ושוב Salesforce: תוקפים פרצו לפלטפורמת המכירות של חברת Salesloft (דומה אבל שונה, שימו לב) וגנבו מפתחות גישה לחשבונות Salesforce של לקוחות.

התוקפים ניצלו את המפתחות שגנבו לגישה לא מורשית לנתונים עסקיים רגישים של לקוחות תוך שהם גונבים מידע ודורשים כופר.

חברת Salesloft מדווחת כי זיהתה את המתקפה, פעלה לסגירת הפירצה ושיתפה פעולה עם לקוחותיה כדי למזער נזקים.

https://news.1rj.ru/str/CyberSecurityIL/7659

שימו לב לחולשה קריטית במוצרים של NetScaler המנוצלת בפועל ע"י תוקפים מסביב לעולם. (CVE-2025-7775)

יש כבר עדכון זמין, כל הפרטים כאן

מצרף לכם כתבה של הצינור על הפריצה לקבוצת יפעת.

https://news.1rj.ru/str/CyberSecurityIL/7661

🚨 התרעה - ניסיון דיוג מתוחכם 🚨

בימים האחרונים התקבלו פניות למערך הסייבר הלאומי על הודעות ושיחות טלפון שנראות רשמיות ואמינות במיוחד - אך בפועל מדובר בניסיונות דיוג (Phishing) שמטרתם להוציא מכם פרטים אישיים ולגנוב מידע רגיש.
ההתחזויות האלו מופיעות לעיתים תחת שרשור ההודעות הרגיל של החברה ואף כוללות פרטים אישיים - כדי להיראות לגמרי אמינות.

🔒 המלצות מערך הסייבר הלאומי לזיהוי התחזויות דיוג:

1️⃣ שימו לב לניסוח - הודעות שמתחילות ב״לקוח יקר״, לא כוללות את שמכם, לוחצות לפעולה מיידית, דורשות פרטים אישיים או מזדהות בשם ״אגף הביטחון״ - חייבות לעורר חשד.
2️⃣ לא מוסרים פרטים אישיים ופיננסיים - לא שם, לא ת״ז, לא קוד אימות. שום פרט מזהה. ארגונים רציניים לא מבקשים מידע כזה בהודעת SMS או בשיחה יזומה.
3️⃣ בודקים בערוץ הרשמי - פנו לחברה ישירות דרך האתר, האפליקציה או מספר הטלפון המוכר.
4️⃣ חוסמים את השולח - סמנו כהודעה זדונית וחסמו את המספר, כדי למנוע התחזות נוספת.
5️⃣ מתעדים ומדווחים - צלמו מסך ודווחו על ההודעה גם לחברה שאליה התחזו וגם למערך הסייבר הלאומי במספר ☎️ 119.
6️⃣ לא לוחצים על קישורים - בדקו אותם קודם באתרים ייעודיים כמו ScanMy SMS.
7️⃣ מעבירים את המידע הלאה - שתפו בני משפחה וחברים כדי שגם הם לא ייפלו בפח.

🛑 ובעיקר: גם אם ההודעה או השיחה נראות לגמרי אמינות - אל תמסרו פרטים אישיים או קוד אימות מחוץ לערוצים הרשמיים של החברה.

הפוסט של המערך הוא בהמשך למה שפורסם ברוטר והבאתי כאן.

בנוגע להמלצה 4 של המערך - אני מחדד - אל תחסמו את השולח אם מדובר בשרשור ממנו מגיעות גם ההודעות האמיתיות.
במקרה הזה לדוגמא, אם תחסמו את בנק הפועלים אז יש מצב טוב שלא תוכלו לקבל יותר סמסים מהבנק או קודי הזדהות רב שלבית וכדו'.

מתקפות כופר, הונאות צפון-קוריאניות, פיתוח נוזקות ועוד. תוקפים עשו שימוש ב-Claude איפה שרק יכלו.

חברת אנת'רופיק משחררת את דו"ח מודיעין האיומים שלה ומציגה כיצד הם זיהו תוקפים שעושים שימוש ב-Cluade כדי להוציא לפועל מתקפות, לדרוש כופר ועוד.

המסמך המלא מצ"ב.

(תודה לצבי אדלר שהפנה את תשומת ליבי למסמך 🙏)

https://news.1rj.ru/str/CyberSecurityIL/7665

אפרופו כופר ו-AI, חברת Eset מפרסמת כי זיהתה את PromptLock - נוזקת הכופר הראשונה שמופעלת ע"י AI.

