כשטעות אחת עולה 6 מיליארד דולר: פרשת SKT

דליפת נתונים יכולה לעלות מאוד יקר, וסיפור החברה הקוריאנית SKT הוא הוכחה לכך. SKT, חברת הסלולר הגדולה בדרום קוריאה עם כ-25 מיליון מנויים, חוותה באפריל האחרון אירוע מטלטל: דליפת נתונים של 23.2 מיליון משתמשי LTE ו-5G. נחשפו נתונים קריטיים – מפתחות אימות, מספרי זיהוי ועוד – המאפשרים שיבוט כרטיסי SIM והתחזות למשתמשים, בנוסף לפרטים אישיים רגישים.

כמו בכל מגה-אירוע, הארגון לא מיהר לחשוף את מלוא האמת. האינסטינקט הטבעי של בני אדם שכשלו – גם אם הם קוריאנים – הוא להתפלל שלא יבינו, להחריש ולקוות שהסיטואציה תעבור. אבל במערכות גדולות אין סודות, וגודל המחדל נחשף במלואו תוך מספר שבועות.

כתוצאה מהמחדל, החברה יצאה בתוכנית פיצויים מפלצתית: הנחות תעריפים, דאטה נוסף וקופונים בשווי כולל של 349 מיליון דולר. אבל זו הייתה רק ההתחלה. הרשויות בדרום קוריאה הטילו על SKT קנס שיא של 96.5 מיליון דולר בשל הזנחת חובות אבטחה ועיכוב בדיווח על הדליפה. מעבר לכך, החלפת כל כרטיסי ה-USIM, השעיית שירותי מנוי חדשים לחודשיים וחיזוק האבטחה דרשו השקעה נוספת של כ-250 מיליון דולר.

אבל כל אלו עדיין לא לוקחים בחשבון את שבירת האמון בין החברה ללקוחותיה. כמעט 4,000 מנויים הגישו דרישה לפיצויים לוועדת הגישור הממשלתית להגנת הפרטיות. האחרונה הציעה בתחילת השבוע שכל אחד מהם יקבל פיצוי בגובה 220 דולר בגין הנזק הנפשי שנגרם לו. אבל זהו קצה הקרחון SKT חשופה לתביעות ייצוגיות שיקבלו רוח גבית ותקדים מההחלטה, ועלולות להשבית עליה, אם תצטרך לפצות את כל לקוחותיה, הוצאה כוללת נוספת של 5.6 מיליארד דולר.

במישור לקיחת האחריות, המנכ”ל ויו”ר החברה התנצלו פומבית ואמרו שהחברה לוקחת אחריות לכל נזק שייגרם ללקוחותיה. כעבור חצי שנה, בסוף אוקטובר, המנכ”ל פוטר – אם כי יותר נכון לומר שהוזז מתפקידו לתפקיד במועצת האסטרטגית של הקבוצה.

מה בדיוק היה הכשל האבטחתי? SKT ביצעה כשל בסיסי וחמור: אחסון מפתחות האימות של כרטיסי ה-USIM בטקסט רגיל, ללא הצפנה, בתוך השרתים. כן, קראתם נכון – נתונים קריטיים נשמרו כטקסט פשוט שכל מי שמצליח לחדור לשרתים יכול לקרוא. בנוסף, המערכת פעלה על מערכת הפעלה מיושנת בעלת חולשות ידועות, והייתה מחוברת לרשת הניהול הפנימית, מה שאיפשר את הפריצה. לפעמים המחדל נמצא ממש מתחת לפנס.

זו עוד דוגמה למה תחום הסייבר לוהט וצפוי להמשיך לצמוח, ודוגמה לכלל הידוע – עלות מניעת דליפה היא תמיד נמוכה יותר מעלות הטיפול בה.