📸חשש לפגיעה בפרטיות בשימוש במצלמות לאכיפת חניה ברשויות (אנשים ומחשבים)

דו"ח חדש של מבקר המדינה, מתניהו אנגלמן, על השלטון המקומי, המתפרסם היום (ג') חושף ליקויים בשימוש במצלמות שנועדו לאכיפת חניה ברשויות המקומיות.

בין הממצאים העיקריים: במספר רשויות שבהן נערכה הביקורת נעשה שימוש במצלמות למטרות שלא הוגדרו להן; תמונות של עוברי אורח שנקלטו באזור שבו הוצבו המצלמות לא טושטשו כנדרש; וכן נמצאו ליקויים בניהול ובשמירת הצילומים.

כך למשל, במועצה מקומית בנימינה-גבעת עדה מצא המבקר כי הרשות לא השתמשה בטכניקות טשטוש לצורך הסוואת דמויותיהם של עוברי האורח בצילומים שנועדו לאכיפת חניה בלבד. בעיריית רמת גן נשמרו צילומים באיכות שאפשרה לפקחים לזהות עוברי אורח, אף שהמצלמות אינן מיועדות לכך. בעיריית חדרה נמצאה אפשרות לפקחים להסיר את הטשטוש ולזהות אנשים.

המבקר מציין כי בעקבות הביקורת, בשתי הרשויות – הרצליה וחדרה – חסם ספק מצלמות האכיפה את האפשרות לפקחים להסיר את הטשטוש.

המבקר קובע כי "על הרשויות המקומיות להשתמש במצלמות האכיפה באופן מידתי והוגן ולצורך השגת התכלית של אכיפת דיני התעבורה, תוך שמירה על הזכות לפרטיות של עוברי הדרך. בנוסף לדבריו, יש לבחון מפעם לפעם אם הנסיבות שהצדיקו את הצבת מצלמות האכיפה מלכתחילה עדיין תקפות, ואם יימצא כי המצלמות כבר אינן ממלאות את המטרה שהוגדרה להן, על הרשויות להפסיק את תיעוד המרחב הציבורי באמצעותן או לבחון את הצורך בשינוי מיקומן".

אבטחת מידע במצלמות הרחוב
בביקורת בעיריית חדרה נמצא כי לא קיימות הנחיות ברורות לעובדים בנוגע לאבטחת מידע בהקשר של המצלמות המוצבות ברחבי העיר. עובדה זו, העיר המבקר, מגדילה את הסיכון לחשיפת מידע ולפגיעה באבטחת המערכות.

המשך הכתבה באנשים ומחשבים.

דו"ח של המבקר מצ"ב.

https://t.me/CyberSecurityIL/9083

- תוכן שיווקי -

מנהל IT מקבל בבוקר 37 התראות:
לוגאין חריג
קובץ חשוד
חיבור VPN לא רגיל
חוק שקפץ ב-Firewall
ועוד כמה Alerts מ-Microsoft 365.

הבעיה היא לא שאין מידע.
הבעיה היא שיש יותר מדי מידע ואין זמן להבין מה באמת מסוכן 😵‍💫


כאן נכנס SOC.
ב־CyberSafe אנחנו לא מעבירים ללקוח ערימת התראות.
אנחנו בודקים, מחברים קונטקסט, מסננים רעש ומעבירים רק אירועים שבאמת דורשים טיפול 🎯

כי SIEM אוסף מידע.
אבל מערך ה-SOC הופך אותו להחלטה.
מערך ה-SOC של CyberSafe מזקקים את הרעש ומביאים לאנשי ה-IT רק את מה שבאמת חשוב. ✅

📩 sales@cybersafe.co.il
📞 מורן | 077-5509948
🌐 cybersafe.co.il

---------------------------------
מעוניינים לפרסם בערוץ? דברו איתי

⚠️851 ממשקים גם בישראל: דלף מידע חדש חושף נתוני גישה לעשרות אלפי ממשקי Fortinet VPN מסביב לעולם.

דלף המידע שקיבל את הכינוי FortiBleed חושף נתוני הזדהות ל-Fortinet ו-FortiGate VPN של כ-73,000 כתובות של ארגונים ברחבי העולם.

