ההאקרים הרוסיים היו צריכים רק ניסיון אחד כדי להגיע למחשב של עובד פנטגון. אולם התקיפה לא בוצעה באמצעות מייל זדוני או נוזקה שהוצמדה לקובץ. הדבר בוצע באמצעות קישור לציוץ של טוויטר, שהבטיח חבילת נופש משפחתית לקיץ. זה מסוג הדברים שכל אחד יכול ללחוץ עליהם.

זוהי בדיוק הבעיה, אומרים לניו-יורק טיימס מומחים מהפנטגון ומומחי סייבר. בעוד תאגידים ומשרדי ממשלה ברחבי העולם מלמדים את עובדיהם לחשוב פעמיים לפני שפותחים מייל לא מוכר, האקרים עברו לסוג חדש של התקפות – דרך רשתות חברתיות שעליהן אנשים נוטים לסמוך. בכירים בפנטגון חוששים שהאקרים המקבלים תמיכה ממדינה, ישתמשו ברשתות החברתיות כדוגמת טוויטר או פייסבוק כדי לפרוץ למחשבי משרד ההגנה. הטעות האנושית שמביאה ללחיצה על קישור שנשלח במייל, גדלה באופן משמעותי ברשתות חברתיות שם אנשים חושבים שהם בין חברים.

ברגע שאדם אחד הותקף, ההאקרים יכולים לנוע במהירות דרך רשימת החברים של אותו אדם, דבר שמומחים מגדירים כסיוט כאשר מחלקה שלמה בפנטגון יכולה להיפגע. למרות שאיום זה ידוע, ההסברים להתגוננות מפניו עדיין מוגבלים. בכיר אחר שדיבר עם ניו-יורק טיימס, תיאר את הבעיה כלימוד מחלקה שלמה לקחת בעירבון מוגבל כל מה שנשלח אליהם, אפילו אם נראה שההודעה הגיעה מהמשפחה או מהחברים.

רוב המשתמשים לא מבינים

הפריצה בשנה שעברה למחשבי המפלגה הדמוקרטית, העלתה את המודעות לנזק שיכול להיגרם אם רק קומץ עובדים ייכנסו למיילים הזדוניים. מעטים הם האנשים שמבינים שהודעה בפייסבוק או בטוויטר יכולה לספק לתוקף גישה דומה למחשב שלהם, וכי ניתן לזייף חשבונות כך שאדם יחשוב שמדובר במישהו ממעגל חבריו.

שיטת הדיוג (או הפישינג), שבה מנסים לגנוב מידע רגיש על-ידי התחזות באינטרנט, איננה דבר חדש. בנובמבר 2015 חשפה מחלקת המדינה האמריקנית, כי נעשה דיוג של עובדיה באמצעות רשתות חברתיות. פקידים בפנטגון אומרים שהיקף ההתקפות הוא הדבר החדש. במגזין "טיים" נכתב לאחרונה שהאקרים בתמיכה רוסית ניסו לדוג 10,000 חשבונות טוויטר, השייכים לעובדים של משרד ההגנה, תוך שימוש במסרים אישיים הממוקדים למשתמשים ספציפיים.

בתגובה לכך, טוויטר שלחה עותק של חוקי האנטי-ספאם שלה, בהם נאמר שכל חשבון שהפר את החוקים יושעה. דובר של פייסבוק אמר שהחברה מודעת לניסיונות הדיוג והדבר במעקב. בפרסום של החברה נכתב לאחרונה מהם ניסיונות הפריצה בהם היא נתקלת, ונמסר שהיא משתמשת במערכות מיוחדות לאיתור ניסיונות דיוג. חברות סייבר אומרות ששימוש בדיוג ברשתות החברתיות, היא אחת שיטות הפריצה שמתרחבות במהירות.

דרך החשבון של האישה

ג'יי קפלן, מומחה סייבר שעבד בעבר בסוכנות לביטחון לאומי, אומר לעיתון שמדובר בבעיה נפוצה. עם זאת, תקיפה דרך הרשתות החברתיות חושפות פרטים על-אודות האקרים שמקבלים סיוע מדינתי, דבר שלא ניתן ללמוד אותו מתקיפה שנעשית באמצעות שליחת מייל. דבר נוסף שההאקרים יכולים לעשות, הוא להשיג מודיעין. באמצעות תמונה של חיילים שעולה לרשת חברתית, התוקף יכול לצפות בשינויי המיקום שיצביעו על תנועת כוחות או לפעול כדי לסכל את פעילותם. רוב האנשים לא חושבים לפני שהם מפרסמים ברשת החברתית, אומר קפלן. הם לא חושבים שניתן להשתמש במידע נגדם, והם לא חושבים שאנשים ברשת החברתית יכולים להיות האקרים.

לפי דוח שפורסם אשתקד, 30% אחוזים מהודעות הדיוג נפתחו על-ידי יעדם. לפי מחקר אחר, שני שלישים מהודעות הדיוג נשלחו דרך רשתות חברתיות. בהתקפה על משרד ההגנה, 7,000 עובדים עשו את הצעד הראשון לקראת תקיפת מחשביהם, כאשר הם לחצו על הקישור. מומחה סייבר אחר אמר, שהתוקפים ממקדים את המסר אישית לכל אחד מיעדיהם.

בהסתכלות על פרסומים ציבוריים, התוקפים יכולים לראות האם חשבון היעד הזכיר להקה מסוימת או קבוצה כלשהי, ולהתאים את המסר כך שהיעד יקבל הודעה על כרטיסים להופעה או למשחק. בניסוי שנעשה על-ידי חברת אבטחת הסייבר ZeroFox, נוצרה תוכנה אוטומטית שלימדה את עצמה לשלוח הודעות דיוג. במשך למעלה משעתיים, היא שלחה הודעות ל-819 משתמשים בטוויטר ו-275 אנשים פתחו את ההודעה.

במקרה של משרד ההגנה, מציין ניו-יורק טיימס, הקישורים נשאו תוכנה זדונית. ברגע שאנשים לחצו על הקישור, הם הדביקו את רשת המחשבים שלהם. במקרים רבים, התוקפים ביצעו את התקיפה דרך חשבונות של קרובי משפחה של עובדים במשרד ההגנה, כאשר מטבע הדברים העובדים פחות חושדים בהודעות כאלו. אחד מעובדי משרד ההגנה סיפר לעיתון, כי בתקיפה האחרונה הוא הותקף דרך חשבון הטוויטר של אשתו. הוא קיבל קישור על חבילת נופש, לאחר שדיבר עם חבריו מה לעשות עם הילדים במהלך חופשת הקיץ. "מרגע שתקפו את החשבון שלה, הם יכלו להגיע לחשבון שלי", הוסיף.