הנוזקה מופעלת באמצעות מודל gpt-oss:20b של OpenAI, פרטים נוספים בציוץ של Eset.

https://news.1rj.ru/str/CyberSecurityIL/7666

.
בהמשך למתקפה על Salesloft, מומלץ לקרוא את המאמר של גוגל בנושא.

אם אתם עושים שימוש במוצר Drift עם אינטגרציה ל-Salesforce אתם צריכים לעצור הכל ולוודא שאתם לא בתוך אירוע סייבר.
המאמר של גוגל כולל אינדיקטורים.

https://news.1rj.ru/str/CyberSecurityIL/7667

🚨 מערך הסייבר הלאומי מתריע - אתר מתחזה ל-GOLF 🚨

מערך הסייבר הלאומי זיהה אתר אינטרנט מזויף המתחזה לאתר הרשמי של חברת GOLF, במטרה לבלבל את הציבור ולאסוף פרטים אישיים ופרטי תשלום.
האתר עושה שימוש בשם דומיין דומה מאוד לשם הרשמי, כדי ליצור תחושת אמינות ולגרום לגולשים להזין בו את פרטיהם.

❌ האתר המתחזה:
golf-il.shop

🔗 האתר הרשמי והבטוח של החברה:
golf-il.co.il

⚠️ מה המשמעות?
מדובר בניסיון דיוג (Phishing) - אתר שנבנה כך שייראה אמין, אך בפועל מטרתו לגנוב מידע רגיש כמו פרטי חשבון ותשלום.

🔒 כך תשמרו על עצמכם:
• הקלידו תמיד את כתובת האתר בעצמכם, ואל תלחצו על קישורים בהודעות SMS, מייל או רשתות חברתיות.
• בדקו שהדומיין (הכתובת) תואם במדויק לכתובת הרשמית.
• אל תמסרו פרטים אישיים או פיננסיים באתר שאינו ודאי.

📢 זיהיתם אתר חשוד? דווחו למערך הסייבר הלאומי במוקד 119.

שימו לב לשינוי במדיניות הפרטיות של Claude שיתחילו להשתמש בשיחות שלכם בשביל לאמן את המודלים שלהם (נתון לבחירתכם).

השינוי חל גם על משתמשים משלמים אך לא יחול על תכניות Work, Gov, Education, וכן על API use (כולל צד ג').

באנת'רופיק מציינים כי לכל המשתמשים יקפוץ בזמן הקרוב חלון השואל את המשתמש אם הוא מעוניין לאפשר למודלים ללמוד מהמידע שלו, וכל אחד יוכל לבחור אם כן או לא (תמונה מצ"ב).

https://news.1rj.ru/str/CyberSecurityIL/7670

לפי אתר ShadowServer יש בישראל עדיין 37 שרתים של Citrix שחשופים לעולם כשהם לא מפוצ'פצ'ים לחולשה הקריטית.

אגב, מאז היום שבה החולשה פורסמה (בערוץ) הכמות ירדה מ-51 שרתים לכאמור, 37. שימו לב.

https://news.1rj.ru/str/CyberSecurityIL/7671

מתקפת סייבר על ספקית מערכות IT משפיעה על 200 רשויות מקומיות בשוודיה.

מתקפת סייבר על Miljödata, חברה המספקת מערכות ושירותי IT לכ-80% מהרשויות המקומיות בשוודיה, גרמה לשיבושים ביותר מ-200 אזורים.
המתקפה פגעה בזמינות השירותים של העיריות וקיים חשש שתוקפים גנבו מידע רגיש.

חברת Miljödata מסרה כי היא פועלת לשחזור המערכות ומשתפת פעולה עם רשויות כדי לטפל באירוע.

https://news.1rj.ru/str/CyberSecurityIL/7672

בשבוע האחרון (ולא רק) יש קמפיין פישינג רחב תוך התחזות לטלגרם (ולמערך הסייבר) במטרה לגנוב חשבונות טלגרם של משתמשים.

התוקפים שולחים הודעות בטלגרם מחשבונות עם שמות כמו Support וכו' המזהירות מפני השעיית החשבון, תוך שבתמונה המצורפת מופיע גם תמונה של מערך הסייבר יחד עם לינק.

