ניתוח שלושה מתקפות סייבר אמיתיות מ-2026

עבריינים דיגיטליים כבר לא מבזבזים שעות בניסיון לנחש סיסמה מסובכת. הרבה יותר קל לבנות מצב אמין ולתת לקורבן לפתוח את הדלת בעצמו. רק בספטמבר 2026, שלושה מקרים מתועדים היטב מראים עד כמה הפכו ההצגות הללו למתוחכמות. הנה הניתוח שלהם, שלב אחר שלב, יחד עם העקבות שכל אחת מהן משאירה בכל זאת.

מקרה 1: הצעת העבודה שמתקינה מרגל

התרחיש כמעט שגרתי: הודעה בלינקדאין או בדוא"ל מציעה משרה מותאמת אישית, בשכר גבוה מאוד. כדי „לעבור לשלב הבא”, מספיק לפתוח את תיאור המשרה המצורף, או לבצע מבחן טכני קטן. סוג כזה של מסע פרסום, שתועד על ידי כמה חברות אבטחה וקושר לקבוצות מאורגנות (ובהן מבצע המכונה Contagious Interview, שלפי ניתוחים שפורסמו בקיץ האחרון פגע ביותר מ-30,000 מכשירים), מכוון בעיקר למפתחים ולעובדי הייטק.

מה קורה ברגע שפותחים את הקובץ:

• תפאורה אמינה: ההודעה מגיעה מחשבון פרוץ או מדומיין כמעט זהה לזה של חברה אמיתית, מה שמאפשר לה לעקוף את הסינונים הרגילים.
• מכל בלתי שביר: תיאור המשרה מגיע בארכיון ZIP מוגן בסיסמה, או כקובץ תקליטור מסוג ‎.ISO‎. בלי הסיסמה, תוכנת האנטי-וירוס של שירות הדוא"ל אינה יכולה לבדוק מה נמצא בפנים, והיא מאפשרת לקובץ לעבור.
• מפעיל בלתי נראה: בתוך הארכיון נמצא קובץ בשם, לדוגמה, תיאור_המשרה.pdf. למעשה זה אינו PDF, אלא קיצור דרך של Windows‏ (.LNK‎) שמסתיר פקודה בלתי נראית.
• גניבת מפתחות ללא סיסמה: ברגע שהקיצור נפתח, תוכנה שקטה מעתיקה את עוגיות ההתחברות שכבר שמורות בדפדפן. התוקף יכול אז להתחבר ל-Slack, ל-Gmail או לרשתות חברתיות בלי שיזדקק אי-פעם לסיסמה או לקוד האימות הדו-שלבי (MFA) של הקורבן.

העקבות: ארכיון נעול מטעה את תוכנת האנטי-וירוס, לא את השרתים. ההודעה בכל זאת עברה דרך שולח ושרת שליחה שניתן לזהות, בדיוק כפי שמתואר במדריך פישינג: איך תוקפים מצליחים להעביר את הודעות הדוא"ל שלהם. עוגייה גנובה מעניקה גישה זמנית, לא גישה קבועה: ניתוק ההתחברות מרחוק והחלפת הסיסמאות עדיין יעילים ברגע שהתחבולה מתגלה.

מקרה 2: מתנת „Claude Max” המזויפת, חלון בתוך חלון

באמצע ספטמבר 2026 החל להסתובב דף הטוען כי Anthropic, יוצרת Claude, חוגגת 100 מיליון משתמשים על ידי חלוקת 10,000 מנויי Claude Max חינם. אין דרישה לכרטיס אשראי: רק התחברות עם חשבון Google. את המלכודת תיעדו כמה חוקרי אבטחה, ובהם Malwarebytes, ימים ספורים בלבד לפני כתיבת מדריך זה.

המנגנון, בנוי בקפידה רבה:

• תחושת ביטחון מזויפת: האתר משעתק את הלוגו והצבעים האמיתיים, מציג ביקורות מזויפות של חמישה כוכבים, וכותרת התחתית שלו מפנה כמעט לחלוטין לדפים אמיתיים של Anthropic. היעדר כל דרישה לכרטיס אשראי מרגיע את הקורבן.
• דחיפות מזויפת מתוזמנת: מונה מציג מספר הולך ופוחת של מקומות שנותרו. מדובר בסקריפט פשוט שרץ בתוך הדפדפן: הוא חוזר לאותו מספר בכל רענון של הדף, בלי לספור דבר אמיתי.
• חלון מצויר, לא פתוח („browser-in-the-browser”): לחיצה על „התחברות עם Google” אינה פותחת שום חלון מערכת אמיתי. הדף עצמו מצייר חלון מזויף ישירות בתוך המסך, כולל שורת כתובת מזויפת המציגה accounts.google.com וסמל מנעול אבטחה.
• היירוט: פרטי ההתחברות שהוקלדו בחלון הזה נשלחים ישירות לשרתי התוקפים, שמקבלים בכך את חשבון ה-Google, ולעיתים קרובות יחד איתו גם גישה ל-Gmail, למסמכים ולכל שירות המחובר דרך Google, כולל חשבונות בינה מלאכותית אחרים.

הדרך הפשוטה ביותר לבדוק חלון התחברות חשוד: לנסות לגרור אותו מחוץ לדפדפן בעזרת העכבר. חלון מערכת אמיתי יוצא ללא בעיה; חלון שרק צויר על ידי הדף יישאר תקוע בתוכו.

