עבודות שירות להאקרים שבגיל 16 מכרו התקפות סייבר על אלפי אתרים

בית משפט השלום בכפר סבא התיר לפרסום נוסח מצונזר של גזר דין שהוטל על שני האקרים מישראל שביצעו התקפות סייבר על מספר רב של אתרי אינטרנט ברחבי העולם. בסיומה של חקירה התברר כי מי שאחראי על ההתקפות הם לא אחרים משני נערים בגילאי 16 ו-17.

בחקירה התברר כי שני הקטינים הקימו אתר עסקי שהציע מתקפות סייבר בתשלום, לפי הזמנה, על אתרי אינטרנט במטרה לגרום לקריסתם. בתקופה בה הפעילו שני הנערים את העסק שלהם, מחודש יולי 2014 ועד מעצרם בספטמבר 2016, נערכו באמצעות האתר שהקימו כשני מיליון התקפות על שרתים ואתרים בעולם, עבור 8,000 לקוחות שרכשו אצלם באתר את "תוכנת התקיפה". ההאקרים הצעירים גרפו רווח לא רע לגילם – 613 אלף דולר שלקוחותיהם שילמו להם בחשבונות PayPal ובמטבע דיגיטלי (ביטקוין).

הפרשה כבר גרמה לביטול הליכי גיוס של אחד הקטינים ליחידה 8200, וסנגוריהם של הנאשמים – עורכי הדין מעיין חיימוביץ, פרח ארוך ומתן סדן – ביקשו לבטל את הרשעתם לאור גילם הצעיר במהלך ביצוע העבירות, והליכי השיקום שעברו בינתיים. השופט מיכאל קרשן התחשב בנימוקים המקלים בערבון מוגבל בלבד, והחליט לגזור על הנאשמים, בני 22 כיום, שישה חודשי עבודות שירות בפתח חייהם הבוגרים.

חבילות תקיפה במגוון מחירים
כתב האישום בו הודו הנאשמים גולל את פרטי המיזם שהקימו בגיל ההתבגרות, בתחכום טכנולוגי רב, תוך שילוב כלי הסוואה המאפיין את המתקדמים מבין ההאקרים. הקטינים למדו עצמאית שפות תִכנּות, אבטחת מידע וכלי תקיפה, ויצרו קשרים עם האקרים ברחבי העולם. בגיל 16, כאשר הם תלמידי תיכון, הוציאו לפועל את המיזם העסקי: פלטפורמה המציעה "חבילות תקיפה" של אתרים.

התקיפות מסוג DDoS יצאו לפועל באמצעות תוכנה שבנו הקטינים, המחוללת שרשרת פעולות שבבסיסן זיוף של כתובת המחשב (IP) השולח את הפקודות. המתקפה מתבצעת על ידי שליחת מספר רב של חבילות מידע אל השרתים המותקפים, באמצעות מספר רב של מחשבים תוקפים, במטרה ליצירת עומס על השרתים עד לקריסתם. לצורך שיגור המתקפות ניצלו הנאשמים עשרות אלפי שרתים ציבוריים, ששימשו כן-שיגור, בהם איתרו פרצות אבטחה. התוכנה שבנו שלחה שאילתה לעשרות אלפי שרתים אלה, אשר שלחו תשובה מוגברת אל כתובתו של שרת-היעד, עד לנפילתו.

הפלטפורמה נוהלה בתחכום מרשים, כולל גרסה של אתר בסינית ושיתוף 15 "מפעילים" שקיבלו הרשאת מנהלים באתר, וסייעו בתמיכה טכנית. השירות הפלילי הוסווה כחוקי, כשירות של "בדיקת עומסים" לאתרים. 76 אלף לקוחות נרשמו לשירות בשנתיים, 8,000 מהם רכשו "חבילת תקיפה" מתוך 13 סוגי חבילות שונות שמחיריהן תומחרו על ידי הקטינים החל מ-20 דולר ועד 499.99 דולר.

אחד משני הקטינים דאג לרכיב החשוב ביותר, הסוואת זהותם. התקשרות עם חברה אמריקאית סיפקה להם שרתים ושרותי אחסון בהונגריה, ואותה חברה סידרה להם גם רישום של חברת קש בכתובת באנגליה, תחת שם בדוי. הנאשמים פרסמו את שירותיהם בטוויטר ובפורומים ייעודיים, וקידמו את האתר בגוגל. לגביית התשלומים, הם פתחו חשבונות ביטקוין ו-PayPal. לפי כתב האישום, הם ביצעו כ-2,500 מתקפות בממוצע ליום על אתרים בארץ ובעולם. חלק מהכספים שקיבלו משכו לחשבונות בנק על שמם וחשבון בנק על שם אמו של אחד מהם, מה שזירז בסופו של דבר את חשיפתם.

