ESA מאשרת פריצה לשרתים חיצוניים, ותוקף מציע למכירה 200GB, לפי טענתו
ב-30 בדצמבר 2025 אישרה סוכנות החלל האירופית פריצה למספר קטן מאוד של שרתים חיצוניים שמחוץ לרשת הארגונית. תוקף בשם 888 טוען שגנב 200GB, כולל קוד מקור ואסימונים.
TL;DR בקצרה
- ESA אישרה ב-30 בדצמבר 2025 פריצה לשרתים שמחוץ לרשת הארגונית. לדבריה מדובר במספר קטן מאוד של שרתים לעבודה הנדסית בלתי מסווגת.
- תוקף בשם 888 טוען ב-BreachForums שגנב מעל 200GB, כולל קוד מקור, אסימונים וסיסמאות בקוד, ושהיתה לו גישה ל-Jira ול-Bitbucket כשבוע.
- הטענות לא אומתו באופן עצמאי, ו-ESA לא אישרה את היקפן ולא מסרה איך התוקפים נכנסו.
- המסקנה לצוותי פיתוח: לסרוק מאגרים לסודות, להגן על Jira ו-Bitbucket ולהפריד שרתי שיתוף פעולה מהרשת הארגונית.
ב-30 בדצמבר 2025 אישרה סוכנות החלל האירופית, European Space Agency (ESA), שתוקפים פרצו לשרתים שלה מחוץ לרשת הארגונית. לפי ESA, הפגיעה היא במספר קטן מאוד של שרתים שתומכים בעבודה הנדסית משותפת ובלתי מסווגת. תוקף שמכנה את עצמו 888 טוען שהוא גנב 200GB, ומציע אותם למכירה.
יש כאן שני דברים שאין להחליף ביניהם. האחד הוא הצהרה רשמית וזהירה של הסוכנות. השני הוא טענות של פושע, שלא אומתו באופן עצמאי.
European Space Agency: מה ESA מסרה
ESA פרסמה הודעה בחשבון ה-X שלה. לפי BleepingComputer ו-SecurityWeek, היא כתבה שהיא מודעת לבעיית סייבר בשרתים שמחוץ לרשת הארגונית. היא הוסיפה שהחלה בניתוח פורנזי של האבטחה, ושהיא פועלת לאבטח מכשירים שעשויים להיות מושפעים.
לדברי הסוכנות, ניתוח ראשוני מעלה שרק מספר קטן מאוד של שרתים חיצוניים עשוי להיות מושפע. השרתים תומכים בפעילות הנדסית משותפת בקהילה המדעית, והיא בלתי מסווגת. ESA הודיעה לכל הגורמים הרלוונטיים, והבטיחה פרטים נוספים כשיהיו.
ESA לא פירטה באילו שרתים פרצו התוקפים, ולא איך נכנסו. כש-BleepingComputer ביקשה תגובה לטענות, אמר הדובר של ESA שלסוכנות יש מסגרת ממשל חזקה לטיפול באירועים.
מה טוען התוקף נגד European Space Agency, ומה לא אומת
לפי SecurityWeek, התוקף טוען שפרץ למערכות ב-18 בדצמבר. לפי BleepingComputer, הוא פרסם בפורום BreachForums צילומי מסך שמראים גישה לשרתי Jira ו-Bitbucket של ESA, ואמר שהגישה נמשכה כשבוע. CyberInsider מציינת שההודעה בפורום פורסמה ב-26 בדצמבר, ושהתוקף מבקש תשלום במטבע Monero.
הוא טוען שגנב מעל 200GB. לפי הרשימה שלו, בהם קוד מקור, צינורות CI/CD, מפתחות גישה ואסימונים, מסמכים חסויים, קבצי תצורה, קבצי Terraform ו-SQL, וגם סיסמאות שנכתבו בתוך הקוד. BleepingComputer מדגישה שאלה טענות שלא אומתו, ו-ESA אינה מאשרת את היקף הגניבה.
למה שרתי פיתוח חיצוניים הם יעד מפתה
שרתי Jira ו-Bitbucket מחזיקים את הקוד ואת התכנון של פרויקטים. כשהם פתוחים לשותפים מבחוץ, הם רחוקים מהמגנים הרגילים של הרשת הארגונית. זה מה שהופך אותם לנוחים לתוקף.
הסכנה הגדולה היא הסודות. אם סיסמה או אסימון נשארו בקוד, מי שגונב את המאגר מקבל מפתחות. CyberInsider מזכירה שהסיכון חמור במיוחד אם הסודות האלה משמשים שוב בסביבות תפעוליות. ESA עצמה אמרה שהשרתים אינם חלק מהרשת הארגונית, ולכן ההפרדה הזאת חשובה.
זה לא המקרה הראשון. לפי BleepingComputer, כשנה לפני כן, ממש לפני חג המולד 2024, פרצו תוקפים לחנות האינטרנט של ESA. הם החדירו קוד JavaScript זדוני שגנב פרטי לקוחות ופרטי כרטיסי אשראי בקופה.
יש גם נקודה על קצב התגובה. ההודעה בפורום פורסמה, לפי CyberInsider, ב-26 בדצמבר, וההצהרה של ESA הגיעה ב-30 בדצמבר. בארבעה ימים אפשר לעשות הרבה: לבדוק יומנים, לבודד שרתים ולהחליף סודות. ESA מסרה שפעלה לאבטח מכשירים ושיידעה את בעלי העניין.
מה זה אומר עבורכם
- סרקו מאגרי קוד לסודות: חפשו סיסמאות, מפתחות API ואסימונים בקוד ובהיסטוריה שלו, והחליפו כל סוד שמצאתם.
- הגנו על Jira ו-Bitbucket: הפעילו התחברות מרכזית ואימות דו-שלבי, והגבילו גישה מבחוץ. זה נכון במיוחד לשרתים שפתוחים לשותפים.
- הפרידו שרתי שיתוף פעולה: שרת שמארח שותפים חיצוניים לא צריך לשבת על אותה רשת כמו מערכות הארגון.
- אל תשתמשו בסוד אחד בכל מקום: אסימון שדלף מסביבת פיתוח לא צריך לפתוח את סביבת הייצור.
- הכינו תגובה לטענות בפורומים: כשמופיעה טענה על פריצה, בדקו יומנים מיד, והחליפו סודות לפני שהחקירה מסתיימת.
מקורות והרחבה
- European Space Agency confirms breach of 'external servers'BleepingComputer
- European Space Agency Confirms Breach After Hacker Offers to Sell DataSecurityWeek
- European Space Agency confirms breach following leak of internal dataCyberInsider
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
