במשך שנים חשבנו על הקינדל כמכשיר לא מזיק לחלוטין, כמעט כמו ספר נייר עם מסך. עם זאת, המציאות היא שהוא יכול להיות גם שער להתקפות סייבר אם פגמי אבטחה מסוימים משולבים עם ספרים אלקטרוניים זדוניים. זה לא נפוץ במיוחד, אבל האפשרות קיימת, וכדאי להיות מודעים לכך כדי להימנע מהפתעות לא נעימות בנוגע למידע האישי והבנקאי שלכם.
לאחרונה, מספר חקירות של חברות כמו Check Point Research הראו כי ספר אלקטרוני פשוט יכול לשמש כדי להשתלט על קינדל , למחוק את תוכנו, להפוך אותו לבוט, או אפילו לגנוב פרטי כניסה ופרטי תשלום של אמזון. בואו נבחן מקרוב מה קרה, כיצד פעלו הפגיעויות הללו, מה אמזון עשתה כדי לתקן אותן, ומעל הכל, מה אתם יכולים לעשות כדי להשתמש בקינדל שלכם באחריות וללא פרנויה מיותרת.
האם ספר אלקטרוני יכול להדביק את הקינדל שלך בתוכנות זדוניות?
השאלה שרבים שואלים היא פשוטה מאוד: "אם אני מוריד ספרים בחינם מהאינטרנט, האם הם יכולים להדביק את הקינדל שלי בוירוס? ". התשובה הארוכה היא שלמרות שזה לא נפוץ, היו מקרים שבהם קובץ ספר אלקטרוני שעבר מניפולציה ניצל פגיעויות בתוכנת הקורא כדי להפעיל קוד זדוני.
משתמש טיפוסי עשוי להוריד ספרים אלקטרוניים לטלפון או למחשב שלו מאתרי אינטרנט חינמיים של ספרים אלקטרוניים ולאחר מכן להעביר אותם דרך USB או באמצעות התכונה 'שלח לקינדל' . עצם העובדה שהם מגיעים מאתר הורדות לא אומרת בהכרח שהם מסוכנים, אבל אם מישהו מעצב קובץ במיוחד כדי לנצל פגיעות קושחה, ספר זה יכול להפוך לווקטור תקיפה.
על פי ניתוחים שפורסמו, פורמט הספר האלקטרוני עצמו יכול להסתיר קוד מיוחד שנועד להפעיל שרשרת פרצות כאשר הקינדל מעבד את הקובץ. בפועל, משמעות הדבר היא שכאשר הספר נפתח, המכשיר מפרש באופן שגוי נתונים מסוימים, מה שמאפשר לתוקף לבצע פקודות עם הרשאות מוגברות.
ההיבט המטריד ביותר של התקפות אלו הוא שהמשתמש אינו צריך לעשות שום דבר יוצא דופן : די בהורדת הספר האלקטרוני, מתן אפשרות להגעתו למכשיר ופתיחה כמו כל ספר אחר. אין חלונות קופצים או בקשות מוזרות; הפגיעות מנוצלת ברקע.
ממצאי מחקר צ'ק פוינט על קינדל ותוכנות זדוניות
ההלם הגדול הגיע כאשר חברת המחקר Check Point Research (CPR) פרסמה חקירה שהתמקדה באבטחת אמזון קינדל . צוות מודיעין האיומים שלה החליט לנתח לעומק את קורא הספרים האלקטרוניים הפופולרי ביותר בעולם וגילה מספר פגיעויות תוכנה שאפשרו התקפות חמורות מאוד.
בבדיקה זו, חוקרים הכינו ספר אלקטרוני זדוני שתוכנן במיוחד כדי לנצל שגיאות בעיבוד הקבצים הפנימי של הקינדל . לאחר שהמשתמש פתח את הספר האלקטרוני, שרשרת תוכנות זדוניות הופעלה אוטומטית ללא צורך בפעולה נוספת: ללא כפתורים, ללא אישורים וללא התקנה נוספת.
על פי דיווחים, אם המתקפה תצליח, פושע הסייבר יוכל להשתלט באופן מלא על המכשיר . זה כלל את היכולת לגנוב את אסימון המכשיר, לגשת למידע רגיש כגון פרטי גישה לחשבון אמזון, ואפילו לפרטי בנק המשויכים לחשבון בו נעשה שימוש לרכישת ספרים או תשלום עבור מנויים כמו Kindle Unlimited.
יוסביו ניבה, המנהל הטכני של צ'ק פוינט סופטוור לספרד ופורטוגל, הסביר כי מכשירי קינדל נתפסים לעתים קרובות כמכשירים "לא מזיקים" , אך הם למעשה מחשבים מיניאטוריים המחוברים לאינטרנט. משמעות הדבר היא שהם חולקים רבים מאותם סיכונים כמו טלפון נייד או מחשב; זה פשוט שאנחנו בדרך כלל לא חושבים עליהם כמטרה בעדיפות עליונה.