הקטינים הורשעו בשורת עבירות מחשב: פעולות אסורות בתוכנה, שיבוש או הפרעה למחשב ומידע כוזב. זאת לאחר שסנגוריהם, עורכי הדין ארוך וסדן (הנאשם 1) ועו"ד חיימוביץ (נאשם 2) באו בדברים עם מחלקת הסייבר בפרקליטות והגיעו להסדרי טיעון "פתוחים". הנאשם 1 הורשע בעבירה נוספת של פגיעה בפרטיות, בעניין אחר, על כך שהעביר לחברו תמונות אינטימיות שקיבל מקטינה אשר דיברה איתו ברשת סקייפ.

עבירות ותוצאות
תובעת מחלקת הסייבר הדגישה בטיעוניה את היקף הפעילות העבריינית והתוצאה, למרות שמדובר בעבירות סייבר "לבנות" – גרימת נזק לעשרות אלפי אתרים והארגונים העומדים מאחוריהם. לדברי הפרקליטות, "לאחר שהביאה בחשבון את גילם הצעיר של הנאשמים", ביקשה לגזור עליהם תשעה חודשי עבודות שירות. אגב, התיק לא התנהל בבית משפט לנוער מאחר שכתב האישום הוגש כאשר הנאשמים היו בני 19.

הסנגורים הדגישו בטיעוניהם את הבנתם המוגבלת של הקטינים לחומרת מעשיהם אז – והבנתם השונה היום. עו"ד חיימוביץ ציינה כי מרשה היה בן 14 כאשר החל בביצוע המעשים. עורכי הדין ארוך וסדן שייצגו את הנאשם 1 ציינו כי היה בן 15, אבל האתר שהקים נשען על אתר קודם שהתחיל לפתח עוד כשהיה בן 12.

שני הצעירים שולבו בטיפול בשירות המבחן, ולגבי נאשם 2 מסר השירות המלצה קונקרטית להימנע מהרשעתו, על מנת שיוכל לשמור על מקום עבודתו וימשיך את השיקום. הצעיר אמר כי היה מודע לכך שמעשיו בעיתיים, אולם לא הבין את חומרתם, והם "תיקנו" דימוי עצמי נמוך וכישלונות שחווה בבית הספר. קצין המבחן קבע כי הצעיר "לא ניחן בדפוסים מרמתיים ואינו מחזיק בעמדות עברייניות". עו"ד חיימוביץ ביקשה להקל בעונש גם משיקולי הגנה מן הצדק, בשל פרסום שמו של הנאשם באחד העיתונים בתחילת החקירה, תוך הפרת צו איסור פרסום, ומאחר שתיקים נגד האקרים אחרים שסייעו לנאשמים – נסגרו.

השופט קרשן דחה את הבקשות לביטול ההרשעה, לדבריו מאחר שהנאשמים ביצעו "עבירות מחשב רבות ומשמעותיות, שפגעו קשה בחברות ובארגונים". מנגד הביא בחשבון את גילם בעת הביצוע, וציין כי "מקרים מסוג זה לא נדונו עד כה בבתי המשפט". למרות השלכות העשויות להיות להרשעה על תעסוקתו של אחד הנאשמים,  השופט קרשן קבע כי "לנאשם יכולות יוצאות דופן בתחום המחשבים ובטוחני שלא יתקשה במציאת עבודה אחרת התואמת את כישוריו ומרצו".
השורה התחתונה: שני הנאשמים יבצעו שישה חודשי עבודות שירות וישלמו קנס של 25 אלף שקל כל אחד, נוסף על חילוט של 600 אלף שקל – הכספים שנתפסו.
תגובת מחלקת הסייבר בפרקליטות המדינה: "תיק זה חושף תופעה של הצעת שירות של מתקפות סייבר פליליות בעבור בצע כסף. מדובר במתקפות שעלולות להשפיע על רבבות מחשבים ברחבי העולם ושנזקן לנפגעים עלול להיות נרחב. חרף העובדה שהנאשמים ביצעו את העבירות בהיותם קטינים, בית המשפט מצא לנכון לגזור ענישה ממשית עליהם".