סוני מעבדת את זה (ובדרך יוצרת תקדים מסוכן)...

הרבה זמן לא כתבתי כאן, אך הידיעה שקראתי היום בre/code מאוד הכעיסה אותי ולכן החלטתי לשטף איתכם את מחשבותי בנושא.
לאלה שלא מכירים את הנושא, אסביר במה מדובר - בסוף נובמבר, ב23, ליתר דיוק התבצע חדירה של האקרים לתוך סוני פיקצ׳רס, חטיבת הסרטים של סוני. ההאקרים לא הסתפקו בפריצה וגניבת מידע, ובנוסף השביתו את תחנות העבודה בכל סניפי החברה ( להזכירם, זו חברה בינלאומית!).

לאחר מס׳ ימים החומר שנגנב, פורסם בפייסט-בין ובעוד מקומות. העולם נחשף לתכתובות פנימיות של נציגי סוני, עורכי דין, סוכנים של אומנים, אנשי הפקה ועוד מידע רגיש. אחד ה״הברקות״ של הפריצה היתה תקיית Passwords אשר כוללה, כפי שניתן לתאר לפי השם, קבצי אקסל עם ססמאות לחשבונות החברה ברשתות חבריתיות ובאתרי יחסי ציבור.

       כפי שניתן לראות, בסיפור הזה סוני די נחשפה במערומיה, היא הנפגעת כאן והפצחנים הם העבריינים ללא כל ספק (בין אם מעשיה עסקיים של סוני הם אכזריים ובין אם לא, אף אחד לא נתן להאקרים רשות לעבור על החוק). 

       בעוד אירוע הפריצה לא הסתיים, החלה חברת סוני בנסיון לצמצום נזקים, אך משום מה היא בחרה (שוב) באמצעים לא כלכך כשרים. לפי דיווחי re/code, השתמשה סוני, לכאורה, בטכניקת השבתה מבוזרת (DDoS) מתוך דאטה סנטרים בטוקיו ובסינגפור על אתרים שבהם מוחזק, לטענתם, החומר שדלף בנסיון להאיט או למנוע לחלוטין הפצה של החומרים הללו. חלק מהאתרים אוחסנו על שרתי אמאזון, אשר מאחסנים תוכן לגיטימי של אתרים חשובים אחרים כגון נטפליקס. במילים פשוטות, סוני ביצע, לכאורה, התקפת DDoS על שרתים לגטימיים (ולא משנה מה הסיבה).

       המעשה הזה של סוני מעלה אצלי שאלות מוסריות קשות (ואני בכוונה לא מתייחס לשאלות אודות רמת אבטחת מידע בסוני או איך זה קרה להם - כל ארגון שעובד עם מחשבים הוא פוטנציאלית פגיע) :

    

   א. שאלה ראשונה היא אודות הנוהלים שקיימים למקרה שכזה בסוני. לקנות זמן רשותות בוט להתקפה או,אפילו יותר חמור, להשמיש חוות שרתים שלהם לצורך ההתקפה (אם זה מה שהיה) נראה כתרחיש שחשבו עליו בעבר ויישמו אותו לפי הנוהל.

   ב. למה תאגיד, ולא משנה כמה גדול יהיה, מותר, לכוארה, לבצע התקפות מבלי שאף אחד לא עוצר אותם. להזכירכם, התקפות DDoS הם עדיין מחוץ לחוק ולפי החוק האמריקאי, עונש על העבירה הזאת הוא עד 20 שנות מאסר. אם התקפה אכן התבצעה, זוהי הפרה בוטה של החוק, גם אם היא נעשתה על מנת להתגונן מהפושעים.

   ג. במידה והסיפור הזה יעבור בשקט, יש סיכוי שכמה ״חברה״ יצירתיים אצל יצרני ציוד הבטחת מידע יאמצו את השיטה בתור "countermeasures feature" של מערכות DDoS למשל, ואז בקלות אפשר להגיע למצב של ״תוהו ובוהו״ כאשר חברה אחת תוקפת חברה אחרת בכוונה, או, יותר גרוע, בגלל false positive. ראינו מס׳ פעמים איך תגובה רפה או חוסר תגובה בכלל מצד הרשויות נותנות ״אור ירוק״ ליצירת יכולות בעייתיות מוסרית (למשל ssl inspection).

לסיכום, אני רוצה לקוות שסוני לא ביצעה את ההתקפה והם יצליחו להשתלט על המשבר הנוסף בשורת משברי סייבר שסוני חוותה בשנים האחרונות.

קישור לפוסט בre/code: http://recode.net/2014/11/30/sony-hackers-leaked-movies-to-file-sharing-sites/