מסכמים את 2019 - אילו איומים תקפו אותנו?

עברה עלינו שנה גדושה ב-2019 החל ממתקפות פישינג שמופצות במיילים, במסרונים ובשיחות טלפון, שלל אפליקציות מזויפות ונוזקות כופר שהמשיכו להשתדרג והיכו בכל העולם וגם אצלנו.

השנה האחרונה הייתה מלאה בכותרות איומי סייבר, התקפות ופרצות אבטחה. ריכזנו את כל מה שתקף אותנו בשנה החולפת לכתבה אחת שאולי תכין אותנו קצת יותר לקראת 2020.

הנה כמה מאיומי הסייבר הבולטים שהעסיקו אותנו בשנת 2019:

פישינג במסרונים וגם בשיחות טלפון

ניסיונות של פישינג תמיד מגיעים עם הנעה לפעולה ובמהלך השנה ראינו מגוון שלהם: בתחילת השנה, הופץ מייל שהתחזה ל-012 מובייל והתריע על בעיית אבטחה בחשבון. מספר חודשים לאחר מכן גם Hot mobile זכו להתחזות והפעם הסיבה היתה עדכוני פרטים לכלל מנויי החברה. היו גם תוקפים ששכללו את דרכי הפעולה שלהם, התחזו ל-Instagram ואפילו צירפו למיילים גם קוד אימות כביכול אישי במטרה להיראות אמינים יותר.

אבל ללא ספק הפישינג הפופולרי השנה היה ההתחזות ל-Paypal, שטען כי החשבון הוגבל וחשוב מאוד לאשר את הפרטים האישיים כדי שניתן יהיה להמשיך ולהשתמש בשירותי החברה. הפישינג הזה המשיך והתגלגל לאורך כל השנה.

בתחילת השנה גם קיבלו אנשים רבים שיחות מ"התמיכה של מיקרוסופט" על כך שהתקבלו אצלם התראות על תקלות במחשב שלהם והם רוצים לסייע ולעזור לפתור אותן. הגורמים מאחורי שיחת הטלפון ביקשו מהקורבנות לפתוח תוכנה לחיבור מרחוק והנציגים עברו עם הקורבנות על תקלות במחשב והראו להם חיבורים או שירותים שמצביעים על כך שהם נגועים בנוזקות. לאחר שרכשו את האמון של הקורבן, הנציגים פתחו קובץ "כתבן" והקלידו בו את המחירים של חבילות התמיכה שיעזרו לו והסבירו אילו פרטים להקליד (פרטים מזהים, פרטי האשראי וכו') ולשלם עבור השירות.

ברב המקרים מנסים גם לגנוב את פרטי האשראי דרך דף התשלום, שמתעד את הפרטים, כדי לבצע חיובים נוספים. במקרים אחרים שותלים נוזקות ורוגלות במחשב כדי לגנוב את פרטי האשראי ופרטים נוספים במועד מאוחר יותר.

גם התחזות לכביש 6 היתה השנה, כשישראלים דיווחו כי קיבלו שיחת טלפון בה הודיעו להם על חוב לכביש 6 וביקשו מהם פרטי אשראי על מנת לסגור את החוב. למעשה התברר כי זו היתה מתקפת פישינג ממוקדת על אזרחים שפרסמו את רכבם למכירה באינטרנט.

בכל המקרים, המטרה של התוקפים היא לדלות פרטים באמצעות פישינג (התחזות לאתרים לגיטימיים) ובהמשך להשתמש בפרטים אישיים כמו כרטיס אשראי כדי לחייב אותנו ולגנוב מאיתנו כספים.

הפצת מכתבי שרשרת בוואטספ במטרה לזרוע בהלה בציבור

בנובמבר השנה, ביום בו הגזרה בדרום בערה והמצב הביטחוני השתנה, התפשטו מכתבי שרשרת כמו שריפה בשדה קוצים. ההודעה אותה הפיצו טענה כי אזרחים מקבלים שיחות טלפון כביכול מפיקוד העורף ש"רוצים לחלק לאזרחים ערכות מגן", במטרה לדלות פרטים אישיים. הודעה נוספת שהופצה באותו היום היתה כי החמאס מתקשר ממספרים בעלי קידומת 099, 059 או 000 במטרה לאתר מקומות על המפה ולשם ישגרו טילים.

חודש לאחר מכן, כשחברת סונול ערכה פעילות דיגיטל וביקשה מהמשתתפים לשתף קישור עם כמה שיותר חברים כדי לזכות בדלק לשנה, הופצה במקביל הודעת שרשרת שטענה כי הפעילות הזו זדונית ואלו למעשה האקרים שרוצים להשיג גישה למכשירים הניידים של המשתתפים.

אפליקציות מזויפות בחנות האפליקציות Google Play

חגיגת הזיופים בחנות האפליקציות הרשמית של Google עלתה על גדותיה. מתחילת השנה נחשפו אפליקציות זדוניות רבות, חלקן התחזו ל"שלט אוניברסאלי" ולא עשו דבר מלבד להשתלט על מסך המכשיר ולהציג פרסומות.

