פרצת אבטחה בפרטנר חשפה זהות לקוחות עסקיים ופרטי העובדים

פרצה במאגר מידע של חברת פרטנר חשפה פרטים אישיים של עובדי החברה ולקוחותיה העסקיים, כולל שמות, טלפונים ומספרי תעודות זהות.

היא הביאה בעיקר לדליפת זהות לקוחות עסקיים בסלולר ובאינטרנט - אחד מפרטי המידע הרגישים ביותר של כל חברה עסקית. הפרצה זוהתה על ידי ההאקר נעם רותם, המגיש גם את פודקאסט אבטחת המידע "סייבר סייבר", והיא נחשפת ב"כלכליסט" רק לאחר שתוקנה.

מנכ"ל פרטנר איציק בנבנישתי צילום: אוראל כהן

לדבריו, הפרצה חשפה מאגר פנימי ואפשרה לשלוף ממנו מידע באמצעות כתובת מסוימת בדפדפן. "העמוד אפשר להריץ שאילתות ללא הזדהות. זה נתן למעשה גישה לכל המידע שיש במאגר, ללא סינון או בדיקה של הרשאות. ברגע שיש לך גישה כזאת, אתה רואה את כל מה שהם רואים, כולל פרטי העובדים והלקוחות העסקיים, תקלות, התקנות ועוד". מדובר במידע רגיש שפושעי סייבר יכולים לנצל. פרטי קשר ישירים של העובדים יכולים לשמש למטרות פישינג (גניבת מידע ברשת על ידי התחזות), על מנת לדלות מהם מידע אישי או אפילו פרטי חיבור למערכות החברה הפנימיות.

רשימת הלקוחות העסקיים של חברה נחשבת סוד מסחרי. המידע שדלף גילה שעם לקוחות פרטנר נמנים חברת טכנולוגיה גדולה, גוף פיננסי מרכזי ושחקנית משמעותית בשוק המזון בישראל. מידע שכזה בידי מתחרים הוא בגדר מכרה זהב של לקוחות פוטנציאליים שניתן ליצור איתם קשר. גורמים עוינים יכולים גם להתחזות לנציגי פרטנר ולפנות לעובדי אותן חברות כדי לדלות מהם מידע נוסף.המידע שנחשף על תקלות יכול לאותת על לקוחות לא מרוצים ולהפוך אותם למוקד גיוס אפשרי.

פרטים על התקנות שנקבעו עלולים לשמש לפישינג או חמור מכך - אם פושעי סייבר יודעים שללקוח עסקי נקבעה התקנה, הם יכולים להתחזות לעובדי פרטנר, להגיע לפני המועד וכך להיכנס למתקני החברה ולדלות מידע. עוד כללה הדליפה נתונים ממערכות שירות הלקוחות של פרטנר, שמשקפים את אופן הטיפול בתלונות ויכולים לסייע למתחרות לדעת מהי אסטרטגיית השירות שלה.

"אסור לאפשר שליחת שאילתות ישירות למסד הנתונים", אומר רותם. "פרצה כזו בדרך כלל מצביעה על ליקויים חמורים בפיתוח, וסביר שבדיקה מעמיקה יותר תמצא עוד חורים".

מפרטנר נמסר בתגובה: "מדובר בממשק לפתיחת פניות מספקים חיצוניים, ולא במאגרי המידע של לקוחות החברה. אנו מודים על העדכון, ודאגנו לתקן באופן מיידי את הגישה לממשק".