שבע זהויות, עשרות חברות פיקטיביות ואדם אחד: החקירה שחשפה רשת הונאה

חברת טכנולוגיה בקליפורניה גילתה שמידע הוצא ממערכות החברה ללא הרשאה. זמן קצר לאחר מכן נעלם קבלן ה־IT שעבד איתה. הוא הפסיק לענות, מספרי הטלפון נותקו והחשבונות שהחברה הכירה נעלמו.

החשד הראשוני היה שהמידע שאליו נחשף במסגרת עבודתו משמש אותו לפיתוח פעילות מתחרה. אבל לפני שהחברה נקטה צעדים משפטיים, היא הייתה צריכה תשובות לשאלות בסיסיות הרבה יותר: מי האדם שמאחורי הזהות שהכירה, אילו חברות קשורות אליו, כמה זמן הפעילות נמשכת והאם מדובר במקרה בודד.

מה שהתחיל כחשד לאירוע סייבר הפך במהירות לחקירה דיגיטלית רחבה של זהויות, חברות, מספרי טלפון ונכסים מקוונים שנבנו לאורך שנים.

הממצא הראשון שינה את כיוון החקירה

החקירה התחילה מהזהות שהייתה מוכרת ללקוח, ומשם נבנתה מחדש טביעת הרגל הדיגיטלית שלה לאורך זמן.

כתובות דוא״ל, מספרי טלפון, דומיינים, רשומות חברות, פרופילים מקצועיים, אתרים, פרסומים עסקיים ומידע היסטורי שנשאר ברשת נבדקו והוצלבו זה מול זה. זו בדיוק הנקודה שבה איתור זהויות הופך מחיפוש אחר שם לחקירה: לא בודקים רק מי האדם טוען שהוא, אלא אילו עקבות נשארו סביב הזהות שלו לאורך השנים.

ואז הופיע הממצא ששינה את התיק.

האדם לא פעל תחת שם אחד.

במהלך החקירה אותרו יותר משבע זהויות שונות. כל אחת הציגה לכאורה איש מקצוע אחר בתחום ה־IT, עם שם אחר, תפקיד אחר ורקע מקצועי אחר. במבט ראשון לא הייתה סיבה לחשוב שמדובר באותו אדם.

החיבור נוצר רק כאשר פרטי הקשר, הדומיינים והנכסים הדיגיטליים הוצלבו.

שבע זהויות שונות התחילו להוביל לאותו מקור.

מספרי הטלפון הובילו לחברות

אחרי השמות הגיעו מספרי הטלפון.

עשרות מספרים שונים הופיעו לאורך השנים. חלקם בפרופילים מקצועיים, אחרים באתרי חברות, ואחרים כפרטי קשר של עסקים שנראו לגיטימיים לחלוטין.

משם התחילו להופיע החברות.

לכל אחת היה לכאורה כל מה שעסק אמיתי צריך: שם, אתר, כתובת דוא״ל, מספר טלפון ותיאור מקצועי של הפעילות.

אבל כאשר בוצעה בדיקת רקע מעמיקה יותר לחברות האלה, התמונה השתנתה.

בחלק מהמקרים לא נמצאה פעילות עסקית שניתן לאמת ושמתאימה לאופן שבו העסק הציג את עצמו. לא נמצאה תשתית ארגונית שתואמת את הסיפור העסקי, ובחלק מהמקרים גם האנשים שהוצגו כמנהלים או כנציגים לא היו ניתנים לאימות באופן עצמאי.

מה שנראה בתחילה כמו כמה חברות נפרדות הפך לחלק נוסף באותה חקירה.

כשפורסים את הקשרים, התמונה משתנה

כל שם, מספר טלפון, כתובת דוא״ל, דומיין, חברה וזהות מקצועית הוכנסו למפת קשרים אחת.

רק אז היה אפשר לראות את המבנה.

החברות התחברו לכינויים. הכינויים התחברו למספרי טלפון. המספרים חזרו לנכסים דיגיטליים שכבר הופיעו תחת זהויות אחרות.

