כשהודעה פשוטה מפילה ענקים

מתיבות דואר פרוצות ועד בתי קזינו משותקים, כמה מההתקפות המרשימות ביותר של השנים האחרונות לא התחילו בנוזקה מתוחכמת. הן התחילו בתחבולה: הודעה, שיחת טלפון, סיסמה שהושגה. ארבעה סיפורים אמיתיים כדי להבין למה תוקפים מעדיפים לפעמים תחבולה על פני כוח.

ומה אם הדרך הטובה ביותר להיכנס היא לבקש בנימוס?

דמיינו את ההודעה הזאת:

שלום, זוהתה פעילות חריגה בחשבון.
לחצו כאן כדי לאבטח אותו.

לחיצה אחת. שם משתמש. סיסמה. ופתאום התוקף כבר לא צריך לפרוץ את הדלת: המפתח בידיו.

זה כל ההיגיון של פישינג ושל הנדסה חברתית (האומנות של תמרון בני אדם במקום מכונות):

• ליצור מצב אמין;
• לעורר רגש: פחד, דחיפות, סקרנות, רצון לעזור;
• לדחוף מישהו לפעול מהר, בלי לחשוב;
• להשיג את המידע או את ההרשאות הדרושים.

החלק המרשים ביותר הוא לא תמיד הפישינג עצמו, אלא מה שקורה אחריו. חשבון פרוץ אחד יכול להצית תגובת שרשרת של ממש.

ארבעה סיפורים אמיתיים, ארבע דרכים להפיל בני אדם בפח

🇫🇷 FICOBA: החשבון הגנוב שפתח דלת ל-1.2 מיליון חשבונות בנק

FICOBA הוא המאגר הלאומי הצרפתי שמתעד את חשבונות הבנק שנפתחו בצרפת. קובץ רגיש מאוד, שמיועד רק לעובדים מורשים.

מסוף ינואר 2026 ועד 13 בפברואר, גורם זדוני השתמש בפרטי ההתחברות של עובד ציבור (שאינו שייך לרשות המסים הצרפתית, DGFiP) שהייתה לו גישה לקובץ לצורך חילופי מידע בין משרדי ממשלה. כך הוא יכול היה לעיין בחלק מ-FICOBA. לפי ההודעה הרשמית של משרד הכלכלה הצרפתי (בצרפתית), נפגעו כ-1.2 מיליון חשבונות, פחות מ-1% מהקובץ: פרטי חשבון (RIB,‏ IBAN), זהות, כתובת ולפעמים מספר מזהה של מס.

למה המקרה בולט? כי אין בו סצנה קולנועית של האקר ש„פורץ” שרת. הרשויות אף הבהירו שהאירוע לא נבע מפרצה ביישום עצמו. הכול התחיל בדבר שגרתי הרבה יותר: חשבון לגיטימי שהאדם הלא נכון השתמש בו.

נכון לעכשיו, המקורות הרשמיים מאשרים שימוש לרעה בפרטי ההתחברות, אך לא את הדרך שבה הם הושגו. לכן אי אפשר לקבוע בוודאות שמדובר בפישינג במקרה הזה.

השאלה שכדאי לשאול: ומה אם התוקף לא היה צריך לפרוץ למאגר… כי המפתחות של משתמש מורשה כבר היו בידיו?

🪟 מיקרוסופט: להיכנס דרך דלת ישנה ונשכחת

בסוף נובמבר 2023, הקבוצה שמיקרוסופט מכנה Midnight Blizzard (הקשורה למודיעין הרוסי לפי ממשלות ארה״ב ובריטניה) תוקפת… חשבון בדיקה ישן. השיטה: ריסוס סיסמאות (password spraying), כלומר ניסיון של מעט סיסמאות נפוצות מאוד על חשבונות רבים, במקום סיסמאות רבות על חשבון אחד, כדי לא להפעיל אזעקה. החשבון הישן, שהיה מוגן פחות מהאחרים, נכנע בסופו של דבר.

