בתחילת השבוע קיבלתי דיווחים על מתקפת סייבר בחברה ישראלית המספקת שירותי ענן, אינטגרציה, ואבטחת מידע.

התוקפים, קבוצה תומכת טרור המשוייכת ככל הנראה לאיראן, שלחו הדפסות עם מסרים בערבית, מחקו מידע משרתים ועוד.

בשלב זה לא ידוע על מידע שדלף החוצה והתוקפים (עוד) לא פירסמו דבר.

עוד אירוע שמחדד שוב את האבטחה של שרשרת האספקה ומזכיר לכם לוודא שאתם יודעים מי כל הספקים שלכם, מה רמת האבטחה שלהם, מה אתם עושים במקרה של אירוע סייבר אצל צד ג' ואיך זה משפיע עליכם ועל המידע שאותו צד מנהל עבורכם או מחזיק בגישה אליו.

https://news.1rj.ru/str/CyberSecurityIL/8340

המטמון שנחשף בהדלפות נפתלי בנט, צחי ברוורמן ואיילת שקד (הארץ)

דליפת אלפי אנשי הקשר של נפתלי בנט, צחי ברוורמן ואיילת שקד מהווה בעיית ביטחון מידע חמורה, כך עולה מבדיקת "הארץ". עשרות רבות מהם - בכירים וכאלה שמכהנים או כיהנו בעבר בתפקידים רגישים - נמצאים כעת בסכנה להיות מטרות ריגול מצד גורמים זרים. גורמים שהיו אמונים בעבר על הנושא אומרים כי מדובר במחדל חמור. בדיקת "הארץ" העלתה כי קבוצת ההאקרים שהדליפה את המספרים כבר החלה לבצע הצלבה וטיוב של המידע החדש אל מול מאגרים משמעותיים שדלפו בעבר מישראל.

דליפת המידע חמורה שכן מי שזיהה את אותם בעלי תפקידים רגישים ברשימת אנשי הקשר שדלפו, יחד עם מספר הטלפון הנייד האישי שלהם, יכול כעת להשתמש במידע זה כדי לאכן את מיקומם בישראל וברחבי העולם, לאתר חשבונות רשת שלהם המקושרים למספר, ולעקוב אחריהם באמצעים מתקדמים שונים.

לעת עתה לא ברור אם הנדלה אכן הצליחו לפרוץ למכשיריהם של בנט, ברוורמן ושקד, או רק לגיבויי רשת של חשבונות הוואטסאפ וטלגרם שלהם, הכוללים אנשי קשר, תכתובות וסרטונים

מבדיקת "הארץ" עולה כי ישראלים שמספרם נחשף בדליפת אנשי הקשר קיבלו בשבועות האחרונים הודעות SMS מגורם זר המתיימר להיות המודיעין האיראני.

"המודיעין האיראני מוכן לשיתוף פעולה שלך - אתה מוזמן לפנות באינטרנט לאחת השגרירויות שלנו", נאמר במסרון ראשון. "דלתות שגרירות איראן פתוחות בפניך", נמסר בהודעה שניה.

המסרון השלישי כלל איום: "זו ההזדמנות האחרונה להציל את עצמך ואת משפחתך. השגרירויות שלנו פתוחות. אנחנו יודעים עליך הכל". לכל הודעה צורף קישור שכלל את מספר תעודת הזהות של ילדי היעד למעקב, עם הזמנה "לראות את המידע שיש לנו".
מי שלחץ על הקישור גילה לתדהמתו אילן יוחסין נרחב שלו, הכולל את שמות ותעודות הזהות של הוריו, ילדיו, דודיו , בני דודו, ועוד.

בדיקה העלתה כי על השרת הזר מאוחסנים תרשימי יוחסין של ישראלים רבים - כולם אנשי קשר שמספרם נחשף בהדלפות בנט, ברוורמן ושקד.

