חדשות סייבר - ארז דסה

אחת ה"בעיות" עם כ"כ הרבה קבוצות כופר חדשות זה שחלק מהן פשוט לא מקצועיות ולא אמינות. קחו לדוגמה אירוע שהתרחש בשבועיים האחרונים עם פרסום של "פריצה" לחברת התקשורת Trump Mobile. חברת Trump Mobile היא מותג סלולר שהושק שנה שעברה על ידי משפחת טראמפ, ומציע שירותי תקשורת סלולרית בארה"ב. מה שקרה זה שקבוצת הכופר Endzone פרסמה בסוף ספטמבר טענה שפרצה לחברה, וזמן קצר לאחר מכן גם קבוצת הכופר BYOD פרסמה את אותה חברה כקורבן. שתי הקבוצות פרסמו גם את חברת הטכנולוגיה eTeam, מה שהעלה לא מעט חשד על קשרים בין הקבוצות או בלגן כלשהו שמתרחש שם... קבוצת BYOD טענה שהצליחה להשיג גישה למערכות Trump Mobile לאחר שהדביקה עובד של חברה צד ג' בסטילר, אבל בשיחה שקיימתי עם קבוצת Endzone הם מספרים סיפור אחר לגמרי. לפי Endzone, אף אחת מהקבוצות לא ביצעה בכלל את ההדבקה. הגישה למערכות הושגה באמצעות סטילר לוג קיים שהכיל פרטי התחברות למערכת crm כלשהי, והפרטים האלה פשוט עברו בין מספר גורמים שהיו בקשר עם שתי הקבוצות. ב-Endzone טוענים שגורמים שעבדו עם הקבוצה היו מעורבים גם בפעילות של BYOD, ובשלב מסוים היו אי הסכמות ביניהם סביב פרסום המידע והקרדיט על התקיפה. בסופו של דבר ניתקה Endzone קשר עם חלק מהמעורבים והחליטה להפסיק לעבוד עם שותפים חיצוניים או אקסס ברוקס עד להודעה חדשה. קבוצת BYOD מנסה לתפוס גם היא צד ומפרסמת הוכחות כביכול לגישה שהשיגה אבל היא לא מספקת הסבר לכפילות של פרסום הקרבנות, ועל הבלגן עם Endzone. זה סיפור טיפה מבלבל אז לא נורא אם לא הצלחתם לעקוב אחרי כל הפרטים. זה רק דוגמה לבלגן עם כל "הקבוצות" החדשות. השבוע קיימתי גם ראיונות עם כמה "קבוצות". אני לא יודע אם הראיונות יתפרסמו ומתי כי גם שם צפו לא מעט תשובות תמוהות. - "קבוצה" אחת ציינה בראיון שהיא למעשה רק "מתכנת" אחד. - קבוצה אחרת אמרה לי שהיא לא מצפינה אלא רק גונבת, אבל היא מקפידה לגנוב ולמחוק את הגיבויים. כששאלתי למה הם לא מצפינים אז הם אמרו שהיום יש לחברות גיבויים בכל מקום אז אין סיבה להצפין... אתם מצליחים להבין למה זה נשמע מוזר? - קבוצה שלישית ענתה לשחאות עד שהבינה שאני מישראל ואז התחילה עם "פלסטין חינם" וכו' וכו'... הסברתי לו למה הוא טועה אבל זה רק עצבן אותו יותר וזה הגיע לפסים שלא מתאימים לראיון 😄 בקיצור, הבנתם את המצב...

קבוצת התקיםה Silent טוענת שפרצה פעמיים לפירמת עורכי הדין Hogan Lovells Cadwalader. לפי הדיווח, ב-12 באוגוסט הקבוצה פרצה לרשת של החברה, שהתה שם כ-24 שעות וגנבה יותר מ-50GB של מידע, כולל מסמכים רגישים, צילומי דרכונים, רישיונות נהיגה ועוד. הקבוצה דרשה דמי כופר של 20 מיליון דולר, והחברה הציעה לשלם כ-5 מיליון דולר, הצעה שאותה התוקפים דחו. כמה ימים לאחר שהמו"מ נכשל, הקבוצה טוענת כי פרצה שוב לחברה וגנבה מידע נוסף, בעיקר מסמכים פנימיים, מיילים וכו'. 🤦‍♂️