בבדיקות שבוצעו, CPR אישרה כי ניתן להוריד את הספר האלקטרוני הזדוני מכל ספרייה וירטואלית : לא רק מאתרים בעלי מוניטין מפוקפק, אלא גם מחנות קינדל עצמה על ידי ניצול פונקציית הפרסום העצמי, ואפילו דרך מערכת "שלח לקינדל באמצעות דוא"ל".
כיצד פועלות התקפות זדוניות של ספרי אלקטרו בקינדל
מנגנון ההתקפה הכללי שתועד על ידי צ'ק פוינט היה פשוט יחסית מנקודת מבטו של המשתמש: הם קיבלו או הורידו ספר שנראה רגיל, פתחו אותו, ומשם הופעלה התוכנה הזדונית . המורכבות טמונה באופן שבו הקובץ ניצל פגיעויות פנימיות בקושחה של הקינדל.
בהדגמה הטכנית, הספר האלקטרוני הזדוני הצליח לבצע קוד עם הרשאות משתמש-על בתוך מערכת הקורא . זה איפשר פעולות פולשניות כגון התחברות לשרת מרוחק של התוקף, נעילת המסך, מניפולציה של תוכן האחסון הפנימי ואיסוף נתונים רגישים המאוחסנים במכשיר.
ההשלכות הפוטנציאליות חרגו הרבה מעבר להרס של כמה ספרים. צוות החייאה הדגים שהתוקף יכול למחוק את כל הספרייה של המשתמש, להפוך את הקינדל לבוט בתוך רשת זומבי כדי לתקוף מחשבים אחרים באותה רשת מקומית, או לגשת לסיסמאות, קובצי Cookie ופרטי גישה של חשבון אמזון המקושר.
יתר על כן, פגיעויות אלו פתחו את הדלת להתקפות המכוונות לפי שפה, אזור או קבוצה דמוגרפית . פרסום ספר אלקטרוני חינמי ומושך במיוחד בשפה ספציפית (לדוגמה, רב מכר רומני) מספיק כדי להבטיח שכמעט כל הקורבנות יהיו מאותה מדינה או ידברו את השפה הזו - מטרה אטרקטיבית ביותר לקמפיינים של פשעי סייבר או ריגול קיברנטי.
גורם רלוונטי נוסף שציינו החוקרים הוא שתוכנות אנטי-וירוס מסורתיות בדרך כלל אינן סורקות ספרים אלקטרוניים כאילו היו קבצי הפעלה . משמעות הדבר היא שספר שעבר שינוי למטרות זדוניות יכול להישאר בלתי מזוהה בסריקות אבטחה, להיות זמין בחינם בספריות מקוונות (כולל חנות קינדל), ולצבור הורדות מבלי לעורר חשד.
פרסום עצמי בחנות קינדל ובשירות Send to Kindle כווקטורי תקיפה
אחד ההיבטים המרכזיים בכל הסיפור הזה הוא הקלות המדהימה שבה אמזון מאפשרת הוצאה עצמית של ספרים . כל אחד יכול להעלות ספר אלקטרוני משלו, מבלי לעבור דרך הוצאה לאור מסורתית או להתמודד עם בקרות עריכה מחמירות מדי - פנטסטי עבור סופרים עצמאיים, אבל גם משהו שיכול להיות מנוצל על ידי תוקפים.
צ'ק פוינט מסבירה כי פושעי סייבר יכלו להעלות לחנות קינדל ספר זדוני במסווה של כותר חינמי, בעל מראה תמים לחלוטין. משתמשים, שנמשכו לתוכן או למחיר החינמי, היו מורידים אותו, ומאותו רגע ואילך, הפגיעות הייתה מופעלת עם פתיחת הקובץ במכשיר שלהם.
ערוץ רגיש נוסף הוא התכונה המאפשרת לשלוח מסמכים לקורא באמצעות דוא"ל , שרבים מכירים כ-"שלח לקינדל". לכל משתמש יש כתובת מיוחדת המסתיימת ב-kindle.com; כל קובץ שנשלח מכתובת מורשית הופך לספר קריא בקורא.
אם רשימת השולחים המורשים אינה מוגדרת כראוי, כל אחד יכול לשלוח קובץ לקינדל של הבעלים ללא ידיעתו. בתרחיש תקיפה, מישהו יכול לנסות לנצל את המערכת הזו כדי להחליק ספר אלקטרוני מניפולטיבי ישירות למכשיר, בביטחון שהמשתמש יפתח אותו כרגיל.