הכתבה המלאה בהארץ

מזכיר לכם כי גם באירועי סייבר קודמים תוקפים אספו מידע מכמה מקורות ושלחו לאנשים מסמכים המפרטים את הקשרים המשפחתיים שלהם וכו'.
כתבתי על זה כאן בערוץ בעבר (דלף המידע של אנשי חיל האוויר).

https://news.1rj.ru/str/CyberSecurityIL/8341

בהמשך לנ"ל קבוצת תקיפה תומכת טרור, המשוייכת ככל הנראה לאיראן,
לוקחת אחריות על המתקפה נגד חברת סקיינט מחשבים, כמו כן היא טוענת כי תקפה שני ארגונים נוספים (חברת Dpaz המספקת שירותים בתחום החשמל, וסוכנות הנסיעות "קרדינל")

מדובר בקבוצה המכנה את עצמה "ילדי עזה", הפועלת נגד גופים בישראל מאז תחילת המלחמה באוקטובר 23.
הקבוצה עוסקת בעיקר בהשחתה וגניבת מידע.

https://news.1rj.ru/str/CyberSecurityIL/8345

קבוצת Anonymous For Justice (זוכרים?) מפרסמת מידע השייך כביכול לחברת אלביט ולפיתוח של מזל"טים.

מדובר במידע שחלקו הגדול ישן (2002-2019) ונראה שהושג ממחשב בודד.

המידע מכיל מספר מסמכים ותמונות הקשורים כביכול לאלביט, כמו כן מידע אישי שאינו קשור לאלביט ונראה שקשור לעובד/ת שממנה הושג המידע (סרטונים, תמונות וכדו')

https://news.1rj.ru/str/CyberSecurityIL/8346

קמפיין הפישינג באמצעות טענה להפרה של זכויות יוצרים ממשיך כבר מספר חודשים.
מערך הסייבר מפרסם קובץ מזהים עדכני.
מצ"ב.

https://news.1rj.ru/str/CyberSecurityIL/8348

שימו לב לחולשה קריטית (נוספת) בשירות n8n.

החולשה CVE-2026-21858 מאפשרת הרצת קוד מרחוק, והיא מפוצ'פצ'ת מגרסה 1.121.0 ואילך (זו גרסה שכבר שוחררה לפני כחודש+ ורלוונטית למי שמשתמש בשירות self hosted).

שימו לב שלפי אתר Shadowserver יש בישראל 60+ שרתי n8n החשופים לחולשה וזמינים מרשת האינטרנט.

https://news.1rj.ru/str/CyberSecurityIL/8352

מאגר המשתמשים של פורום BreachForums הופץ ברשת.

אתר BreachForums משמש האקרים שונים לפרסום, מכירה וקניה של מידע שנגנב במתקפות שונות וכדו'.

המאגר, עם מידע על כ-324,000 משתמשי הפורום, הופץ תחת דומיין עם השם ShinyHunters אך בקבוצת ShinyHunters טענו כי אין להם קשר לדלף.

המנהל הנוכחי של אתר BreachForums אישר את הפריצה וטען כי המאגר היה חשוף לזמן קצר ללא הגנות מתאימות.

https://news.1rj.ru/str/CyberSecurityIL/8353

2,590 מסמכים עם שמות טייסים ומידע סודי נחשפו באינטרנט. לצה"ל נדרשו שישה ימים לסגור את הפרצה (כתבה של רן בר זיק בדה מרקר)

שמות מלאים של טייסים שהשתתפו בתקיפה בג'נין, מפה מפורטת של מתקן כליאה צבאי ומידע על מערכת הסייבר מול איראן — כל אלה ועוד נחשפו במסמכים צבאיים שנשמרו באופן לא מאובטח, בתיקייה ציבורית של דובר צה"ל שאפשר היה למצוא בחיפוש פשוט בגוגל. בצנזורה הצבאית הגדירו את המידע הזה "מסכן חיים" — אבל המסמכים הוסרו מהאינטרנט רק שישה ימים לאחר ש-TheMarker הביא לידיעת צה"ל את דבר הדליפה.

חלק מהמסמכים נשמרו בתיקייה פתוחה לאינטרנט ללא צורך בזיהוי. גם גוגל הצליחה להגיע לחלקם, וכל גולש עם ידע מינימלי יכול היה לגשת אליהם ללא בעיה. בשרת אפשר היה למצוא 2,590 מסמכי PDF שבחלקם היו פרטים עם מידע סודי ורגיש.