אז במשך שנה וחצי בחנה הרשות את המקרה והגיע למסקנה שהמידע אכן דלף ומדובר ב.... תחזיקו חזק....... הפרה של חוק הגנת הפרטיות... מה עושים עם המסקנה הזו? מה ההשלכות תכלס? תחזיקו חזק שוב...... כלום. אגב, בעקבות האירוע, דרישות לחיזוק הגנות אבט"צ במשרד החינוך כבר עלו בדיון בכנסת בנושא ב-2025. ומה לגבי קנסות? האם צריך לקנוס גופים ממשלתיים? או שזה חסר משמעות כי המשרד ממומן מאזרחי המדינה, והם אלו שייפגעו מהמהלך? דבר נוסף, שימו לב לקטע הזה מהדיווח המקורי של הרשות: "המשרד טען כי הסמכתו לתקן ISO/IEC 27001 פוטרת אותו מקיום הוראות התקנות נדחתה. טענה זו נדחתה ע"י הרשות." אם המשפט הזה אכן נאמר כטענה אז המצב עגום. אני מזכיר שכל הגופים הגדולים שנפרצו לאורך השנים, כולם החזיקו בהסמכות כאלו ואחרות. הסמכות ISO ושות' אלו הסמכות יח"צ שאין קשר ביניהם לבין רמת ההגנה בארגון.

בהמשך לפוסט הזה שפורסם כאן במרץ 2025: הרשות להגנת הפרטיות קבעה: משרד החינוך הפר את הוראות חוק הגנת הפרטיות ותקנות הגנת הפרטיות במסגרת הליך הפיקוח נמצא כי מידע רגיש שהופק ממערכת של משרד החינוך לצורך שיבוץ תלמידים, ניתן היה לגישה של גורמים בלתי מורשים דרך קישור פתוח שנשלח לגורמים מחוץ למשרד החינוך. המידע כלל, בין היתר, שמות ומספרי תעודות זהות, גיל ותאריך לידה, מין, אזור מגורים, מוסד לימודים ושכבת גיל, השתייכות דתית וכן מידע רפואי בדבר סוג המוגבלות של תלמידי החינוך המיוחד.

אישום נגד ישראלי בארה"ב: הונה חברות שנפגעו ממתקפות סייבר וגרף מיליונים זוהר פנחסי, ישראלי-אמריקני בן 50 בעל חברת סייבר בפלורידה, הואשם בארה"ב כי הונה חברות שנפגעו ממתקפות כופרה. לפי האישום, חברת MonsterCloud שבבעלותו הבטיחה לשחזר קבצים שננעלו בידי האקרים מבלי לשלם להם באמצעות שיטות פענוח מתקדמות. בפועל, פנחסי שילם לתוקפים בסתר תמורת מפתחות הפיענוח וגבה מהלקוחות סכומים גבוהים בהרבה. במקרה אחד שילם להאקר כ-8,200 דולר וחייב את הלקוח בכ-150 אלף דולר. התביעה טוענת שמאות חברות שילמו לו יותר מ-19 מיליון דולר. (Ynet)

רשת הפיצות הרוסית Dodo Pizza מדווחת על מתקפת סייבר ודלף מידע של לקוחות 😳 לפי החברה, התוקפים השיגו גישה למערכות המכילות מידע של לקוחות, כולל שמות, כתובות, מיילים, מספרי טלפון והיסטוריית הזמנות. קבוצת התקיפה DataSuckers לקחה אחריות על המתקפה כשהיא טוענת שגנבה מידע של כ-68 מיליון משתמשים. בקיצור, התוקפים יודעים איזה תוספות הלקוחות אוהבים, לא נשאר להם כבר מה להסתיר 😵 אגב, זו לא הפעם הראשונה שתוקפים גונבים מיעד מרשתות פיצה... תעשו חיפוש קצר בערוץ.

