מאגר המשתמשים של פורום BreachForums הופץ ברשת.

אתר BreachForums משמש האקרים שונים לפרסום, מכירה וקניה של מידע שנגנב במתקפות שונות וכדו'.

המאגר, עם מידע על כ-324,000 משתמשי הפורום, הופץ תחת דומיין עם השם ShinyHunters אך בקבוצת ShinyHunters טענו כי אין להם קשר לדלף.

המנהל הנוכחי של אתר BreachForums אישר את הפריצה וטען כי המאגר היה חשוף לזמן קצר ללא הגנות מתאימות.

https://t.me/CyberSecurityIL/8353

2,590 מסמכים עם שמות טייסים ומידע סודי נחשפו באינטרנט. לצה"ל נדרשו שישה ימים לסגור את הפרצה (כתבה של רן בר זיק בדה מרקר)

שמות מלאים של טייסים שהשתתפו בתקיפה בג'נין, מפה מפורטת של מתקן כליאה צבאי ומידע על מערכת הסייבר מול איראן — כל אלה ועוד נחשפו במסמכים צבאיים שנשמרו באופן לא מאובטח, בתיקייה ציבורית של דובר צה"ל שאפשר היה למצוא בחיפוש פשוט בגוגל. בצנזורה הצבאית הגדירו את המידע הזה "מסכן חיים" — אבל המסמכים הוסרו מהאינטרנט רק שישה ימים לאחר ש-TheMarker הביא לידיעת צה"ל את דבר הדליפה.

חלק מהמסמכים נשמרו בתיקייה פתוחה לאינטרנט ללא צורך בזיהוי. גם גוגל הצליחה להגיע לחלקם, וכל גולש עם ידע מינימלי יכול היה לגשת אליהם ללא בעיה. בשרת אפשר היה למצוא 2,590 מסמכי PDF שבחלקם היו פרטים עם מידע סודי ורגיש.

בין השאר מופיעים במסמכים שמות מלאים של קצינים וחיילים בסדיר, במילואים ובקבע שאמורים להיות מצונזרים ולהופיע באות הראשונה של שמם בלבד. כך, למשל, שמותיהם המלאים של טייסים שהשתתפו בתקיפה בג'נין, תחקירים פנימיים של דובר צה"ל ומידע על בסיסים ומבנים שונים הופיעו ללא השחרה או צנזורה.

המסמכים האלה הגיעו מדובר צה"ל באמצעות מערכת גיבוי והפצה שסופקה על ידי חברה מסחרית, המשווקת את שירותיה גם ללקוחות במגזר הפרטי. המערכת מאפשרת בין השאר הנגשה של מסמכים באמצעות קישורים (לינקים). קישורים כאלה שימשו את יחידת דובר צה"ל בשנים האחרונות כדי להפיץ הודעות ומסמכים אחרים לעיתונאים.

למעשה, חיילים ביחידת דובר צה"ל השתמשו במערכת כדי לשמור מסמכים מסוימים ולהפיץ אחרים — למשל, לקבל ידיעה גולמית על מבצע צבאי ולצנזר את שמות המשתתפים בו, ואת המסמך הזה, שאמור רק הוא להיות פומבי, להפיץ כקישור לעיתונאים — כדי שייכנסו לקישור ויראו את המסמך המצונזר....

...אלא שהמקרה הפעם היה קפקאי במיוחד. עם הפנייה הראשונית לדובר צה"ל, שבה הובהרה חומרת החשיפה של המידע, התגובה הראשונית הייתה: "היי מה שלומך, נהיה איתך בקשר". בשלב הבא פירסמתי קריאה לעזרה ברשתות החברתיות, שבה נכתב כי מסמכים רגישים חשופים ברשת, מבלי לציין את פרטי המקרה. בתגובה קיבלו עורכיי טלפון מהצנזורה הצבאית בדרישה להוריד מיד את הפרסום נטוח הפרטים, מפני שזהו "מידע מסכן חיים".

