אין ספק שתחום הסייבר לוהט, אך האם אנחנו נמצאים בבועה? האם הזינוק במניות של חברות הסייבר והכסף הרב שזורם לחברות הזנק בתחום הם חלק מ"הייפ" ותו לא? כלכלני מריל לינץ' בנק אוף אמריקה בחנו את מצב הסייבר בעולם, והגיעו למסקנה חד־משמעית — לא, תחום הסייבר אינו בועה, שכן הצמיחה בענף מתרחשת מול איומים אמיתיים שרק גוברים. הם מעריכים כי היקף הענף יגיע ל–170 מיליארד דולר ב–2020, לעומת 75 מיליארד דולר בשנה כיום.
פרשת אדוארד סנודן וה–NSA הפכו את סוגיית הפרטיות ואבטחת המידע למאבק אזרחי, ולנושא שמעניין את המשתמש הסופי (בעיקר כשהפריצה המתוקשרת האחרונה היתה ל"אתר הבגידות" אשלי מדיסון); ההיי־טק הישראלי נהנה מאוד מהעניין העצום בתחום הסייבר (ראו מסגרת); ואפילו במערכת הפוליטית הישראלית יש העושים במונח שימוש תועמלני.
כלכלני מריל לינץ' נדרשו לסוגיה, וחיברו דו"ח ענקי בנושא, תחת הכותרת "You've been Hacked!". הם נשענו על פרסומים רבים אחרים — שביניהם דו"חות של נורטון, יבמ, גאלופ, מקאפי, PwC, גרטנר ואחרים.
במריל לינץ' מתחילים בניתוח מצב מפת האיומים כיום. על פי הבנק, ישנם 80–90 מיליון אירועי סייבר בשנה, או 250 אלף התקפות ביום. נתון זה מבוסס על דיווח של יבמ לגבי התקפות על לקוחות אמיתיים שלה.
לפי מריל לינץ', 70% מההתקפות כלל לא מזוהות או מטורפדות. במקרים של התקפות מורכבות — גם מבין אלו שכן מזוהות, כמחצית מתגלות רק לאחר 205 ימים. "החברה הממוצעת (הכוונה היא לתאגידים; א"ז) חוותה 109 התקפות בשנה החולפת, כשהענפים המותקפים ביותר הם פיננסים וביטוח, תקשורת, מחשוב, תעשייה וקמעונות. הסייבר הוא איום גם ברמה הלאומית, עם התקפות נגד תשתיות קריטיות, והיעד מספר אחת מביניהן הוא מגזר האנרגיה", נכתב.
בדו"ח מצוטט נתון של PwC שלפיו בין 2009 ל–2014 מספר המתקפות המזוהות גדל ב–66% בכל שנה. "מתקפות הסייבר צמחו ב–600% בעשור, לעומת קיטון של כ–20% במקרי הרצח. הנתון שלפיו אמריקאים חוששים יותר מפריצה וירטואלית לעומת כל פשע אחר, כולל פריצה פיזית, לא צריך להיות מפתיע", נכתב בעבודה. על פי לשכת הסחר האמריקאית, התלונה השכיחה ביותר של צרכנים ב–15 השנים האחרונות היא גניבת זהות וירטואלית — דבר שקורה ל–26 מיליון אמריקאים בכל שנה.
למרות המגוון שקיים בסוגי התקפות סייבר, בסוף צריך כנראה גם טעות אנוש כדי להיכנס בדלת. בדו"ח נכתב כי "95% מהמתקפות מתאפשרות בגלל טעות אנוש", וכי ב–55% מאירועי הסייבר היה מעורב "אינסיידר" — גורם פנים ברשת הארגונית שהותקפה, שסייע למתקפה בין אם מרצון ובין אם שלא בכוונה.
"עברייני סייבר קטנים", מוסבר, "הם האיום החיצוני מספר אחת לניצול פיננסי, כמו מכירת פרטי כרטיס אשראי בשוק השחור. האיומים הנפוצים ביותר הם עדיין תוכנות זדוניות (malware), דואר זבל והתקפות פישינג (התקפות שבהן מנסה התוקף לגרום לקורבן ללחוץ על לינק זדוני או להוריד קובץ זדוני; א"ז). נכון לרבעון הראשון של 2015 קיימות כ–400 מיליון תוכנות זדוניות". הנתון האחרון מבוסס על מאגר המידע של מקאפי, חברת אבטחת המידע של אינטל.
