"הונאות הנדסה חברתית הן בין איומי פשיעת הסייבר הגדלים במהירות הגבוהה ביותר. הן פוגעות במוסדות פיננסיים וחושפות את הסקטור הפיננסי העולמי, להפסדים של מיליארדי דולרים "
המודעות ל"סיכוני סייבר" בקרב חברות ונושאי משרה בה, רבה היום, יותר מתמיד. התקציבים הרבים המוקצים, מצביעים על מגמה הולכת וגדלה בהכרת חשיבות הנושא.
מאמר זה יציג את מציאות האיומים וניהול הסיכונים בפועל, יבחן אותם לעומת תפיסת האיומים וניהול הסיכונים המתבקשת ויכפור במענים הקיימים, המושתתים בעיקרם על מענים טכנולוגיים, כמענים אולטימטיביים.
העיקרון העובדתי, המשפטי, הוא כי אירוע המוגדר כ-"אירוע סייבר", גם אם חלקו מבוצע באמצעים טכנולוגים הוא למעשה אירוע, "רב-מערכתי" ולא אירוע סייבר טכנולוגי בלבד. אירוע רב-מערכתי, שצלח את מנגנוני ההגנה הטכנולוגים הקיימים ולא סוכל מראש אל מול תרחישי הייחוס הרב מערכתיים שאותם ניתן והיה צריך לצפות מראש.
יש עדיין פירמות ודירקטוריונים הרואים את מילוי חובתם מול איומי הסייבר במינוי מנהל אבטחת מיידע או חברות אבטחה טכנולוגיות. במציאות המשפטית המתפתחת בנושא, מודגשת אחריות הדירקטוריון בגין אירועים שכאלה. תביעות הוגשו נגד דירקטורים בעילה של הפרת חובות אמון ו-חובות הזהירות עקב חוסר התנהלות מקצועית ומתבקשת בנושא.
פשיעת הסייבר על אף היותה פשיעה חדשה יחסית, תפסה את מקומה "המכובד" מהר מאד כמובילה בהיקפי הנזק הכלכליים. כשאין קירות שבורים כספות פרוצות וצלצולי האזעקה אינם צורמים את האוזן ברקע, תפיסת האיום מתקהה.
מעבר לתפיסת האבטחה הקיימת והחיונית בארגונים, פועלת בחשאי כמעט באין מפריע ברמה העולמית תעשייה של הונאות ברשת כלפי גופים כלכליים, שמחייבת שינוי פרדיגמת ניהול הסיכונים כלפי כל מה שמוגדר כאיום סייבר. תעשיה זו קיבלה משנה תוקף בפרסום של "הרשות לאיסור הלבנת הון" הנוגעת לחומרת האיום שמבוצע בשיטת "ההנדסה החברתית", היקפי הנזקים וההפסדים שנאמדים במיליארדים בגינה .
ההיערכות המתבקשת לניהול הסיכונים בתחום זה הינה ממחוזות רחבים יותר של ניסיון וידע מולטי- דיסציפלינאריים, לרבות ניסיון משפטי-מבצעי תוך הכרות בינ"ל עם התופעה ומחוללה.
"הנדסה חברתית" היא שיטת הונאה בינלאומית אשר התפתחה וצברה תאוצה בשנים האחרונות. להונאה זו, לה מספר דרכי פעולה, שחלקה מבוצע ב-תווך הסייבר, ההנדסה החברתית עוקפת את מנגנוני ההגנה הטכנולוגיים ומשיגה את יעדיה בין היתר, באמצעות מניפולציות בין אישיות ורשתיות אל מול גורם בפירמה ומניעה אותו לספק מידע רגיש או לבצע פעולות לגיטימיות לכאורה, כגון העברת סכומי כסף גבוהים מחשבון החברה.
תפיסת ניהול הסיכונים המתפתחת והמתבקשת תוצג באמצעות מודל "עוקץ המנכ"ל -"עוקץ הפרזידנט" בשיטת "ההנדסה החברתי" המשלבת מעגלי הונאה שונים לרבות שימוש בכלים מתחום הסייבר והלבנת הון מאמר ההמשך בנושא יפרט וירחיב את מודל "ההנדסה החברתית" ויציג את הדגלים האדומים והכלים להתמודדות יעילה של פירמות מול איומים אלה .
