האם רשויות החוק יכולות למנוע עבירות סייבר?

לקראת סוף 2013, ארגנו הרשויות בבריטניה סדרה של סימולציות למוסדות פיננסיים בלונדון, על מנת לבדוק את עמידותם בפני מתקפות סייבר.

רוב המשתתפים בסימולציות הפגינו יכולות טכנולוגיות להתמודדות, שהעידו על קיומן של תכניות הגנה מקדימות. אולם, התרגיל חשף תופעה מדאיגה: אף אחת מן החברות המשתתפות לא פנתה למשטרה, כמצופה במצבים כאלה. גם כשנשאלו מאוחר יותר, הסבירו המשתתפים שאף אחד מהם לא העלה על דעתו פנייה שכזו.

"הדבר חמור עוד יותר, שכן איש מבין אנשי המוסדות הפיננסיים, לא היה מודע כלל למצבים בהם בוצעו עבירות פליליות", הסביר אדריאן קאלי, קצין ביחידת עבירות המחשב של הסקוטלנד יארד, בעברו שמשמש כיום כיועץ טכנולוגי בחברה לאבטחת מידע בבריטניה.

לדבריו, מדובר בתופעה מפתיעה על רגע העובדה שכבר 25 שנה שקיימת בדיני העונשין בבריטניה עבירה של שימוש לרעה במחשב: "בארגונים רבים עדיין שוררת הדעה המוטעית כי עבירה המבוצעת במחשב איננה ממוחשית כעבירה המבוצעת ברכוש חומרי כלשהו. לבנקים גדולים קל יותר למחוק את הרכוש "הערטילאי" שנלקח מהם כהוצאה עסקית בעולם שבו הם פועלים. בנק שנשדד פיזית – יש לו סניף שבו ארעה התקרית, כסף מזומן שנלקח ממנו וסגל שהיה אחראי לאבטחת הנכסים. חוסר מעש במקרה כזה איננו אפשרות שהנהלת הבנק תבחר בה. מתקפה שנולה כנגד הארגון כולו (גדול כבנק) מוחשית פחות ואיננה גוררת תגובה מעשית מצד הבנק כשוד בצהרי היום בסניף של – אף אם הסכום שנלקח גדול פי כמה".

בדומה לאמור לעיל, גניבת נתונים מאגרים של חברה גדולה – קניינה הרוחני או פרטים שמורים של לקוחותיה – אינה מורגשת באותה מידה כפגיעה פיזית במתקניה של החברה או ברכושה החומרי. לדעת המומחים הבריטיים חברות עסקיות גדולות לעשרות, אינן מודעות לגניבת המזהה האינטרנטי שלהן.

עבריינים התחילו להשתמש בצורות חדשות של פעילות פשיעה באמצעות האינטרנט, כגון הפצת ידיעות כוזבות בסוכנויות הידיעות – הגורמות לשינויים קיצוניים בשערי מניות או אגרות החוב הנסחרות בבורסות העולם. חדירה סמויה ודליית מידע פנים על עסקות מיזוג צפויות או עסקות גדולות במניות או גיוס כספים צפוי – משמשים לוויסות הסחר בבורסות.

גילויי תקיפה או חדירה הינם אתגר גדול למומחי אבטחה, אך חשיפת הגורם התוקף עצמו היא משימה קשה פי כמה. עברייני המחשב משתלטים על מחשביהם של אנשים זרים להם שאינם מודעים כלל לשימוש שנעשה במחשב שלהם. גילוי הגורם המשתלט המסווה עצמו במערכות של אחרים – קשה פי כמה, בוודאי אם הגורם האחראי למתקפה מזוהה נמצא במדינה אחרת, כזו שבדרך כלל איננה משתפת פעולה עם רשויות אכיפה של מדינות אחרות, כפי שהתגלה במקרים רבים.

העדר הסדר בינלאומי כגון אמנה בינלאומית או חקיקה באמצעות ארגונים בינלאומיים בתחום עבירות באמצעות מחשב אינם מאפשרים הבאה לדין של עבריינים ושיפוי הנפגע על נזקים שספגו. ייחוס של אדם למחשב שבאמצעותו בוצעה עבירה גם הוא מהווה אתגר מסובך בהיבט של דיני הראיות בחוק הפלילי והמשפט התקדימי.

ראש ממשלת בריטניה הציע באחרונה, במהלך ביקורו בסין, לכונן "אזרחות סייבר". מדובר באזרחות שתבטיח שכולם ישחקו לפי הכללים המוסכמים ושניתן יהיה לאכוף כללים כאלה.

בהווה מתמקדים מומחי האבטחה במניעה וחשיפה של מתקפות סייבר – זהו מצב ארעי שישתנה ככל שההתקדמות הטכנולוגית תפתח ערוצים חדשים בפני מנהיגי הפשע המאורגן ועבריינים עצמאיים מתוחכמים. הסיכונים לתשתיות לאומיות, לכלכלה לאומית ובינלאומית ילכו ויגברו.

סיכונים שלא יהיו מוגבלים לנזק כספי אלא ליציבות ושלמות מערכות ממשל וכלכלה. אף כי קיימת כיום עצימת עיניים בפני סיכונים אלה – הרי שבמציאות נראה שבנק שחלק מלקוחותיו איבד את פיקדונותיו – יאבד את אמינותו בציבור הלקוחות שלא ניזוקו והסתערותם על פיקדונותיהם עלולה לגרום להתמוטטותו של הבנק שיהיו לה גם השפעות קשות על יציבות בנקים אחרים.

בשנת 2012 הותקפו מחשבי חברת הנפט הסעודית אראמקו כשהמטרה הייתה להשבית את יכולות הפקת הנפט שלה. מתקפה רבתי כזו על תשתית ממשל או אנרגיה או פיקוח אווירי איננה בחזקת תיאוריה בלבד, אף בהתייחס למערכות מחשוב של חברה אירופית. שיטור מניעתי והרתעה מפני ביצוע מתקפה כזו, לא נידונו על ידי אף ממשלה ולא כל שכן כוחות משטרה ואכיפת חוק במדינה כלשהו.