בין השאר מופיעים במסמכים שמות מלאים של קצינים וחיילים בסדיר, במילואים ובקבע שאמורים להיות מצונזרים ולהופיע באות הראשונה של שמם בלבד. כך, למשל, שמותיהם המלאים של טייסים שהשתתפו בתקיפה בג'נין, תחקירים פנימיים של דובר צה"ל ומידע על בסיסים ומבנים שונים הופיעו ללא השחרה או צנזורה.

המסמכים האלה הגיעו מדובר צה"ל באמצעות מערכת גיבוי והפצה שסופקה על ידי חברה מסחרית, המשווקת את שירותיה גם ללקוחות במגזר הפרטי. המערכת מאפשרת בין השאר הנגשה של מסמכים באמצעות קישורים (לינקים). קישורים כאלה שימשו את יחידת דובר צה"ל בשנים האחרונות כדי להפיץ הודעות ומסמכים אחרים לעיתונאים.

למעשה, חיילים ביחידת דובר צה"ל השתמשו במערכת כדי לשמור מסמכים מסוימים ולהפיץ אחרים — למשל, לקבל ידיעה גולמית על מבצע צבאי ולצנזר את שמות המשתתפים בו, ואת המסמך הזה, שאמור רק הוא להיות פומבי, להפיץ כקישור לעיתונאים — כדי שייכנסו לקישור ויראו את המסמך המצונזר....

...אלא שהמקרה הפעם היה קפקאי במיוחד. עם הפנייה הראשונית לדובר צה"ל, שבה הובהרה חומרת החשיפה של המידע, התגובה הראשונית הייתה: "היי מה שלומך, נהיה איתך בקשר". בשלב הבא פירסמתי קריאה לעזרה ברשתות החברתיות, שבה נכתב כי מסמכים רגישים חשופים ברשת, מבלי לציין את פרטי המקרה. בתגובה קיבלו עורכיי טלפון מהצנזורה הצבאית בדרישה להוריד מיד את הפרסום נטוח הפרטים, מפני שזהו "מידע מסכן חיים".

לבסוף התקיימה שיחה רשמית עם גורמי סייבר צבאיים, יחד עם גורמים ביחידת דובר צה"ל, שניסו להסביר מדוע סגירת הפרצה כה קשה. אחרי ששמעתי הסברים מפותלים על כך שמדובר במערכת אזרחית שהשבתה שלה תהפוך את כלל המסמכים לבלתי נגישים, לרבות כאלה שאמורים להיות חשופים לציבור, הצעתי את הפתרון הטכני המקובל במקרים האלה, שנפוץ כבר 30 שנה.

זו פרצה שקל לסגור — זה עניין של כמה שורות קוד, פעולה שאפשר לבצע תוך חצי דקה, ולא פעולה טכנית מורכבת. אפשר אפילו לסגור את התיקייה למשתמשים חיצוניים ולהשאיר אותה פתוחה למשתמשים פנימיים, כדי להשאיר את המסמכים ההיסטוריים זמינים. הטכנולוגיה של השרתים מאפשרת לעשות את זה בקלות רבה.

אם היו מתייחסים ברצינות לדיווח הראשוני על הפרצה, לא היו צריכים אותי כדי להורות את הדרך. רק אחרי שהבהרתי עד כמה זה קל, וכעבור עוד כמה שעות, הפרצה נסגרה — שישה ימים אחרי שדיווחתי עליה לצבא. זהו טיפול איטי מאוד שאי־אפשר להסביר במקרה של גוף רגיש וטכנולוגי כמו צה"ל.

הכתבה המלאה בדה מרקר

https://news.1rj.ru/str/CyberSecurityIL/8355

אינסטגרם מדווחים כי התקלה/חולשה שאיפשרה לשלוח מיילים לאיפוסי סיסמאות למשתמשים שונים תוקנה.

לא ברור אם יש קשר למאגר שפורסם שוב לאחרונה או באירוע נפרד.

https://news.1rj.ru/str/CyberSecurityIL/8356