לאחרונה פעלו מישראל "חוליות מבצעיות" של ארגוני פשיעה שפעלו בשיטת "ההנדסה החברתית" תוך התחזות לשרים בממשלת צרפת. הייתה זו שרשרת אירועים מביכה שהובילה לנזיפה של שגריר ישראל בפריז ולמשבר ביחסים עם צרפת, עקב חוסר היכולת של מדינת ישראל לאתר ולסכל את פעילות אותם גורמי פשיעה. המשבר בא על תיקונו רק עת נחשפה ונעצרה ה- "חולייה המבצעית" של אותם גורמי פשיעה בפעילות בינ"ל משולבת. בהובלת מומחים בעלי ניסיון רב מערכתי משולב, בתחום.
משולש האיום בסייבר מורכב בעיקרו על שלושה אלמנטים: ארגוני פשיעה וטרור, מרחב הסייבר ופעולות להלבנת הון. מטרתן העיקרית של אותם ארגונים היא השגת כסף ומידע. הבסיס לכל פעילות הונאה הוא השגת מודיעין. הדבר מבוצע לעתים בהתקפות סייבר בעצימות נמוכה, שנועדו לבחינת מנגנוני התנהלות של הפירמה, מנגנוני ההגנה שלה ותהליך קבלת ההחלטות בה. כן נבחנת התנהלות הפירמה אם בכלל אל מול גורמים רגולטוריים וממלכתיים, והמענה שלהם לאיום. היכולת להשיג כסף ומידע רב, מהר ובחשאיות המבצעית הנדרשת, נעוץ ביכולות לגייס "חוליות מבצעיות" הנקיות מטביעות אצבע וחותמות רשתיות.
עוקץ ההונאה עצמו בנוי משיטות של "הנדסה חברתית" שתוצאתן העברת כספים מהפירמה ל-"חשבונות מבצעיים [חשבונות שנפתחים אד הוק בעיקר לצרכי הונאה] בעיקר במזרח הרחוק. משם לשלב שבו נדרשים תהליכים מורכבים של "הלבנת ההון" כדי להסיר מהכסף את טביעות האצבע הפיזיות והרשתיות שהוא עבר בדרך ל-"הלבנתו" ושילובו במחזור הכספים הלגיטימי.
לפיכך, המיומנות והניסיון הרב–מערכתי היא קריטית על מנת להתמודד עם איומים אלה, זוהי מיומנות המבוססת על ניסיון מבצעי בארץ ובחו"ל, מהתחום המודיעיני החקירתי בעולם הסייבר, הונאות ברשת ותחום הלבנת ההון, לרבות הניסיון והיכולת לשתף פעולה עם גורמים ממלכתיים בארץ ובחו"ל.
דווקא בעת הזאת כאשר החשיפה לחבות משפטית של הדירקטורים כוללת לא רק סיכונים הקשורים למניעת אירועי סייבר ואבטחת מידע אלא גם חשיפה לחבות משפטית פוטנציאלית גם בגין האופן שבו החברה הגיבה לאירוע וניהלה את עניינה "לאחר מעשה".
קיים משנה תוקף של הפירמה ונושאי המשרה בה, להכיר ולהבין את מציאות האיומים הקיימת וניהול הסיכונים הנובעים ממנה. הכרה זו תוביל בהגדרה למיקוד ולאפקטיביות של ניהול הסיכונים מול האיום וייעולו. דבר זה יביא להקטנה משמעותית בתשומות המוקצה לנושא זה, כל שכן לצמצום העלויות הכלכליות, הנזיקיות והישירות והעקיפות שנובעות בהתרחש אירוע סייבר שכזה.
לסיכום : חובת האחריות של הדירקטור בדין המתפתח היא הכרת מפת האיומים הרלוונטיים רענון והתאמת תפיסת ניהול הסיכונים: מתפיסה טכנולוגית בעיקרה למודל ניהול סיכונים מונחית מומחי תוכן בעלי ניסיון ומיומנות רב תחומית. נראה כי טענת ההגנה: "מילאנו אחר המלצות המומחים" עלולה שלא לעמוד, שכן היא מבוססת על מענה לתפיסת האיום שמתחת לפנס ותו לא.