בלחיצה על הקישור מגיעים לאתר פישינג המבקש מהמשתמש לבצע חיבור לחשבון הטלגרם שלו, כמובן שכל המידע עובר ישירות לתוקפים, כולל קוד ההזדהות.

https://news.1rj.ru/str/CyberSecurityIL/7673

חברת סייבר ישראלית: "איראן ניסתה לרגל אחר המו"מ להחזרת החטופים"

לפי חברת "דרים" (Dream), גורמים איראניים שלחו מיילים מזויפים לדיפלומטים ממצרים, קטאר וארה"ב עם מסמכים שהכילו נוזקה שהופעלה עם פתיחת הקובץ – ככל הנראה לצורך ריגול ומעקב אחר השיחות בקהיר. (ההמשך ב-Ynet).

המחקר המלא, כולל אינדיקטורים ומידע טכני, זמין בבלוג של Dream.

https://news.1rj.ru/str/CyberSecurityIL/7677

מתקפת כופר על סטודיו העיצוב של חברת ניסאן.

קבוצת הכופר Qilin טענה כי גנבה 4TB של נתונים מחברת Creative Box Inc, חברת בת של ניסאן.
המידע כולל כולל מודלים תלת-ממדיים של כלי רכב, דוחות פנימיים ומסמכים פיננסיים.

חברת ניסאן מאשרת כי חל אירוע דלף מידע בשרת של Creative Box Inc והחברה חסמה את הגישה לשרת מיד לאחר הגילוי.

https://news.1rj.ru/str/CyberSecurityIL/7678

פייק ניוז: משתמשי ג'ימייל לא צריכים להחליף סיסמה.

כמה ערוצי תקשורת בארץ פרסמו בימים האחרונים כותרות מבהילות על הצורך באיפוס סיסמה לאחר פריצה לגוגל.
חלק מהאתרים הואילו בטובם מאוחר יותר לעדן את הכותרות המפוצצות כי, מה לעשות, אין להן קשר למציאות.

בפועל מדובר בפריצה למוצר Drift של חברת Salesloft שכתבתי עליה בערוץ. גוגל פירסמה עדכון שהתוקפים הצליחו לגנוב טוקנים בכדי להתחבר למספר חשבונות Google Workspace של משתמשים.

גוגל כמובן עדכנה את המשתמשים שנפגעו, ביטלה את הטוקנים שנחשפו וכו', אבל אין צורך לשנות סיסמאות לחשבון הגוגל שלכם. בטח אם אין לכם אינטגרציה עם המוצר Drift.

העדכון של גוגל בנושא מופיע כאן.

https://news.1rj.ru/str/CyberSecurityIL/7679

תוקף גנב 1.5 מיליון דולר מעיריית בולטימור לאחר שהתחזה לספק ושינה פרטי חשבון.

בין פברואר למרץ 2025, תוקף התחזה לעובד של ספק לגיטימי של עיריית בולטימור והשתמש בטופס ספק מזויף כדי לשנות את פרטי חשבון הבנק במערכת Workday של העירייה.
התוקף הצליח להעביר לידיו שני תשלומים בסך כולל של כ-1.5 מיליון דולר לחשבון שבשליטתו:
תשלום ראשון של 803,384 דולר ב-21 בפברואר ותשלום שני של 721,236 דולר ב-10 במרץ.

הגניבה התגלתה ב-13 במרץ 2025, לאחר שהבנק דיווח לעירייה על פעילות חשודה.

החזרה חלקית של הכסף התאפשרה בזכות התערבות מהירה של הבנק, שזיהה את התשלום השני כחשוד והקפיא את החשבון, מה שאפשר להחזיר 721,236 דולר לעירייה.
עם זאת, התשלום הראשון בסך 803,384 דולר כבר נמשך על ידי התוקף ולא הוחזר.

עיריית בולטימור הגישה תביעת ביטוח כדי לנסות לקבל חזרה את הסכום שנגנב, והעירייה דיווחה על האירוע ל-FBI.

בנוסף, מדווחים בעירייה כי הם הטמיעו נהלים חדשים בעקבות האירוע, כולל אימות טלפוני של שינויי פרטי בנק, המתנה של 48 שעות לפני ביצוע שינויים והגבלת הרשאות לאישור שינויים כאלה.

https://news.1rj.ru/str/CyberSecurityIL/7680