מנקודת האחיזה הראשונה הזאת, התוקפים הגיעו לחלק קטן מתיבות הדואר של מיקרוסופט, ובהן תיבות של חברי הנהלה בכירה ושל צוותים מקצועיים, בעיקר בתחום אבטחת הסייבר. מיקרוסופט מסרה מאוחר יותר שמידע שנמצא בהודעות האלה שימש לניסיונות לגשת למערכות פנימיות אחרות.

הפרט המרתק: הם לא תקפו ישירות את החשבונות של המנהלים. תחילה הם מצאו דלת צדדית, ואז השתמשו בה כדי להתקדם הלאה. באבטחת סייבר, הדלת החשובה ביותר היא לא תמיד הדלת הראשית: לפעמים זה החשבון הישן שאף אחד כבר לא מסתכל עליו.

🎰 MGM Resorts: איך תחבולה הגיעה בסוף עד לאס וגאס

ספטמבר 2023, לאס וגאס. מכונות המזל כבות. כרטיסי המפתח של החדרים מפסיקים לעבוד. ההזמנות משתבשות. ברוכים הבאים לאירוע שפגע ב-MGM Resorts, אחת מענקיות הקזינו האמריקאיות.

איך נכנסים לענק כזה? לא בהכרח בהתקפה חזיתית על השרתים. לפי דיווחים בעיתונות, התוקפים כיוונו אל מוקד התמיכה הטכנית: הם התחזו לעובד, בעזרת מידע שמצאו ברשת, וקיבלו עזרה לגשת לחשבון שלו. MGM העריכה מאוחר יותר את השפעת האירוע בכ-100 מיליון דולר.

הלקח: מוקד התמיכה יכול להפוך למטרה חשובה לא פחות משרת. טכנאי נמצא שם בדיוק כדי לעזור. אם מישהו משכנע אותו שהוא המשתמש הנכון, המערכת בסוף עושה בדיוק את מה שהיא נבנתה לעשות: לעזור.

📨 ג׳ון פודסטה: ההודעה שנראתה כמו התראה של גוגל

מרץ 2016. ג׳ון פודסטה, אז יושב ראש מטה הבחירות של הילרי קלינטון, מקבל הודעה שנראית כמו התראת אבטחה של גוגל: „Someone has your password” („למישהו יש את הסיסמה שלך”). ההודעה טוענת שזוהתה התחברות חשודה ומזמינה להחליף את הסיסמה מיד.

בפועל, הקישור מוביל לדף מזויף שבשליטת התוקפים. לפי סוכנות הידיעות AP, המלכודת הזאת העניקה גישה לתיבת הדואר שלו ולכ-50,000 הודעות, שחלקן פורסמו מאוחר יותר במהלך מערכת הבחירות.

הפרט שהופך את הסיפור למרתק: ההודעה הועברה לבדיקה של התמיכה הטכנית של המטה. התשובה? שמדובר בהודעה „לגיטימית”. מי שכתב את התשובה הסביר מאוחר יותר שהתכוון לכתוב „לא לגיטימית”. טעות הקלדה, ברגע הגרוע ביותר.

השאלה שכדאי לשאול: אם אפילו האחראים על האבטחה עלולים ליפול בפח, מה הופך פישינג לאמין כל כך?

מה משותף לכל הסיפורים האלה

ההתקפות האלה לא משתמשות כולן באותו מנגנון. ודווקא זה מה שמעניין.

המכנה המשותף, אם כן, הוא לא „הודעת דוא״ל”. המכנה המשותף האמיתי הוא להשיג את האמון או את ההרשאות הדרושים כדי שהמערכת עצמה תפתח את הדלת.

למה פישינג נעשה מסוכן עוד יותר

פעם אפשר היה לזהות פישינג לפי הפגמים שלו: „Dear Sir, your account is blocked, please click”, שגיאות בכל מקום, כתובת מוזרה.