החדשות הטובות הן שיש ירידה הן בכמות דואר הזבל בעולם והן במתקפות פישינג, אך לפי מריל לינץ' כבר נוצר דור חדש של איומי סייבר "מעבר למתקפות מניעת שירות מבוזרות (DDoS), שהן כבר הסיבה מספר אחת להשבתת רשתות ב–2014". במריל לינץ' מזהירים כי אנו עומדים בפתחו של Nextgen — דור חדש של מתקפות מתוחכמות יותר, שכוללות התבססות על "חורי" אבטחה, שאינם מוכרים לחברת האנטי־וירוס. הדו"ח מזכיר גם מתקפות מסוג ATP — התקפות עיקשות שמכוונות ליעד ספציפי.
עוד מזהירים בדו"ח מפני התקפות נגד רשתות חברתיות, תשתיות מחשוב ענן ומכשירים חכמים המחוברים לרשת. סוג מתקפה נוסף שנמצא בצמיחה הוא תוכנות כופר (ransomware). לדוגמה, ממש בימים אלה התפרסמה אפליקציה לסמארטפון שמתחזה לאפליקציית פורנוגרפיה, שמצלמת את המשתמש בחשאי ואז דורשת שיעביר 300 דולר, ולא — יעלו תמונות שלו לרשת.
בקצה ספקטרום האיומים נמצאים ריגול מבוסס סייבר וטרור מבוסס סייבר. המקרה המוכר ביותר של שימוש במתקפת סייבר לצורכי ריגול הוא של התולעת סטוקסנט, שהתגלתה במתקני הגרעין באיראן, ואת תפקידה בהשבתת הצנטריפוגות בכור בנתנז.
הנה נתון מדהים מהדו"ח: "ההיקף של נזקי הסייבר בעולם מוערך ב–375–575 מיליארד דולר בשנה — כ–1% מכלל התמ"ג העולמי. זהו נזק דומה לזה שגורמים כל הסמים הנרקוטיים. פשיעת סייבר פוגעת במסחר, בתחרותיות, בחדשנות ובצמיחה הכללית". במריל לינץ' מעריכים כי נפח הכלכלה שחשופה לסיכון יגיע ב–2020 ל–3 טריליון דולר.
"העלות הממוצעת של התמודדות עם איומי ומתקפות סייבר לתאגיד אמריקאי היא 12.7 מיליון דולר, 8.1 מיליון דולר לחברה גרמנית, 6.9 מיליון דולר לחברה יפנית ו–6.4 מיליון דולר לחברה צרפתית", נכתב בדו"ח. במריל לינץ' מעריכים כי עלות פרצה אחת לחברה אמריקאית היא 6.5 מיליון דולר בממוצע. התעשיות שסבלו ממתקפות סייבר בצורה הקשה ביותר ב–2014 הן הבריאות, החינוך, הפיננסים והטלקומוניקציה.
היעד העיקרי להתקפות סייבר הוא תאגידים גדולים, וזאת בגלל בסיס הלקוחות הרחב שלהם. עם זאת, לפי PwC ישנו גידול בהתקפות על חברות בינוניות (שמעסיקות פחות מ–250 עובדים) מכיוון שהן מודעות פחות לאיומים ויכולת ההתגוננות שלהן נמוכה יותר.
אז מה עושים? מתמגנים עד צוואר. חברות הסייבר מכרו בסכום מצרפי של 75 מיליארד דולר ב–2014, ובמריל לינץ' מעריכים כי סכום זה יגדל פי 2.2 לכ–170 מיליארד דולר ב–2020.
במריל לינץ' טוענים כי חל גידול במודעות של הנהלות ומועצות מנהלים לאיום הסייבר, וכי חברות שספגו פריצה חמורה שילמו מחיר כבד במחיר המניה. למעשה, כבר יש ניצנים של תביעות נגד חברות ציבוריות שהתרשלו לכאורה בשמירת המידע.