מקבל מכם בימים האחרונים דיווחים על הודעות פישינג תוך התחזות לגוגל 🖥 ההודעות מגיעות מהמזהה הרשמי של גוגל ונכנסות לשרשור הודעות הלגיטימי. שימו לב. בפועל מה שקורה זה שאתם מתבקשים להתקשר למספר מסויים שם יענה לכם נציג אנושי, עם מבטא בריטי (אותו מוקד הונאות כמו הקמפיין של בינאנס). הנציג ינסה לגנוב לכם את חשבון הגוגל, אם זה לא ילך הוא יעבור איתכם לקריפטו, ואם גם זה לא הולך הם עוברים לכרטיסי אשראי וחשבונות בנק. ניסו הכל והחליפו דמויות תוך כדי שיחה, מנציג של גוגל, למחלקת אבטחה בינאנס, נציג סיוע לבנקים בישראל, מה לא. חייב להגיד שהם יצירתיים חח https://t.me/CyberSecurityIL/9606

העיר Radford שבווירג'יניה מדווחת על מתקפת סייבר בעקבותיה הושבתו חלק מהמערכות העירוניות. בעקבות האירוע הושבתו מערכות הדוא"ל, קווי טלפון ומחשבים במספר מחלקות, בית המשפט העירוני נסגר זמנית וחלק מהשירותים לתושבים פועלים בצורה חלקית.

הרשות להגנת הפרטיות באיטליה קנסה את חברת IQVIA ב-7 מיליון אירו לאחר שלא אחסנה בצורה מאובטחת מידע של מטופלים. חברת IQVIA, שמתמחה בניתוח מידע רפואי ומחקר קליני, יצרה מאגר מידע שהתבסס על נתונים שקיבלה ממאות רופאי משפחה. מידע ושימש בין היתר למחקרים עבור חברות תרופות. החברה טענה שהמידע עבר אנונימיזציה, אך בבדיקה של הרגולטור התברר שניתן היה לזהות מחדש את המטופלים באמצעות שילוב של מזהה קבוע ופרטים נוספים כמו גיל, מין, אבחנות, תרופות, בדיקות, חיסונים, מיקום ועוד... זה בהחלט דיווח מוזר שמעלה כ"כ הרבה שאלות, איך המידע מועבר, למה בכלל, מי הסכים, מתי מתבצע תהליך האנונימיזציה וכו' וכו'. מסתבר שחברת IQVIA עבדה עם כ-800 רופאי משפחה כשעל מחשבי הרופאים הותקן תוסף ששולף מידע מתיקי המטופלים ומעביר אותו למאגר של IQVIA. בתמורה, הרופאים קיבלו ללא תשלום רישיון לתוכנת ניהול המרפאה, כאשר IQVIA שילמה לספק התוכנה את עלות הרישוי. הרופאים הניחו שהמידע שעוזב את המרפאה כשהוא "אנונימי", ולכן בחוזים שלהם נכתב שאין צורך לקבל מהמטופלים הסכמה מפורשת להעברת המידע. בקיצור, שכונה. אבל לפחות באיטליה נקנסים על זה.

כמה דולרים – והפרטים שלכם בחוץ: האתר שמסכן כמעט כל ישראלי. (Ynet) תעודות זהות, כתובות, מספרי טלפון, פרטי רכב ואפילו קשרים משפחתיים: מאגר שמצליב מידע שדלף בעבר מאפשר להגיע בתוך שניות לפרטים של כמעט כל אזרח בישראל. הגישה אליו נמכרת בעשרות דולרים בלבד, והחשש הוא שהמידע כבר נמצא בידי גורמים עוינים. למרות פניית ynet, האתר עדיין באוויר הכתבה המלאה ב-Ynet ➖➖➖➖➖ נראה שב-Ynet גילו את הטלגרם, אגרון ודומיו כבר רצים פה כבר הרבה שנים, בשילובים שונים, ועם קצת AI הפכו את זה גם לאתר יפה. בכל אופן, עדכון ל-Ynet, מי שמנהל את האתר טוען שבעקבות "מתקפות" הוא נאלץ כרגע להוריד את האתר והפעילות תמשיך רק בטלגרם.

