פורסם
דוח Unit 42: פיתיון של מסמכי מלחמה שימש לניסיון גניבת סיסמאות בישראל
מחקר שפורסם ב-6 באוקטובר קושר פעילות נגד יעד ישראלי לתשתית תקיפה בעיראק. החשיפה חדשה, אך הפעילות בישראל התרחשה במאי וביוני; אין בדוח אישור פומבי שפרטי ההתחברות אכן נגנבו.
מה נחשף על היעד הישראלי
לפי מחקר Unit 42 של פאלו אלטו נטוורקס, גורם שהחוקרים מעריכים ברמת ביטחון גבוהה כי הוא קשור למדינה האיראנית הפעיל פיתיון נגד ישות ישראלית ששמה לא פורסם. דף שהתחזה ל-Google Drive הציע הורדת מסמכים הקשורים למלחמה. לחיצה על כפתור ההורדה הפנתה למסך כניסה מזויף שנועד לאסוף סיסמאות.
החוקרים קישרו את התשתית למבצע Blinder Tunnel בעיראק, שבו הצעת עבודה ומשימת תכנות שימשו להעברת נוזקה. הדוח אינו מייחס את הפעילות ליחידת ממשל איראנית מסוימת.
התחזות לשירות מוכר אינה פריצה אליו
לפי תגובת Google המובאת במחקר, מערכות Google Drive לא נפרצו ולא היו מעורבות בתקיפות. גם Unit 42 מסרה שאינה מודעת לפריצה למערכות Dubai Airports, ששמה שימש בפיתיון הגיוס בעיראק.
ההבחנה חשובה: שם מוכר על המסך אינו מזהה בהכרח את מי שמפעיל אותו. במקרה המתואר, המידע שהמשתמש התבקש למסור היה המטרה.
לפני שמקלידים סיסמה
בהנחיות האבטחה של Google מומלץ לבדוק את כתובת היעד, להימנע מקישורים משולחים שאינם מהימנים ולא למסור סיסמה בעקבות בקשה בהודעה. במחשב אפשר לרחף מעל קישור ולבדוק לאן הוא מוביל לפני הלחיצה. אם הודעה מעוררת חשד, עדיף לפתוח את השירות בדרך המוכרת ולבדוק שם אם המסמך אכן משותף איתכם.
Google ממליצה גם על סיסמאות שונות לכל חשבון ועל אימות דו-שלבי. מפתחות גישה, Passkeys, מציעים הגנה חזקה יותר מפני דיוג משום שאי אפשר למסור אותם לאתר מתחזה כמו סיסמה רגילה. בחשבון עבודה יש לפעול בהתאם להגדרות ולמדיניות הארגון.
ומה עושים עם הצעת עבודה חשודה
הנחיות סוכנות הסייבר האמריקאית CISA מדגישות אימות דרך ערוץ מוכר: מחפשים עצמאית את פרטי החברה ופונים אליה, במקום להסתמך על מספר הטלפון או הקישור שבהודעה. זו בדיקה שימושית במיוחד לפני פתיחת קבצים שנשלחו כחלק מתהליך גיוס לא מוכר.
אם כבר נפתח קובץ או נמסרו פרטים במחשב עבודה, כדאי לדווח במהירות לצוות האבטחה ולציין מה נעשה. CISA מדגישה שתרבות המאפשרת דיווח בלי האשמה מסייעת לפעול מוקדם. בארגון, עצם האפשרות לומר במהירות שמשהו נראה חשוד חשובה לצד הכלים הטכנולוגיים.