"השוק יגדל כי הגישה הישנה של 'פתרון אחד לכולם' כבר לא מחזיקה מים, וכי ארגונים נאלצים לאמץ כמה כלים ספציפיים לפי מפת האיומים שלהם", מעריכים בדו"ח. כלים אלה צריכים לתת מענה לצורכי החברה לפני, בזמן ואחרי המתקפה. אנו צופים גידול בכלי אנליטיקה למתקפות, מערכות מענה אוטומטיות, מערכות הגנה לענן ומערכות לתשתיות קריטיות, מסחר מקוון ותשלומים. בנוסף, יצמחו פתרונות לאינטרנט של הדברים, כלי הצפנה, אבטחת מובייל, חומת אש, אבטחת רשת ומודיעין סייבר".
כבר כיום הוצאות של ארגונים על הגנת סייבר מוערכות ב–6% מתוך כלל הוצאות ה–IT, מול 2% בלבד ב–2010. באותו זמן, גם ממשלות מגדילות את תקציבי הסייבר שלהן. ישראל, למשל, מקימה חמ"ל סייבר לאומי (CERT) בעלות של 100 מיליון שקל, ורשות סייבר לאומית בתקציב של כ–200 מיליון שקל בשנה.
גם אם אינכם עובדים בחברת סייבר מרגשת, עדיין תוכלו ליהנות מהגאות בשוק באמצעות החזקה של מניות סייבר, כותבים במריל לינץ'. הבנק מתייחס למדד מניות סייבר המכונה ISE Cybersecurity Index, ומציין כי התשואה שלו גברה על מדד S&P 500 ב–20% מתחילת השנה, ב–60% ב–12 החודשים האחרונים וב–110% מאז ינואר 2011. "אלו הן מניות המדורגות בהמלצת קנייה. אנחנו מאמינים כי תעשיית הסייבר היא תעשייה עם אופק צמיחה לטווח ארוך קדימה", אומרים במריל לינץ'.
המדד מורכב מכ–50 חברות ציבוריות גדולות, שביניהן מספר חברות ישראליות או ישראליות למחצה: פאלו אלטו, צ'ק פוינט, אימפרבה, רדוור וסייבר ארק. במדד גם חברות שפתרונות אבטחה הם רק חלק מהפורטפוליו שלהן, כמו סיסקו וג'וניפר.
גם בתחום ההזנק יש פריחה. על פי הדו"ח, ב–2014 בוצעו 224 השקעות בחברות סייבר, בהיקף מצרפי של 2.4 מיליארד דולר. ב–2014–2015 נרשמו 59 עסקות רכישה של חברות סייבר.
ענף הסייבר בשוק הפרטי לוהט. מצד אחד חברות ענק כמו צ'ק פוינט ופאלו אלטו מטפסות בבורסות, ומצד שני סטארט־אפים נמכרים בסכומים גדולים. לפי ראש מטה הסייבר הלאומי, ד"ר אביתר מתניה, מתחילת 2015 חברות סייבר ישראליות גייסו כ–250 מיליון דולר — קרוב ל–20% מההשקעות בסייבר בעולם.
יותר מ–25 חברות רב־לאומיות מקיימות בישראל פעילות בתחום הסייבר, ובמחצית הראשונה של 2015 נרכשו 14 חברות סייבר ישראליות בסכום כולל של 1.3 מיליארד דולר. מתניה הוסיף כי ישראל נמצאת בעמדת זינוק מצוינת מבחינת תעשיית הסייבר, וכי כבר כיום פועלות במדינה כ–250 חברות בתחום — כמחציתן חברות הזנק שקמו בחמש השנים האחרונות.
בשבוע שעבר הודיע ראש הממשלה, בנימין נתניהו, על תוכנית קידום לבאר שבע כבירת הסייבר. עלות התוכנית למשלם המסים תהיה כ–350 מיליון שקל בשנה, והיא צפויה להגדיל את שכר עובדי ההיי־טק בתחום הסייבר בעד 30%. הדבר אינו מפתיע, שכן "סייבר" היא אחת המלים השכיחות בנאומיו של נתניהו, שעבורו מדובר ככל הנראה בדרך נוספת להעביר כספים לתקציב הביטחון.
בנוסף, ממשלת ישראל מקימה חמ"ל סייבר לאומי (CERT), והופכת את מטה הסייבר הלאומי לרשות ממשלתית שתעסיק כ–250 עובדים — מה שיעלה למדינה מאות מיליוני שקלים נוספים בשנה.