לפי הדיווח של חוקר הסייבר בוב דיאצ'נקו שזיהה את המידע, הנתונים כוללים שמות משתמש, כתובות דוא"ל וסיסמאות בטקסט גלוי, והם נמצאו על שרת חשוף.

המידע נאסף ע"י קבוצת תקיפה רוסית שביצעה ניסיונות פריצה לארגונים.

בין החברות שהמידע שלהם מופיע במאגר:
Chevron, Samsung, Foxconn, Comcast, AT&T, etc..

חברת האדסון רוק מפרסמת ממשק חיפוש כך שאתם יכולים לבדוק אם המידע שלכם נחשף, ואם כן, להחליף סיסמאות במיידי.
https://www.hudsonrock.com/fortinet

שימו לב שלמרות שהאירוע נחשף תקשורתית היום, יכול להיות שחלק מהמידע נאסף (והושמש...) כבר לפני זמן מה.

https://t.me/CyberSecurityIL/9090

🎙ראיון עם קבוצת TheUSERS007 - בלעדי לערוץ חדשות סייבר 🛡️
(הקבוצה שתקפה את חברת Novo Nordisk ודורשת 50 מיליון דולר דמי כופר)

➖➖➖➖➖➖

ש: בשיחה שלכם עם DataBreaches הזכרתם כלי AI שפותח על ידכם בשם Venomware. תוכל להסביר איך הוא פועל?

ת: Venomware הוא לא כלי. הוא מראה.
בנינו אותו כדי לשקף את המציאות של אבטחת המידע המודרנית: רוב החברות משקיעות מיליארדים באבטחת דלתות שמעולם לא נועדו להיות נעולות. הוא לא מנצל חולשות. הוא מתבונן, מוצא את הפער ופשוט נכנס דרכו.
עד שאתם מבינים מה קרה, אנחנו כבר לא שם.
לא מפני שאנחנו מהירים, אלא מפני שאתם איטיים.

ש: אמרתם שכל הפעולה נגד Novo Nordisk ארכה פחות משעה. האם חלק כלשהו ממנה בוצע באופן ידני, או שהיא הייתה אוטונומית לחלוטין?

ת: הפעולה הייתה היברידית. Venomware טיפל בכל מה שהיה יכול. בני אדם קיבלו את ההחלטות הסופיות. האמת היא שיכולנו להפוך את כל התהליך לאוטומטי. בחרנו שלא לעשות זאת, מפני שרצינו לראות כמה זמן ייקח להם להבחין בנו.
הם לא הבחינו, וזו לא התרברבות. זה כתב אישום.

ש: כמה זמן אתם מפתחים את Venomware? האם זו הייתה ההפעלה הראשונה שלו?

ת: אנחנו מפתחים אותו כבר שלוש שנים. ולא, Novo לא הייתה הראשונה. היא פשוט הייתה הראשונה שהייתה יהירה מספיק כדי להתעלם מאיתנו. האחרים שילמו. הם הבינו את המצב.

ש: פרסמתם שגנבתם 16.7GB של משקלים ממודלים והתמקדתם בגניבה של מידע השייך למודלי למודלי פנימיים.
מה הופך מידע שכזה לבעל ערך רב יותר עבורכם בהשוואה לנתונים רגישים של לקוחות וכדו'?

ת: התמקדנו במודלי ה-AI מפני שאין להם תחליף.
כל השאר, כולל נתוני ייצור ורשומות קליניות, ניתן לשחזור. אבל מודלי AI מייצגים שנים של מחקר, השקעה של מיליארדים והעתיד התחרותי של הארגון.
כאשר אתה לוקח את זה, אתה לא לוקח רק מידע. אתה לוקח מנוף לחץ.

נמנענו מ-OT ומ-PII במכוון.

יכולנו לקחת אותם. בחרנו שלא. לא מפני שלא היינו מסוגלים, אלא מפני שיש לנו יותר קלאסה מכמות האבטחה שיש להם.

