האקר מתקשר, אתה משנה סיסמה – והוא משתלט. ה־FBI מזהיר: אל תחליפו סיסמה ואל תסרקו QR חשוד. כך תתגוננו.
ה־FBI מזהיר: אל תחליפו סיסמה
מתקפת "הנדסה חברתית" מתוחכמת מתרחשת בטלפון
אזהרה חדשה של ה־FBI וסוכנות הסייבר האמריקאית (CISA) חושפת שיטת תקיפה מתוחכמת ביותר: קבוצת האקרים בשם Scattered Spider מצליחה להשתלט על חשבונות של עובדים – באמצעות שיחות טלפון למחלקת התמיכה.
איך זה עובד? התוקפים מתקשרים לתמיכה ומבצעים כמה שיחות מקדימות – בכל פעם עם שאלה תמימה – כדי להבין איך מתבצע תהליך איפוס סיסמה או העברת אימות דו־שלבי (MFA). אחר כך הם מתקשרים שוב, מתחזים לעובד אמיתי, ומבקשים לבצע את הפעולה – כשברשותם כבר כל הפרטים הדרושים כדי להישמע לגיטימיים.
במקרים רבים, התמיכה מאפסת עבורם את הסיסמה או מעבירה את ה־MFA למכשיר של ההאקר – מה שמעניק לו שליטה מלאה בחשבון של העובד, בלי לפרוץ דבר.
זוהי מתקפה שמבוססת על אמון אנושי ולא על טכנולוגיה – ולכן היא קשה יותר לזיהוי.
מי עומד מאחורי זה?
קבוצות משתפות טקטיקות וחוצות גבולות
אף שקבוצת Scattered Spider נתפסת כאחראית לתקיפות על חברות ענק כמו Qantas ו־Adidas, מידע עדכני מצביע על כך שלא כל התקיפות שיוחסו לה – אכן בוצעו על־ידה. קבוצת תקיפה נוספת בשם ShinyHunters, הידועה בפריצות וסחיטות דיגיטליות, משתמשת באותן שיטות בדיוק. למעשה, ישנן אינדיקציות לכך ששתי הקבוצות משתפות תשתיות, כלים – ואפילו חברים משותפים. תופעה זו שכיחה בתחום זה, שם אותם גורמים פליליים עשויים לפעול בכמה קבוצות במקביל או להעביר ידע וטכנולוגיה זה לזה.
המסקנה: פחות חשוב מי בדיוק עומד מאחורי המתקפה – ויותר חשוב להכיר את השיטות, לזהות את ההתקפה כשהיא מתרחשת, ולבנות את ההגנות בהתאם.
קיבלתם חבילה לא צפויה?
ה־FBI: אל תסרקו קודי QR על האריזה
במקביל, פרסם ה־FBI התרעה נוספת על שיטה חדשה של הונאה ישנה: קמפיין brushing עם קוד QR זדוני. מדובר במשלוחי חבילות לא צפויות, ללא הסבר, כשעל גבי האריזה מודבק קוד QR. סריקת הקוד מובילה לאתרים מזויפים שמבקשים פרטים אישיים או מורידים תוכנות זדוניות.
הונאה זו מתוחכמת במיוחד, משום שהיא יוצרת רושם תמים של מתנה או מוצר שהוזמן בטעות – מה שגורם לרבים לסרוק את הקוד בלי לחשוד. אבל בפועל, מדובר בכניסה ישירה למכשיר שלכם – ולפרטיות שלכם.
המלצות מאת מומחי אבטחת מידע של IPV Security:
- אל תמהרו לאפס סיסמה בעקבות שיחה טלפונית – ודאו תמיד שהבקשה לגיטימית ומגיעה ממקור מאומת.
- שפרו את תהליך האימות בתמיכה הטכנית בארגון – ודאו שזהות העובד נבדקת היטב לפני שינוי סיסמה או העברת MFA.
- הפעילו אימות דו־שלבי עמיד להונאות (phishing-resistant MFA) – כמו מפתחות אבטחה פיזיים או פתרונות ללא סיסמה (passkeys).
- הדריכו את העובדים לזהות מתקפות vishing – הונאות קוליות שמתחזות לגורם פנימי.
- זהו קמפיינים מבוססי קוד QR והתריעו נגדם – בייחוד כשהם מגיעים עם חבילות לא מוכרות.
- דווחו על כל מקרה חשוד למוקד הסייבר או לגורם האבטחה בארגון.
לסיכום,
הונאות סייבר כבר אינן מגיעות רק באמצעות המייל – הן מוסוות בצורות מגוונות, כמו שיחות טלפון מתחזות או הודעות על חבילות. כפי שה־FBI מזהיר, לא כל מה שנראה או נשמע אמיתי הוא בטוח. ארגונים צריכים לשלב בין טכנולוגיה מתקדמת, נהלים מדויקים והדרכות מתמשכות כדי להתמודד עם האיומים החדשים. אנחנו כאן כדי לעזור לכם להיות מוכנים.
למידע נוסף: Do Not Reset Your Password — FBI Issues Critical New Warning
מעוניינים במבדקי פישינג ובמגוון הרצאות להעלאת מודעות הארגון לאירועי סייבר? פנו למומחי איי פי וי סקיוריטי!
להתייעצות מקצועית ניתן לפנות אלינו לאימייל info@ipvsecurity.com או במספר הטלפון 077-4447130. IPV Security מתמחה זה 20 שנה באבטחת מידע, סייבר, סקרי סיכונים ותקנים ורגולציות הנוגעים לביטחון מידע ועוד.