היום הודעת פישינג יכולה להיות כתובה בצורה מושלמת, מותאמת אישית, מותאמת למקצוע של הקורבן, מוזנת במידע פומבי (רשתות חברתיות, אתר החברה) ונשלחת ברגע האמין ביותר. הבינה המלאכותית היוצרת הופכת את ההתאמה האישית הזאת למהירה מאי פעם (ראו פישינג: משחק החתול והעכבר בין חוקרים לתוקפים).

דוגמה: בסוף אוקטובר 2024, מיקרוסופט תיארה קמפיין פישינג ממוקד של אותה קבוצה, Midnight Blizzard, שכוון לאלפי אנשים ביותר מ-100 ארגונים. חלק מההודעות התחזו לעובדי מיקרוסופט והזכירו ספקי שירותים מקוונים אחרים.

השינוי עמוק: פישינג כבר לא מנסה רק לשלוח הרבה הודעות גרועות; הוא מנסה לשלוח את ההודעה הנכונה לאדם הנכון.

אותו מנגנון, בחיי היומיום

לא צריך להיות תאגיד רב-לאומי כדי להפוך למטרה. אותם תרגילים מופיעים בכל מקום:

• דוא״ל: „החשבון יימחק בעוד 24 שעות.”
• SMS: „לא הצלחנו למסור את החבילה.”
• Discord: „תראה את הסרטון הזה 😂”
• Instagram: „החשבון עומד להיות מושעה.”
• בית הספר: „יש להגיש את העבודה עד הערב.”
• החבר המזויף: „תוכל לשלוח לי את הקוד שקיבלת עכשיו?”

התפאורה משתנה, הזהות משתנה, רמת הדחיפות משתנה. אבל המסר הנסתר תמיד זהה: „תעשה משהו עכשיו, בלי לקחת זמן לחשוב.”

כלל הזהב: לשבור את התסריט

במקום רשימה של עשרה כללים, רעיון אחד: התוקף רוצה לשלוט בקצב. הוא רוצה שנראה → ניבהל → נלחץ → נפעל. המטרה היא לשבור את השרשרת הזאת: לראות → עצור → לבדוק → להחליט.

שלושה הרגלים פשוטים

1. להסתכל על הכתובת האמיתית, לא רק על השם המוצג. „שירות לקוחות” באותיות גדולות לא מוכיח דבר; הכתובת המלאה, ובמיוחד הדומיין שאחרי ה-@, אומרת הרבה יותר.
2. להחליף ערוץ. הודעה טוענת שהיא ממורה, מהבנק או מחבר? לא עונים להודעה עצמה כדי לבדוק: יוצרים קשר עם האדם בדרך אחרת (טלפון, אפליקציה רשמית, פנים אל פנים).
3. כדי להתחבר, מתחילים מהאתר הרשמי. אם הודעה מבקשת להתחבר, פותחים בעצמנו את האתר או את האפליקציה, במקום ללחוץ על הקישור שבהודעה.

ואם ההודעה היא באמת מלכודת, הרגל אחרון ומועיל: לדווח עליה. עם Baitback מספיק להדביק את ההודעה: הכלי מאתר את השרת ששלח אותה ואת ספק האחסון שלו, ומכין את הדיווח כדי להשבית את הקמפיין. כדי להבין למה הודעה שנראית מושלמת עדיין יכולה לשקר, ראו גם דוא״ל יכול לשקר… גם כשהבדיקות אומרות „OK”.

התוקף לא צריך לנצח אותנו

התוקף לא צריך לפרוץ את הדלת אם מישהו יפתח לו אותה.

ההתקפות המרשימות ביותר לא תמיד נשענות על טכנולוגיה לא מוכרת או על וירוס מרהיב. לפעמים הכול מתחיל בהודעה. בשיחת טלפון. בחשבון. בטעות של כמה שניות. ומאחורי הטעות הקטנה הזאת עשויים להסתתר מיליוני רשומות, חברה גדולה משותקת או מידע חסוי שנחשף.

באבטחת סייבר, החוליה החלשה היא לא בהכרח המחשב. לפעמים זה הסיפור שמספרים לאדם שיושב מול המסך.