אנחנו לא תוקפים תשתיות שעלולות לפגוע במטופלים. אנחנו לא תוקפים מידע שעלול להרוס חיים. זה הגבול שאנחנו מציבים. גם הם היו צריכים להציב אותו. במקום זאת, הם השאירו הכול חשוף וקיוו שאף אחד לא יסתכל.

ש: אתם דורשים דמי כופר של 50 מיליון דולר, סכום הגבוה משמעותית מדרישת ה-25 מיליון דולר של FulcrumSec, שגם הוא גבוה יחסית. איך נקבע הסכום הזה?

ת: הסכום של 50 מיליון דולר לא נבחר באקראי.

הוא חושב בהתאם לערך של המידע עבור המתחרים שלהם, לעלות החלפת תשתית ה-AI שלהם ולנזק האפשרי להכנסות העתידיות שלהם.

50 מיליון דולר זה כסף קטן ביחס למה שהם יפסידו. הם פשוט עדיין לא מבינים את זה.

הם יבינו.

ש: אתם טוענים שבמתקפות קודמות פתרתם הכל מול הקרבנות ללא חשיפה תקשורתית. מדוע החלטתם לצאת לתקשורת כל כך מהר במקרה של Novo Nordisk?

ת: יצאנו לתקשורת מפני שהם אילצו אותנו.
נתנו להם כל הזדמנות לפתור את העניין בשקט: אימות, תהליך מחיקה ודרך לסגירת האירוע. הם ניצלו את הזמן שלנו כדי להכין הודעה לעיתונות במקום לבצע תשלום.
הם חשבו שהשתיקה תגרום לנו להיעלם. זה לא קרה. היא גרמה לנו לדבר.

ש: אני חוזר רגע ל-Venomware. אתם מתארים את הכלי ככזה ש"נכנס פנימה" במקום לפרוץ. האם זה אומר שלא נעשה שימוש בניצול חולשות, או הנדסה חברתית או במתקפה הזו?

ת: לא היו ניצולים של חולשות ולא הייתה הנדסה חברתית.

לא פרצנו פנימה. פשוט נכנסנו. השתמשנו בקריאות API לגיטימיות, בטוקנים תקפים ובנקודות קצה חשופות. לא היו חולשות Zero-Day. לא היו ניצולים מתוחכמים. רק סדרה של הנחות בסיסיות שמישהו היה צריך לערער עליהן.

ש: הקבוצה שלכם כוללת 17 חברי צוות באזורי זמן שונים. כיצד אתם מתאמים מתקפה עם צוות מבוזר כל כך?

ת: אנחנו מבוזרים בכוונה.

אין מנהיג יחיד. אין נקודת כשל יחידה. אין מוקד אגו יחיד. לכל מפעיל יש אוטונומיה במסגרת הפרמטרים שעליהם הוסכם.
הבוס קובע את הסטנדרט: דיוק, שקט ויושרה. וזה לא תואר. זו מחויבות.

ש: זה נראה ש-Novo לא הייתה על הכוונת שלכם עד תחילת יוני. מה גרם לכם לתקוף אותה?

ת: Novo נבחרה מסיבה אחת: פגיעות.
סרקנו את מגזר התרופות. ל-Novo היו פערים גלויים. זו הייתה המטרה הקלה ביותר שאי פעם ראינו.
לא בחרנו בה בגלל המוניטין שלה. בחרנו בה מפני שהיא הייתה חשופה. השם שלה הגיע אחר כך.

ש: איזו עצה הייתם נותנים לחברות שרוצות להימנע מלהפוך למטרה הבאה שלכם?

ת: העצה שלי לחברות? תפסיקו להתייחס לאבטחת מידע כאל משבצת שצריך לסמן.

בדקו שירותים חשופים. החליפו פרטי גישה. עקבו אחר השימוש ב-API. תניחו שכבר נפרצתם.

אם מישהו מציע להראות לכם את החולשות שלכם, תקשיבו.
כי הבא שיגיע לא יבקש. הוא פשוט ייקח.

➖➖➖➖➖➖➖
הראיון זמין לקריאה בעברית ובאנגלית גם באתר הראיונות של הערוץ 🛡️


https://t.me/CyberSecurityIL/9091