לכן, מומחים ממליצים לבדוק את הגדרות "שלח לקינדל" ולהגביל אותן לכתובות מהימנות בלבד . פעולה זו מפחיתה את הסיכון לקבלת מסמכים בלתי צפויים שעשויים להכיל תוכן זדוני שנועד לנצל פגיעויות עתידיות או לא ידועות.
חומרת הפגיעויות והסיכונים לנתוני בנקאות
הפגיעויות שהתגלו בקינדל לא היו פגמים קוסמטיים בלבד; על פי צ'ק פוינט, הן עלולות "לגרום נזק חמור" אם יפלו לידיים הלא נכונות . לא רק שלמות הקורא עצמו הייתה בסכנה, אלא גם הפרטיות והאבטחה של חשבון אמזון המשויך, כולל פרטי חיוב פוטנציאליים.
על ידי פריצה למכשיר, תוקף יכול לגנוב כל מידע המאוחסן בקינדל : החל מהטוקן הפנימי שמזהה אותו לשירותי אמזון ועד לאישורי כניסה, קובצי Cookie של סשן ונתונים טכניים אחרים המאפשרים קישור המכשיר לחשבון המשתמש.
בתרחישים קיצוניים, הדבר עלול להוביל לכך שהפושע הסייבר ירכוש תוכן בחשבון הקורבן, ייגש למידע תשלום , או ישתמש בנתונים אלה בשילוב עם גניבות אחרות לצורך הונאות מתוחכמות יותר. למרות שלא תועד קמפיין בקנה מידה גדול המבוסס על ניצול לרעה זה, הפוטנציאל היה קיים והוא ניכר.
יתר על כן, על ידי היכולת להפוך את הקינדל לבוט, התוקף הרוויח חלק נוסף בתשתית הפשיעה הקיברנטית שלו. קורא תמים לכאורה יכול היה להשתתף בהתקפות נגד מכשירים אחרים ברשת המקומית , כגון מחשבים, טלפונים ניידים או אפילו נתבים, מה שמגביר את השפעת הפריצה שיזמה ספר אלקטרוני פשוט.
מומחים מדגישים גם כי פגיעויות אלו היו אטרקטיביות במיוחד להתקפות ממוקדות , שכן ספר פופולרי מאוד במדינה מסוימת יכול להפוך לסוס טרויאני אידיאלי להגיע לאלפי אזרחים בעלי פרופיל ספציפי מאוד מבלי לעורר חשד.
ציר זמן של הבעיה ותיקון אמזון (קושחה 5.13.5)
בהתחשב בהיקף התגלית, צ'ק פוינט פעלה בהתאם להליך הגילוי האחראי שלה. בפברואר 2021, היא הודיעה לאמזון על פגיעויות האבטחה שנמצאו בקינדל וסיפקה את הפרטים הטכניים הדרושים כדי שהיצרן יוכל לחקור ולתקן את הבעיה.
לאחר ניתוח הדיווחים, אמזון פיתחה עדכון קושחה שכלל תיקון לסגירת הפגיעויות שניצל הספר האלקטרוני הזדוני . תיקון זה שוחרר באפריל 2021 כחלק מגרסה 5.13.5 של תוכנת קינדל.
העדכון הופץ אוטומטית לכל המכשירים המחוברים לאינטרנט . במילים אחרות, אם הקינדל היה מחובר באופן קבוע לרשת Wi-Fi והיו בו עדכונים אוטומטיים מופעלים, הוא היה מוריד ומתקין את הקושחה החדשה ללא כל התערבות נוספת של המשתמש.
עם זאת, קוראים רבים לרוב אינם מחוברים לפרקי זמן ממושכים או משמשים במצב מבודד מאוד, ללא סנכרון תכוף . במקרים אלה, ייתכן שהמכשיר מפעיל גרסת קושחה ישנה יותר ונשאר פגיע אלא אם כן נכפה עדכון ידני או שהוא מחובר לרשת למשך זמן מספיק.
מספר מקורות מתעקשים כי למרות שאין ראיות לקמפיין רחב היקף המנצל את הבאג הזה , הפגיעות הייתה אמיתית ופוטנציאלית מסוכנת מאוד. החדשות הטובות הן שהבעיה הספציפית שגילתה צ'ק פוינט נפתרה כל עוד מותקנת במכשיר הגרסה המעודכנת.
סיכונים של הדפדפן הניסיוני ווקטורים פחות ברורים אחרים
לא כל הסיכונים בקינדל כרוכים בספרים. ישנו גם דפדפן שנקרא "ניסיוני" , שחלק מהמשתמשים משתמשים בו מדי פעם כדי לגלוש באתרי אינטרנט פשוטים. למרות שהפונקציונליות שלו מוגבלת, הוא עדיין שער לאינטרנט, ולכן, כלי פוטנציאלי לחשיפה לתוכן זדוני.
