SonicWall: מדינה עמדה מאחורי גניבת גיבויי חומות האש מהענן, לפי החברה
ב-4 בנובמבר 2025 מסרה SonicWall שגורם בחסות מדינה גנב קבצי גיבוי של חומות אש משירות MySonicWall. לדבריה Mandiant סיימה את החקירה, והקבצים של כל משתמשי הגיבוי בענן נחשפו.
TL;DR בקצרה
- SonicWall פרסמה ב-4 בנובמבר 2025 שחקירת Mandiant הסתיימה, ושמי שניגש לקבצי הגיבוי הוא גורם בחסות מדינה. היא לא נקבה במדינה.
- לפי החברה, התוקף ניגש לקבצי גיבוי בענן דרך קריאת API. המוצרים, הקושחה ורשתות הלקוחות לא נפגעו, והאירוע אינו קשור ל-Akira.
- בעדכון מ-8 באוקטובר נכתב שהגישה כללה את הקבצים של כל מי שהשתמש בגיבוי הענן, ולא פחות מ-5% מהמכשירים כפי שנכתב בספטמבר.
- בקבצים יש אישורי גישה מוצפנים ותצורה מלאה של החומה. SonicWall מבקשת לבדוק ב-MySonicWall אילו מכשירים מסומנים ולאפס אישורים.
SonicWall מסרה ב-4 בנובמבר 2025 שגורם בחסות מדינה עמד מאחורי גניבת קבצי הגיבוי של חומות האש משירות MySonicWall. לדברי החברה, Mandiant סיימה את החקירה. SonicWall לא ציינה איזו מדינה, ולא קישרה את התוקף לקבוצה מוכרת.
מה SonicWall פרסמה על MySonicWall ב-4 בנובמבר
SonicWall זיהתה בתחילת ספטמבר 2025 פעילות חשודה. מישהו הוריד קבצי גיבוי של תצורת חומות אש מהענן. החברה הפעילה את צוות התגובה שלה והזמינה את Mandiant, חברת התגובה לאירועים שבבעלות Google.
בפוסט מ-4 בנובמבר כתבה SonicWall שהחקירה הסתיימה. לדבריה, התוקף ניגש לקבצי הגיבוי בסביבת ענן אחת, באמצעות קריאת API. הפוסט לא מפרט איך בדיוק עשה זאת.
SonicWall מדגישה שהמוצרים והקושחה שלה לא היו מעורבים. לטענתה, גם קוד המקור, מערכות פנימיות ורשתות לקוחות נשארו שלמים. היא מוסיפה שהאירוע אינו קשור להתקפות הכופרה של Akira על חומות אש. מנכ״ל החברה, Bob VanKirk, פרסם גם הודעת וידאו, כך דיווח The Register.
מה יש בקבצי MySonicWall שנגנבו
ההיקף שדווח גדל עם הזמן. ב-17 בספטמבר כתבה SonicWall שהאירוע חל על פחות מ-5% ממכשירי החומה שלה. היא תיארה אז ניסיון כוח גס, ולא תקיפת כופר. בעדכון מ-8 באוקטובר, אחרי ש-Mandiant אישרה את הגישה, היא כתבה שהתוקף ניגש לקבצים של כל משתמשי הגיבוי בענן.
קבצי הגיבוי הם תמונת מצב מלאה של החומה. הם כוללים סיסמאות ומפתחות, אבל גם את כל ההגדרות. לפי SonicWall, בדגמי דור 7 ומעלה הסיסמאות והמפתחות באים בהצפנת AES-256, ובדגמי דור 6 בהצפנת 3DES. בפרטי התצורה הכלליים יש קידוד בלבד, בלי הצפנה. לכן קוראים אותם אחרי פענוח פשוט.
ההצפנה נשארה במקומה, וזה חשוב. עם זאת, SonicWall עצמה מזהירה שהחזקת הקבצים עלולה להגדיל את הסיכון להתקפות ממוקדות. מי שמחזיק בתצורה מכיר את מבנה הרשת: הכללים, השירותים הפעילים והחשבונות. זה יכול להקל על תכנון תקיפה מדויקת.
בספטמבר כתבה החברה שאין עדות להדלפה של הקבצים. מצד שני, ההיקף שדווח גדל מפחות מ-5% מהמכשירים לכל משתמשי הגיבוי. לכן עדיף להניח שהקבצים ברשות התוקף.
איך בודקים אם MySonicWall חשף אתכם
ב-SonicWall מבקשים להיכנס לחשבון MySonicWall ולבדוק אם קיימים גיבויי ענן לחומות הרשומות. שדות ריקים אומרים שאין סיכון. אם יש פרטי גיבוי, בודקים בלשונית Product Management את Issue List.
שם מסומנים המכשירים הפגועים, עם שם, תאריך ההורדה האחרון והשירותים המושפעים. הרשימה מדרגת כל מכשיר כ-Active High Priority, Active Lower Priority או Inactive. הדרגה הראשונה מיועדת למכשירים עם שירותים הפונים לאינטרנט.
מה זה אומר עבורכם
- היכנסו ל-MySonicWall: בדקו אם יש גיבויי ענן לחומות שלכם. שדות ריקים אומרים שאין סיכון.
- פתחו את Issue List: התחילו במכשירים שמסומנים Active High Priority, ואחריהם Lower Priority.
- אפסו כל אישור: SonicWall מבקשת לבדוק כל שירות עם אישורים בזמן הגיבוי. אל תסתפקו ברשימה.
- בדקו את תאריך ההורדה: אם Last Download Date ריק, SonicWall מורה לפעול מיד.
- השתמשו בכלים של SonicWall: יש מדריך Essential Credential Reset ומדריך Remediation Playbook. יש גם כלי איפוס לסיסמאות מקומיות ול-TOTP.
מה נשאר לא ידוע
SonicWall לא פירטה איזו מדינה אחראית, ולא פרסמה אינדיקטורים. גם הפוסט שלה לא מסביר באיזה API השתמש התוקף. לכן אין דרך להעריך את רשימת היעדים של התוקף. מי שמפעיל חומות SonicWall יכול לפעול גם בלי התשובה: לבדוק, לאפס ולנטר.
מקורות והרחבה
- Cloud Backup Security Incident Investigation Complete and Strengthened Cyber ResilienceSonicWall
- MySonicWall Cloud Backup File IncidentSonicWall
- SonicWall fingers state-backed cyber crew for September firewall breachThe Register
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