גניבת עוגיות התחברות (מקרה 1) או יירוט סיסמה מאחורי חלון מזויף (מקרה 2) מכוונים לאותה נקודה בדיוק: לעקוף את ההתחברות במקום לפרוץ אותה. המדריך AiTM: כשהפישינג גונב את ההתחברות שלך, לא רק את הסיסמה מפרט וריאציה קרובה מאוד, המסוגלת לעקוף אימות דו-שלבי בזמן אמת.

מקרה 3: Revolut, כשדליפת מידע הופכת להונאה מותאמת אישית

ב-12 בספטמבר 2026 אישר הבנק המקוון Revolut כי מסר מידע על חלק מלקוחותיו לגורם שלישי בלתי מורשה. אין כאן שום פריצה למערכות: התוקף פשוט שלח בקשת מידע רשמית מזויפת, מכתובת דוא"ל השייכת לדומיין אמיתי של רשות ממשלתית, שכפי הנראה נפרץ או זויף. משוכנעת שהיא עונה לבקשה לגיטימית, מסרה הצוות של Revolut תיקי לקוחות הכוללים שמות, תאריכי לידה, כתובות, מספרי טלפון ולעיתים גם צילומים של תעודות זהות.

ימים אחדים לאחר מכן קיבלו הלקוחות שנפגעו הודעות SMS מדויקות מאוד, שהתריעו על פעולה חשודה בחשבונם:

• ה-SMS המולכד (smishing): חמושים במידע אמיתי שנגנב, שולחים התוקפים הודעות מותאמות אישית. חלקן מופיעות ישירות באותה שרשרת שיחה שבה מופיעים הודעות ה-SMS האמיתיות של Revolut בטלפון של הקורבן, מה שהופך אותן לאמינות עוד יותר.
• היועץ המזויף (vishing): לעיתים מגיעה בעקבות זאת שיחת טלפון, המתחזה למחלקת מניעת ההונאות. מכיוון שבן השיח כבר יודע את שם הקורבן ואת הפעולות האחרונות שביצע, האמון נבנה מהר. הוא עשוי אז לבקש לאשר התראת דחיפה או להקריא קוד שהתקבל ב-SMS, בתואנה של „ביטול העברה הונאתית”.
• התפנית: למעשה, אישור הקוד או ההתראה הזו מתיר בזמן אמת העברה של כספי הקורבן עצמו לחשבון הנשלט על ידי התוקף.

Revolut הבהירה כי מערכותיה וכספי לקוחותיה לא נפגעו ישירות מדליפת מידע זו, וכי החברה לעולם אינה מבקשת קוד התחברות ב-SMS או בטלפון. זוהי בדיוק הנקודה שקמפיינים של vishing מנסים לגרום לקורבן לשכוח, בעיצומו של הרגע.

שלושה מקורות שתועדו פומבית בנוגע לפרשה זו: אישור הדליפה על ידי Revolut, כפי שדיווח TechCrunch, ניתוח הודעות הפישינג על ידי Malwarebytes, וסיקור גל ה-smishing על ידי Infosecurity Magazine.

העקבות: מידע שנגנב באמצעות ניצול אמון מנהלי נשאר מידע גנוב: הוא יכול להזין הודעות ממוקדות במשך חודשים. עובדה שבקשה מגיעה מדומיין אמיתי לעולם אינה מבטיחה את יושרו של השולח, בדיוק כפי שהודעת דוא"ל שעוברת בהצלחה בדיקות SPF ו-DKIM עדיין יכולה להשתייך לנוכל (ראו פישינג: איך תוקפים מצליחים להעביר את הודעות הדוא"ל שלהם).

מה משותף לשלושת המקרים הללו

שלושה מנגנונים שונים מאוד, אך מטרה משותפת אחת: לשאול אות אמון שהקורבן אינו יכול לאמת במבט חטוף.

אף אחת משלוש המתקפות הללו אינה „פורצת” דבר טכנית: כל אחת מהן חוטפת אלמנט שלמדנו לראות בו סימן מרגיע (אנטי-וירוס שמאפשר מעבר, חלון שנראה רשמי, דומיין מוסדי), כדי להשיג את מה שסיסמה חזקה כבר אינה מספיקה כדי להגן עליו לבדה.

איך להתחמק ממלכודות אלו ולפעול בפועל

מול מתקפות שמראן כמעט מזויף לחלוטין, הסתמכות על העיניים בלבד כבר אינה מספיקה:

• להסתכל על המקור האמיתי, לא על התצוגה: שם השולח או הדומיין המוצגים על המסך מתאפרים בקלות. הדבקת הודעת הדוא"ל המלאה בתוך Baitback מאפשרת לאתר את שרת השליחה האמיתי, את ספק האחסון שלו ואת כתובת הדיווח על שימוש לרעה, בנוסף לבדיקות SPF, DKIM ו-DMARC.
• לבצע בדיקת גרירה על כל חלון התחברות שמופיע לאחר לחיצה (ראו איור 2): אם הוא מסרב לצאת מהדפדפן, זהו לא חלון מערכת אמיתי.
• להחליף ערוץ לפני שפועלים לפי שיחה או SMS בלתי צפויים, גם אם הם „חתומים” על ידי „הבנק” או „משאבי אנוש”: להתקשר בעצמכם למספר רשמי, בלי לעבור דרך ההודעה שהתקבלה.
• לעולם לא להקריא קוד או לאשר התראת דחיפה לבקשת בן שיח כלשהו, לא משנה כמה זה נשמע דחוף: המחווה הזו לבדה כבר מתירה את הפעולה.
• לדווח, גם בדיעבד: זה לא מתקן את מה שכבר קרה, אך מסייע לנתק את התשתית שעדיין משמשת נגד קורבנות אחרים. המדריך איך לדווח על פישינג ביעילות, שלב אחר שלב מפרט את התהליך.