פרשנות | האיום החדש בסייבר: לא לפרוץ למערכות, אלא לערער את האמון במידע

עולם הסייבר רגיל לחשוב במונחים של אירועים דרמטיים, מסכים מושחרים, מערכות קורסות, דרישות כופר, כותרות אדומות ועוד. במשך שנים לימדו ארגונים לזהות רעש, פעילות חריגה, קבצים חשודים, תעבורה יוצאת דופן או ניסיון חדירה ברור. אלא שבזמן שאנחנו ממשיכים לחפש סימנים למתקפה, התוקפים כבר עברו למקום אחר לגמרי.

הדור הבא של מתקפות הסייבר לא בהכרח ישבית מערכות ולא תמיד יגנוב מידע. במקרים רבים, הוא אפילו לא ייראה כמו מתקפה.

הבעיה הגדולה מתחילה כאשר מערכות ממשיכות לעבוד כרגיל, אבל המציאות שהן מציגות כבר אינה אמינה. שינוי קטן בנתון פיננסי, מסמך פנימי שעבר מניפולציה, הרשאה שניתנה לכמה דקות בלבד, או מערכת AI ארגונית שקיבלה מידע מטעה. אלו לא תרחישים עתידניים; אלו יכולות שכבר קיימות היום.

המשמעות עמוקה הרבה יותר מעוד אירוע אבטחה. במשך עשורים ארגונים בנו את תפיסת ההגנה שלהם סביב מניעה וזיהוי של חדירה. אבל בעידן ה־AI הגבול בין משתמש אמיתי לתוקף הולך ומיטשטש. מערכות בינה מלאכותית יודעות לייצר שפה אמינה, לחקות סגנון כתיבה, להבין היררכיות ארגוניות ולהשתלב בתוך תהליכים עסקיים מבלי לעורר חשד. התוצאה היא מתקפות שקטות, מדויקות וקשות מאוד לזיהוי, לא מתקפות שמטרתן להרוס, אלא להשפיע.

אפשר לראות את זה כבר עכשיו. ארגונים מתמודדים עם זיופי קול בזמן אמת, מסמכים שנראים אותנטיים לחלוטין, עובדים שמקבלים הוראות ממי שנשמע כמו המנהל הישיר שלהם וסוכני AI שמבצעים פעולות על בסיס מידע שלא תמיד ניתן לאמת. ככל שיותר תהליכים עסקיים עוברים אוטומציה, כך גם גדל שטח התקיפה החדש, לא ברמת השרתים, אלא ברמת האמון. וזה אולי השינוי המשמעותי ביותר שעולם הסייבר עדיין לא הפנים: המטרה המרכזית כבר אינה המידע עצמו, אלא היכולת לערער את האמון במידע.

הסיכון הזה חמור במיוחד משום שלא תמיד נשאר אחריו סימן ברור. אם ארגון חווה מתקפת כופר, הוא יודע שנפגע. אם מערכות מושבתות, האירוע גלוי. אבל מה קורה כאשר מתקפה משנה החלטה עסקית, משפיעה על נתון קריטי או מחדירה מידע מוטעה למערכת AI ואז נעלמת? ברוב המקרים, אף אחד לא יכריז על “אירוע סייבר”. החלטה שגויה אחת יכולה לגרור שרשרת של החלטות “נכונות לכאורה”, שכל אחת מהן מתבססת על מידע שכבר הוטה. זהו אפקט כדור שלג: כל שלב מוסיף עוד שכבה של “אמת מדומה”, עד שהפער מול המציאות הופך משמעותי מדי מכדי לזהות אותו בזמן אמת.

מעבר לכך, היעדר זיהוי מונע כל מנגנון של למידה ושיפור. בעולם הסייבר המסורתי, כל אירוע, גם אם הוא כואב, הופך להזדמנות: בודקים איך זה קרה, מתקנים חולשות ומחזקים מערכות. אבל אם אין אירוע, אין גם חקירה. אם אין חקירה, אין הפקת לקחים. הארגון ממשיך לפעול כאילו הכול תקין, בזמן שהחולשה המקורית עדיין קיימת ולעיתים אף מתפתחת.

איך מזהים משהו שאולי לא ניתן לזיהוי?

כדי להתמודד עם מתקפות שקטות שלא שוברות מערכות אלא מעוותות מידע, החלטות ותהליכים, ארגונים צריכים לעבור מתפיסה של הגנה היקפית לתפיסה של אימות מתמשך של המציאות הדיגיטלית. זה שינוי עמוק, כי הוא לא מוסיף עוד כלי אבטחה, אלא משנה את מה בכלל נחשב מצב תקין. לכן, נדרש ניטור שמבוסס על הקשר עסקי: האם הפעולה הגיונית ביחס להרגלים, לתפקיד ולתהליך. במקביל, יש לחזק את שלמות המידע עצמו, להבין את מקורו ולזהות שינויים עדינים. מידע שאי אפשר לאמת מאבד בהדרגה את ערכו כבסיס להחלטות.

השנים הקרובות לא יוגדרו לפי מספר המתקפות שיימנעו, אלא לפי היכולת של ארגונים לזהות מניפולציות שקטות לפני שהן הופכות למציאות עסקית. מי שימשיך לחפש רק רעש, עלול לגלות מאוחר מדי שהאיום האמיתי כבר עבר מתחת לרדאר.

אורי סגל, מנכ"ל חברת סייבור