל אדם צריך להפוך למומחה אבטחה. היא כן אומרת לדעת לזהות דוא"ל חריג, לחשוד בבקשות דחופות להעברת כספים, להשתמש בסיסמאות ייחודיות, ולהפעיל אימות רב-שלבי בכל מקום שאפשר.

גם לעסקים קטנים יש כאן שיעור חשוב. פושעי סייבר לא בוחרים רק את מי שיש לו את מערך ה-IT הגדול ביותר. לפעמים דווקא עסק קטן יותר, עם פחות שכבות הגנה ופחות כוח אדם מקצועי, הוא יעד נוח ומהיר יותר.

טבלה מסכמת: עיקרי התמונה

נושא	עיקרי הדברים	המשמעות לקוראים ולארגונים
LockBit	קבוצת כופרה בולטת שפועלת מאז 2019, עם אוטומציה גבוהה ומודל של כופרה כשירות	איום מתקדם, מהיר ומאורגן שמסוגל לפגוע גם בארגונים גדולים ומוגנים יחסית
Evil Corp	קבוצה פלילית ותיקה המזוהה עם הונאות סייבר, נוזקות ומתקפות כופרה	ממחישה עד כמה פשיעת סייבר היא עסק מתמשך, רווחי ומתוחכם
המבצע הגלובלי	שיתוף פעולה בין רשויות מכמה מדינות, כולל מעצרים, תפיסת ציוד ואיסוף מודיעין	הוכחה לכך שאכיפה בינלאומית יכולה לשבש תשתיות תקיפה ולפגוע במפעילים
יעדי המבצע	עצירת פעילות הכופרה, שימור ראיות ומידע, והגברת מודעות ציבורית	לא רק ענישה, אלא גם הפקת לקחים, התרעה והגנה עתידית
נתונים בולטים	LockBit נקשרה לחלק משמעותי ממתקפות הכופרה; Evil Corp נקשרה להכנסות של מעל 100 מיליון דולר; מתקפות הסייבר נמצאות בעלייה	היקף האיום רחב, כלכלי מאוד, ולא מראה סימני היעלמות
השלכות בינלאומיות	פשיעת סייבר פועלת חוצה גבולות ודורשת תגובה חוצה גבולות	בלי שיתוף פעולה בין מדינות, ארגונים נשארים חשופים יותר
לקחים לארגונים	נדרשים גיבויים, עדכוני אבטחה, אימות רב-שלבי, ניטור והיערכות למשבר	ההגנה היעילה ביותר מתחילה בהיגיינת סייבר בסיסית ועקבית

5 שאלות שכל קורא צריך לשאול את עצמו

• אם הארגון שלי ייפגע ממתקפת כופרה מחר בבוקר, האם יש לנו גיבויים אמיתיים ונגישים לשחזור?
• האם העובדים אצלנו יודעים לזהות פישינג, קבצים חשודים ובקשות חריגות מצד גורמים שנראים "לגיטימיים"?
• כמה מערכות אצלנו עדיין חשופות לאינטרנט או פועלות בלי עדכוני אבטחה קריטיים?
• האם יש לנו תוכנית תגובה מסודרת לאירוע סייבר, כולל החלטות ניהול, תקשורת ומשפט?
• האם אנחנו בונים על מזל, או שבאמת השקענו בתשתית הגנה שמותאמת לאיומים של 2024 ו-2025?

השורה התחתונה

המעצרים של גורמים המזוהים עם LockBit ו-Evil Corp הם חדשות טובות. בעולם שבו כופרה הפכה לתעשייה גלובלית, כל פגיעה בתשתיות, בכוח האדם וביכולת ההפעלה של קבוצות כאלה היא הישג חשוב.

אבל זו לא נקודת סיום. זו תזכורת. התוקפים מתפתחים, משנים שמות, מחליפים תשתיות, ומשפרים שיטות. לכן גם ההגנה והאכיפה חייבות להישאר בתנועה מתמדת.

לציבור, לעסקים ולארגונים המסר ברור: לא מספיק לעקוב אחרי הכותרות. צריך לתרגם אותן לפעולה. יותר מודעות, יותר משמעת טכנולוגית, ויותר היערכות לרגע שבו האיום כבר לא יהיה סיפור על מישהו אחר.

במבחן המציאות, זו בדיוק המשמעות של המבצע הזה. הוא לא רק מספר על עבריינים שנעצרו. הוא מספר על זירת קרב דיגיטלית שבה שיתוף פעולה, מהירות תגובה ויכולת טכנית הם לא יתרון. הם תנאי בסיס.