מוקדם יותר היום קיבלתי דיווחים על גוף בישראל שסובל ממתקפת סייבר. מדובר בגוף שעוסק בדיור ציבורי וניהול בתי אבות ברחבי הארץ. ממידע ראשוני שקיבלתי נראה שהארגון קיבל דרישת כופר תחת המותג Lockbit Black, מדובר בווריאנט של לוקביט שדלף ב-2022 ושייך לגרסת Lockbit 3.0. בפועל מאז שהקוד של הנוזקה דלף לא מעט תוקפים עשו בו שימוש, כולל קבוצות איראניות. במקרה הנוכחי נראה שהודעת הכופר מובילה לאתרים שכבר לא פעילים מזמן, מה שמעלה את החשש שלא מדובר במתקפת כופר אמיתית אלא במתקפה איראנית וכדו' במסווה של כופר. כפי שכבר ראינו בעבר בכמה מקרים. בקיצור, עוד לא ברור לגמרי מה הסיפור שם. בבוקר האתר של הארגון היה לא זמין וקיבלתי דיווחים על ספקים שניתקו תקשורת אבל ייתכן מאד שמדובר רק כאמצעי זהירות ולא מעבר. בשלב זה אני מעדיף לא לפרסם את השם של הארגון שנפגע.

- תוכן שיווקי - כשיש אירוע סייבר, הלקוח לא צריך עוד התרעה 🙅‍♂️ הוא צריך שמישהו יהיה איתו בתוך האירוע 👍 באחד האירועים שטיפלנו בהם זיהינו כמה פעילויות חריגות ועלינו מיד לשיחה עם הנהלת הלקוח. המנכ״ל שאל אותנו: “מה זה אומר מבחינתנו? מי מושפע? צריך לעצור פעילות?” ומאותו רגע, זה כבר לא היה עניין של התראות. הצוות של CyberSafe היה שם בזמן אמת - בדק מה קורה, חיבר בין האירועים, הבין מה דורש טיפול מיידי והנחה את הלקוח מה לעשות בכל שלב. כי ברגעים כאלה הלקוח לא צריך להישאר לבד מול מסכים, התראות ומונחים טכניים ❌ הוא צריך לדעת שיש מי שמסתכל על התמונה המלאה, אומר לו מה דחוף, מה אפשר להמשיך כרגיל ואיפה צריך לפעול עכשיו ✅ זה בדיוק הגב שאנחנו נותנים ללקוחות שלנו. 🛡CyberSafe SOC לא רק מזהים אירועים. נמצאים איתכם כשזה באמת חשוב. 📩 sales@cybersafe.co.il 📞 מורן | 077-5509948 🌐 cybersafe.co.il --------------------------------- 🛡️ מעוניינים לפרסם בערוץ? דברו איתי

קבוצת התקיפה The Gentleman מפרסמת כקרבן את "קבוצת גליל" קבוצת גליל מציעה שרותי הנדסה, רכש, ניהול, הקמה ועוד. הקבוצה מציבה דדליין של כ-10 ימים לתשלום דמי הכופר.

תוקפים מגבירים תקיפות סייבר נגד אתרים בישראל לקראת ה-7.10. כרגע נראה שמדובר בעיקר בהשחתת אתרים וכדו'. מזכיר קצת את Opisrael. אם יהיה משהו מהותי יותר אני אעדכן. זו הזדמנות להזכיר את התרשים שפירסמתי כאן. (כן, אני יודע שהוא נראה קצת ספגטי והוא לא ערוך יפה עם AI אבל הוא פרקטי ויעיל.)

עדכון לפריצה ל-FBI: ה-FBI מפטר עובד של חברת Accenture שהיה אחראי לבצע עדכון אבטחה למערכת Oracle PeopleSoft והעדכון לא הותקן בזמן. בעקבות העיכוב בהתקנת הפאצ' קבוצת ShinyHunters הצליחה לפרוץ לפורטל הגיוס של ה-FBI.

