ניסרגה אדהיקארי, חוקר אבטחת מידע הודי בן 19, מצא את עצמו השבוע ברשימת ההוקרה של משרד המשפטים האמריקני, לאחר שדיווח על חולשת אבטחה משמעותית באחת ממערכות המשרד.
לפי דיווח ב-Gulf News, אדהיקארי סיפר כי במהלך מחקר שביצע באתרי משרד המשפטים האמריקני, הוא גילה פרצת אבטחה קריטית באחת ממערכות אכיפת החוק של המשרד. הוא העביר את הממצאים דרך ערוצי הדיווח הרשמיים, ולאחר בדיקה קבע המשרד כי מדובר בחולשה תקפה. על פי אדהיקארי, התקלה תוקנה בתוך כשבוע.
בעקבות הדיווח הופיע שמו בעמוד ההוקרה של תוכנית חשיפת החולשות של משרד המשפטים, המעניקה הכרה לחוקרי אבטחה שמאתרים בעיות במערכות הממשלתיות ומדווחים עליהן בצורה אחראית. אדהיקארי ציין כי לא קיבל תשלום עבור הגילוי.
גם מערכת של צבא ארה"ב על הכוונת
זו לא הפעם הראשונה שבה הצעיר מדווח על בעיית אבטחה במערכת ממשלתית אמריקנית. לדבריו, הוא איתר גם חולשה הקשורה למערכת של משרד ההגנה האמריקני או הצבא האמריקני, דיווח עליה לגורמים המתאימים והפגם אושר כתקף. נכון למועד הדיווח, הטיפול בחולשה זו עדיין נמשך. הוא אף קיבל אות תודה באמצעות פלטפורמת HackerOne, המשמשת גופים רבים לקבלת דיווחי אבטחה מחוקרים.
הפרטים הטכניים של הפרצות לא פורסמו, וגם המערכות המדויקות שנפגעו לא נחשפו, ככל הנראה כדי שלא לאפשר ניצול שלהן בידי גורמים זדוניים.
הפרצה שהפכה אותו לשם מוכר בהודו
אדהיקארי כבר זכה לפרסום מוקדם יותר השנה לאחר שחשף חולשות במערכת On-Screen Marking של ה-CBSE, המועצה המרכזית לחינוך תיכוני בהודו, המשמשת בין היתר לטיפול בנתוני בחינות וציונים.
לדבריו, הוא דיווח על הבעיות ל-CERT-In, צוות החירום הלאומי של הודו לאירועי סייבר, כבר בפברואר, ורק בחודש מאי פרסם מידע על הממצאים. הפרשה העלתה שאלות בנוגע לאופן שבו נשמר ומאובטח מידע רגיש הקשור למערכת הבחינות.
החשיפה גם סייעה לקדם את הקריירה המקצועית שלו. בהמשך הצטרף אדהיקארי ל-C3iHub של IIT Kanpur, מרכז המתמחה בתחומי אבטחת סייבר, שם הוא עובד בתחום המודיעין ממקורות גלויים, OSINT, ומודיעין איומים.
"דירוג אינו יכולת"
מעבר לעבודתו בתחום הסייבר, אדהיקארי עורר תשומת לב גם בזכות ביקורת שהשמיע על מערכת החינוך בהודו. לדבריו, הסתמכות מוגזמת על ציונים, דירוגים ומבחנים עלולה להביא להחמצתם של צעירים בעלי יכולות טכנולוגיות מעשיות יוצאות דופן.
הוא הבהיר כי אינו מתנגד לעצם קיומם של מבחנים, אך לטענתו הישגים במבחנים אינם בהכרח מעידים על היכולת לבנות מערכת מחשב, להבין אותה או להגן עליה מפני מתקפות.