נוזקה אחרת שלטה בפעולת "העתק הדבק" וברגע שהותקנה על מכשיר הקורבן שלטה בתוכן שבלוח העריכה, ויכלה להעתיק אותו ואפילו לשנות ולהחליף בתוכן אחר, כך שיכלה להפנות העברות כספים מחשבון הקורבן לחשבון התוקף.

בחודשים האחרונים Google הקימה את "הברית להגנת האפליקציות" שיתוף פעולה עם חברות אבטחת מידע במסגרתו היא נעזרת בחברות אבטחת מידע לזיהוי מהיר יותר של התנהגות זדונית של אפליקציות. ESET שמחה להיות שותפה בברית הזו ולסייע בהגנה על החנות הרשמית.

עיסוק תמידי בהשגת גישה לכסף שלנו

אפליקציות בנקאות מזויפות, מתחזות לאפליקציות בנקאות לגיטימיות, ופועלות כדי לגנוב את נתוני גישה לחשבונות הבנק של הקורבנות, או לגנוב מהם כסף. ממחקר של ESET עולה כי אפליקציות בנקאות מזויפות וטרויאנים בנקאיים מתוחכמים, הם שני הסוגים הנפוצים ביותר של נוזקות בנקאות לאנדרואיד.

במסגרת האפליקציות המזויפות, גם אפליקציות שמתחזות לארנקים דיגיטליים ניסו לדוג פרטי חשבונות של משתמשים בטענה שהן מאפשרות למשתמשים ליצור ארנקים למטבעות דיגיטליים שונים אך המטרה האמתית היא לרמות אותם ולגרום להם להעביר מטבעות דיגיטליים לארנקי התוקפים.

פרטיות מי?

העיסוק בפרטיות בשנים האחרונות נמצא בכותרות, כשכל פעם מאתגרים את הצורך בזה מזווית אחרת כשגורמים לא מורשים ו/או לא רצויים משיגים גישה לנתונים פרטיים אודותינו.

בינה מלאכותית אפשרה לאפליקציה חדשה "להפשיט" נשים בלחיצת כפתור אחת. בדומה לטכנולוגיות הדיפ פייק, גם הדיפ ניוד עוסק בזיופים, וכאן למעשה יצרו תמונת עירום בהתבסס על שילוב של מאות תמונות של נשים. הדוגמאות היו אמנם סלבס, אבל כל אישה נמצאת תחת איום שכזה. ההמלצות שלנו הן להמעיט בפרסום של תמונות שלנו בלבוש חלקי, או לפחות להגביל את הפרופילים ברשתות החברתיות שלנו, לחברים.

בהמשך השנה, התפרסמה אפליקציה שרבים הלכו בשבי אחריה – כיצד נראה בעוד 20 שנה, או בשמה הרשמי FaceApp. כדי שהאפליקציה תיצור עבורנו תמונה אישית, היא מעבדת את התמונות וכאן הבעייתיות הרבה היתה שכל התהליך הזה בוצע בענן של החברה ולא במכשיר האישי, ושנית היא ביקשה הרשאות לאלבום התמונות, כשחלק מהאנשים שומרים צילומי מסך של מידע אישי.

כופר

בחודש מרץ השנה היה פיק של מתקפות כופר בישראל (ניתן לראות מטה). מתקפות רבות הפכו למכוונות, במקום להפנות מתקפות לכל עבר, המתקפות ממוענות אישית ואף מתבצע מודיעין מוקדם טרם לכך. ארגונים גדולים מותקפים באמצעות פרצות אבטחה שמתגלות מפעם לפעם. סכומי הכופר והפוטנציאל הפכו גבוהים יותר.

בנוסף לארגונים בארץ אשר נופלים קורבן למתקפות כופר, גם אזרחי ישראל הפרטיים היו על הכוונת של עברייני רשת כשבספטמבר רבים ארגונים ואנשים קיבלו מייל לכאורה מרשות האכיפה והגבייה תחת הכותרת "הוצאה לפועל – מכתב תביעה". המייל המדובר כלל קובץ Word שמכיל קוד זדוני שמוריד נוזקת כופר אל המחשב, כאשר הנוזקה מצפינה את הקבצים, ודורשת תשלום כופר עבור שחזור הקבצים.

גם גלים רבים של הודעות מסוג sextortion היכו במהלך השנה – הודעות בנוסח "פרצנו לך לטלפון. שלם לנו 500$ ולא נפיץ סרטון אינטימי שלך" בהודעות אלו למעשה מאיימים על הקורבן כי בידי התוקף תמונות או סרטונים מיניים, ואם הוא לא ישלם להם סכום כסף, הוא יפיץ זאת ברבים ויש לו 72 שעות לעשות זאת.