במקום אוסף מקרי של שמות ועסקים, נחשפה מערכת.

שם אחד שימש מול גורם מסוים. שם אחר הופיע בהקשר עסקי אחר. חברה אחת סיפקה מעטפת מקצועית. מספר טלפון נפרד שימש לתקשורת. דומיין ואתר נתנו לזהות מראה של עסק ותיק ואמין.

כאשר זהות אחת הפסיקה להיות שימושית, אחרת יכלה להחליף אותה.

החיבור בין האנשים, החברות והנכסים הדיגיטליים הוא המקום שבו חקירות עסקיות וחקירה דיגיטלית נפגשות: כל פרט נראה סביר בפני עצמו, אבל מפת הקשרים חושפת מי באמת עומד מאחוריו.

ציר הזמן חשף דפוס שנמשך שנים

כדי להבין אם מדובר באירוע חד־פעמי או בשיטת פעולה, כל זהות, מספר, חברה ונכס דיגיטלי הונחו על ציר זמן.

כך ניתן היה לראות מתי הופיעה כל זהות, אילו מהן פעלו במקביל, אילו נכסים נשארו פעילים גם לאחר שזהות מסוימת נעלמה ואילו קשרים שרדו לאורך השנים.

הדפוס שחזר על עצמו הרחיב את החקירה הרבה מעבר לאירוע שהביא את החברה ל־UnderWave.

אותו אדם הופיע בהקשרים עסקיים שונים תחת שמות שונים, כאשר לכל זהות נבנתה לכאורה פעילות מקצועית משלה. המשך המחקר חשף קשרים נוספים לחברות ולגורמים עסקיים ברחבי ארצות הברית והעלה חשש לפעילות רחבה ומתמשכת.

בשלב הזה כבר לא היה מדובר רק בשאלה מי לקח מידע מחברה אחת.

זו הפכה לחקירה כלכלית ועסקית של מערכת זהויות וחברות שנבנתה לאורך זמן.

איך זה הסתיים

כל ממצא משמעותי תועד במקורו, הוצלב מול מקורות נוספים וחובר לשאר הממצאים בתיק מודיעיני מסודר.

המטרה הייתה לאפשר לצוות המשפטי ולרשויות להבין לא רק מה נמצא, אלא גם את שרשרת הקשרים: איזו זהות קשורה לאיזה מספר, איזה מספר הופיע באיזו חברה, ואיזה נכס דיגיטלי מחבר בין החלקים.

הלקוח העביר את החומר לרשויות אכיפת החוק.

בעקבות המידע שנאסף במהלך החקירה נפתחה חקירה פלילית.

החברה פנתה כדי לבדוק אדם אחד.

החקירה חשפה יותר משבע זהויות, עשרות מספרי טלפון, חברות שנראו אמיתיות ונכסים דיגיטליים שחיברו ביניהם.

מה שנראה בתחילת הדרך כמו אירוע נקודתי התברר כחלק מתמונה רחבה הרבה יותר.

גם כשמחליפים זהות, נשארים עקבות

אפשר להחליף שם. אפשר לפתוח כתובת דוא״ל חדשה, להשתמש במספר אחר, להקים אתר וליצור חברה שנראית אמינה במבט ראשון.

אבל כל פעולה כזאת משאירה עקבות.

דומיין שנרשם לפני שנים. מספר טלפון שהופיע בשני מקומות שלא היו אמורים להיות קשורים. כתובת דוא״ל ישנה. פרופיל מקצועי שננטש. אתר שכבר ירד מהאוויר. חברה שמציגה מנהל שלא ניתן לאמת.

העבודה בחקירת OSINT, באיתור זהויות ובבדיקות רקע אינה מסתיימת במציאת הפרטים האלה.

החלק המורכב הוא להבין אילו מהם שייכים לאותו אדם, להפריד בין צירוף מקרים לקשר שניתן לבסס, ולבנות מהם תמונה אחת עקבית.

במקרה הזה, מאחורי שבע זהויות, עשרות מספרי טלפון ורשת של חברות שנראו בלתי קשורות, הופיע שוב ושוב אותו אדם.