ישנם דיווחים על אנשים המתארים כיצד, בעת גישה לאתר אינטרנט דרך דפדפן הקינדל שלהם, המכשיר החל להתנהג בצורה מוזרה , סגר את הדפדפן בפתאומיות וקפא לרגע. מחשש להתקפה אפשרית, חלקם נוקטים בצעדים דרסטיים כמו מחיקת קובצי Cookie וזיכרון מטמון, סגירת הדף ואפילו שחזור הקינדל להגדרות היצרן.
ברוב המקרים, התנהגות מסוג זה נובעת יותר משגיאות דפדפן או מאתרים שגוי ומותאמים אישית מאשר מתקפה בפועל. עם זאת, כאשר כרטיסי אשראי או חיוב, או שירותים כמו אמזון פריים, מקושרים לחשבון, הדאגה של המשתמש מובנת לחלוטין.
אם אתם מבחינים במשהו חריג בזמן גלישה בקינדל שלכם, דרך פעולה סבירה היא לסגור את הדפדפן, לנקות את נתוני הגלישה, ואם אתם חושדים, לבדוק שהמכשיר שלכם מעודכן . איפוס להגדרות היצרן הוא אפשרות דרסטית יותר שמחזירה את המכשיר למצבו ההתחלתי, מוחקת הגדרות ותוכן מקומי (אך לא ספרים המאוחסנים בענן).
חשוב להבין שבעוד שניתן מבחינה טכנית לזהות פגיעויות הקשורות לגלישה באינטרנט בקינדל, זהו לא וקטור התקיפה הנחקר ביותר וגם לא המנוצל ביותר באופן ציבורי . עיקר המוקד היה על ספרים אלקטרוניים עצמם וכיצד הם מנוהלים בתוך המערכת.
צעדים בסיסיים לשימוש בטוח בקינדל נגד תוכנות זדוניות
מעבר לפרטים הטכניים, מה שמעניין כל קורא הוא לדעת מה הוא יכול לעשות על בסיס יומי כדי למזער סיכונים . למרבה המזל, בעזרת כמה הנחיות הגיוניות, ניתן להפחית משמעותית את הסבירות לבעיות מבלי להתפשר על נוחות המכשיר.
הצעד הראשון הוא לעדכן את הקינדל שלכם לגרסת הקושחה העדכנית ביותר . אם אתם בדרך כלל משאירים אותו מנותק מהחשמל, מומלץ לחבר אותו לרשת Wi-Fi מעת לעת ולבדוק בהגדרות שהתוכנה מעודכנת. זה קריטי מכיוון שטיפוני אבטחה מסופקים באמצעות עדכונים אלה.
מומלץ גם להיזהר מהיכן מגיעים הספרים האלקטרוניים שאתם מורידים . אין מדובר בהשמצה של כל אתרי הספרים החינמיים, אלא בהימנעות מדפים חשודים, הורדות מוזרות או קבצים שמופיעים באופן בלתי צפוי. ככל שתסמכו יותר על מקור הספר, כך יקטן הסיכוי שהוא יכיל משהו חשוד.
בנוגע לתכונה "שלח לקינדל", כדאי להיכנס להגדרות החשבון שלכם ולסקור את רשימת כתובות הדוא"ל המורשות . באופן אידיאלי, היא צריכה לכלול רק את הכתובות שלכם או את אלו של אנשים ושירותים שאתם באמת סומכים עליהם. ככל שפחות כתובות דוא"ל יכולות לשלוח קבצים ישירות לקינדל שלכם, כך ייטב.
לבסוף, כדאי לזכור שקינדל, כמו טלפון נייד או מחשב, לא אמור להיות מושאל סתם כך לכל אחד כדי שיתקין דברים או יתחבר לרשתות לא ידועות . למרות שהוא אולי נראה כמו מכשיר "רק לקריאה", הוא חולק רבים מאותם עקרונות בסיסיים של היגיינה דיגיטלית כמו מכשירים מחוברים אחרים.
במבט על התמונה הגדולה, ברור שהקינדל אינו צעצוע לא מזיק, אך גם לא פצצת זמן מתקתקת. עם התיקונים ששחררה אמזון, המחקר שנחשף ואמצעי הזהירות המינימליים מצד המשתמש, קריאה בקינדל נותרה אחת הדרכים הנוחות ביותר, ובאופן כללי בטוחות ביותר, ליהנות מספרים דיגיטליים , כל עוד לא שוכחים שמתחת למסך הדיו האלקטרוני מסתתר מחשב קטן שראוי גם הוא להגנה.