❄️אז מה זה בעצם Snowflake ולמה אנחנו שומעים עליה שוב ושוב באירועי סייבר? זוכרים את קמפיין התקיפה ב-2024 במהלכו נגנב מידע מ-165 ארגונים שהשתמשו ב-Snowflake? כתבתי על זה כאן בהרחבה, ואם תעשו חיפוש בערוץ תגלו שהיו עוד לא מעט אירועים בהם תוקפים גנבו מידע מסביבות Snowflake של לקוחות... חברת Snowflake מספקת פלטפורמה לאחסון נתונים בענן ומשמשת ארגונים לריכוז, אחסון וניתוח של כמויות גדולות של מידע ממערכות שונות. בפועל, אצל ארגונים רבים המערכת מחזיקה כמויות של מידע עסקי ומידע של, ועל לקוחות. כמעט בכל המתקפות שהיו עד היום הבעיה לא הייתה חולשה ב-Snowflake אלא חולשה בבקרות של המשתמשים ובשימוש ב-MFA. לפי דו"ח של מנדיאנט, בקמפיין התקיפה ב-2024 התוקפים השתמשו בנתוני הזדהות גנובים שהושגו דרך Infostealers, אבל הם עשו ניצלו רק חשבונות שלא היו מוגנים ב-MFA... ומה לגבי ASOS? בעבר אסוס הזכירה בראיונות לתקשורת איך היא משתמשת ב-Snowflake כחלק ממערך הפרסונליזציה שלה, שכולל היסטוריית רכישות, התנהגות גלישה של משתמשים, מידע דמוגרפי ועוד. המידע שנאסף משמש אותם לבניית פרופילי לקוחות, קהלים והתאמה אישית של התוכן וההצעות שאתם רואים באתר ובאפליקציה. בינתיים התוקפים שומרים על שקט יחסי ולא מפרסמים איזה מידע נגנב וכיצד הם השיגו גישה לחשבון ה-Snowflake של החברה, אבל... הם רומזים שאולי יש קרבנות נוספים ואסוס היא לא היחידה. כמו כן הם טוענים שהם לא מתכוונים לגרום נזק לפעילות השוטפת של השירות, מה שכנראה מעיד "רק" על גניבת מידע. לטענתפ, המידע שנגנב כולל גם מידע של לקוחות אבל זה כבר היה דיי ברור. באסוס מאשרים לתקשורת את האירוע אך טוענים כי הם ניטרלו את הגישה של התוקפים והשירות בטוח לשימוש:

We are investigating unauthorised activity involving third-party platforms that we use to communicate with customers. We took immediate action to restrict access to the notification platforms and are working with our internal and external specialist advisers, as well as all relevant authorities. Our website and app are operating as normal, with no current disruption to any aspects of our operations. Customer trust is incredibly important to us, and if the situation changes an update will be provided as appropriate.

ה-AI הפך למדליף: אלפי סודות של חברות טכנולוגיה נחשפו שורה של מודלי בינה מלאכותית וסוכני AI אוטונומיים העלו לרשת צילומי מסך המכילים נתונים פנימיים רגישים של חברות הטכנולוגיה שאימנו אותם. מחקרי מפתחים, הודעות פנימיות ופרטי שרתים הוצגו בפומבי כחלק מפלטי אימון וניסויים לא מבוקרים. הצילומים האלה כללו התכתבויות פנימיות בערוצי עבודה, קטעי קוד מסווגים, מפתחות גישה לשרתים ואפילו מסמכים אסטרטגיים שצולמו ונלכדו במהלך שלבי האימון והבדיקות. המשך הכתבה ב-Ynet. המחקר המלא כאן.

קבוצת התקיפה Everest מפרסמת כקרבן את חברת FlyDubai 🛫 הקבוצה טוענת כי היא מחזיקה ב-4GB של מידע, כולל מידע רגיש ומציבה לחברה דדליין של 7 ימים לתשלום דמי הכופר. 🤔אולי אפשר למצוא בקבצים שנגנבו מידע על מבחני הקבלה ובדיקות הרקע שעוברים שם הטייסים?

ערוצלדת 6 שמח 🛡️6️⃣🎉🍸 היום הערוץ חוגג 6 שנים של פעילות. מה היה לנו עד כה: ~9,500 פוסטים. למעלה מ-75 מיליון צפיות(!) עשרות פרויקטים ויוזמות שונות במרחב הסייבר. סיוע למאות ארגונים וגופים שונים בישראל ומחוצה לה. 🙏 תודה לכל מי שלוקח חלק במסע. מזל טוב 🎈

לכל הלקוחות המודאגים: התוקפים מעדכנים כי מידע של תשלומים (כרטיסי אשראי וכו') לא נחשפו/נגנבו.

payment information is not affected.