אנו נוהגים לחשוב על חנות וירטואלית כדבר הבטוח ביותר שקיים, אך מבדיקה שערכנו – לרוב החנויות העבריות באינטרנט יש פרצות אבטחה חמורות. כשבמסחר אלקטרוני עסקינן אין מקום לפרצות אבטחה כלל, החומר והמידע הרגיש שמכיל האתר דורש אבטחה מקסימאלית שעליה נדבר עוד רגע.

בתמונה: חנות ישראלית לדוגמא

ככלל , רוב פרצות האבטחה נובעות מחוסר מקצועיות. כאשר מתכנת מכיר ויודע את דרכי החדירה הבנאליות של פורצים מסוימים, אין שום סיבה להשאיר דלתות פתוחות לרווחה. ברוב האתרים שבדקנו, יש פרצות אבטחה מהותיות המאפשרות לבצע שאילתות אל מול בסיס הנתונים ושלוף מידע אישי אודות הרוכשים בחנות.

נסביר בקצרה כיצד זה עובד: חנות וירטואלית וכמותה רוב האתרים בעולם, עובדים אל מול בסיס נתונים. בסיס נתונים, במילים פשוטות זו טבלה גדולה אשר מחולקת למחלקות עמודות ושורות. כאשר אתר מסוים נדרש להציג ללקוח מחיר של מוצר, קוד האתר מתחבר אל בסיס הנתונים ומבצע שאילתה מדויקת למחלקה, לעמודה ולשורה שבה מופיע מחיר המוצר. הבעיה הגדולה היא, שמתכנתים רבים לא יודעים כיצד לאבטח שאילתות לבסיס הנתונים- ובמידה והתוקף מצליח לעצור את השאילתה באמצע, הוא יוכל לבצע שאילתה חדשה לגמרי שתדפיס את השורות שירצה על מסך האתר. שיטה זו נקראת Sql Injection, זוהי השיטה הנפוצה כיום לפריצה וגניבת מידע מאתרי אינטרנט, ויש שיאמרו שפרצת אבטחה זו היא הדבר הראשון שנבדוק שלא קיים בקוד האתר שלנו.

דוגמא לפירצת אבטחה בחנות ישראלית

מה עם החנויות הוירטואליות בישראל? מסתבר שזה לא ממש מעניין אותן, ממספר בדיקות שערכנו מול חנויות וירטואליות מובילות נמצאו פרצות אבטחה חמורות- כאלו שמציגות את מידע הלקוחות שלהן בטקסט קריא ונקי.

עוד דבר מעניין בהמשך לסעיף הקודם הוא, שהמידע הרגיש שנמצא בבסיס הנתונים שבדקנו הוא לא מוצפן כלל. כלומר, הטקסט הרגיש שנשלף משורת בסיס הנתונים הופיע As is! אחת הסיבות כבדות המשקל להצפנת המידע הרגיש הוא מתקיפות Sql Injection, גם במידה ואתר כלשהוא נמצא רגיש לפרצת אבטחה מסוימת ונשלפו ממנו טבלאות של מספרי כ. אשראי; במידה וטקסט זה יהיה מוצפן ויופיע ככזה זה יוציא לתוקף את הרוח מהמפרשים, שכן לפצח מספר אשראי שהוצפן בעזרת מפתח ייקח שנים אם לא עשרות שנים.

לסיכום, בחנויות הוירטואליות בישראל לא שמים דגש על אבטחת מידע. זוהי תעודת עניות כאשר מדובר במדינה כה מפותחת. רוב האתרים שנמצאו רגישים לפרצות חמורות מבוססים Windows, מה שגורם לנו לחשוב בתמימות דעים שכנראה מתכנתים בשפת ASP פחות מוכשרים ממתכנתי PHP (בסביבת לינוקס). עם זאת, אתר קניות מאובטח היטב זוהי לא פריבילגיה, אלא זוהי חובה ממעלה ראשונה וכולנו תקווה שמדיניות אבטחת המידע הזו תשתנה בעתיד הנראה לעין.