לבסוף התקיימה שיחה רשמית עם גורמי סייבר צבאיים, יחד עם גורמים ביחידת דובר צה"ל, שניסו להסביר מדוע סגירת הפרצה כה קשה. אחרי ששמעתי הסברים מפותלים על כך שמדובר במערכת אזרחית שהשבתה שלה תהפוך את כלל המסמכים לבלתי נגישים, לרבות כאלה שאמורים להיות חשופים לציבור, הצעתי את הפתרון הטכני המקובל במקרים האלה, שנפוץ כבר 30 שנה.

זו פרצה שקל לסגור — זה עניין של כמה שורות קוד, פעולה שאפשר לבצע תוך חצי דקה, ולא פעולה טכנית מורכבת. אפשר אפילו לסגור את התיקייה למשתמשים חיצוניים ולהשאיר אותה פתוחה למשתמשים פנימיים, כדי להשאיר את המסמכים ההיסטוריים זמינים. הטכנולוגיה של השרתים מאפשרת לעשות את זה בקלות רבה.

אם היו מתייחסים ברצינות לדיווח הראשוני על הפרצה, לא היו צריכים אותי כדי להורות את הדרך. רק אחרי שהבהרתי עד כמה זה קל, וכעבור עוד כמה שעות, הפרצה נסגרה — שישה ימים אחרי שדיווחתי עליה לצבא. זהו טיפול איטי מאוד שאי־אפשר להסביר במקרה של גוף רגיש וטכנולוגי כמו צה"ל.

הכתבה המלאה בדה מרקר

https://t.me/CyberSecurityIL/8355

אינסטגרם מדווחים כי התקלה/חולשה שאיפשרה לשלוח מיילים לאיפוסי סיסמאות למשתמשים שונים תוקנה.

לא ברור אם יש קשר למאגר שפורסם שוב לאחרונה או באירוע נפרד.

https://t.me/CyberSecurityIL/8356

מקבל מכם דיווח כי באתר של חברת מלמ שכר הושתלה נוזקה מסוג Clickfix המובילה להורדת סטילר.
malam-payroll[.]com

אם תהיה תגובה רשמית של מלמ אפרסם כאן. ייתכן כי הנושא כבר טופל.

https://t.me/CyberSecurityIL/8359

מקבל דיווח כי לקוחות קיבלו מהחברה את ההודעה הבאה:

לקוחות יקרים,

בהמשך לפנייתכם אלינו, נבקש לעדכן כי אירוע אבטחת המידע שאירע אצל ספק אירוח אתר  האינטרנט שלנו טופל, ולא נמצאה כל חדירה למערכות החברה, לא בוצעה גישה זדונית, ולא נחשף מידע של לקוחות.

האירוע אינו קשור למערכות התפעוליות שלנו, אלא לאתר האינטרנט השיווקי המפרט אודות המוצרים והשירותים והנושא נמצא במעקב וטיפול מלא מול הספק.
עקב ניסיון זה מערכות הניטור שלכם ככל הנראה  חסמו מיילים לגיטימיים  אשר הגיעו מדומיין מלם שכר. המיילים ככל הנראה ישתחררו במהלך הלילה ומחר.

לשאלות נוספות – נשמח לעמוד לרשותכם

https://t.me/CyberSecurityIL/8360

כמה מילים על האירוע אתמול במל"מ שיצר לא מעט רעש:

- למיטב ידיעתי מדובר היה בניצול חולשה בתוסף של וורדפרס.
תזכורת עבורכם לוודא שאתם משתמשים בתוספים איכותיים, שמתוחזקים באופן שוטף.
שווה לשקול להגדיר עדכונים אוטומטיים באתר שלכם.

- אינדיקטורים שקיבלתי: 1 ו-2

- מדובר בקמפיין רחב שלא פגע רק במל"מ אלא באתרים נוספים מסביב לעולם.

- קמפיין Clickfix רץ כבר תקופה ארוכה, אתם יכולים למצוא אינדיקטורים נוספים לקמפיין הזה גם בשני האתרים האלו:

1. https://clickfix.carsonww.com/

2. https://threatfox.abuse.ch/browse/tag/clickfix/

https://t.me/CyberSecurityIL/8363

מוקדם יותר היום - קבוצת התקיפה Tengu מפרסמת כקרבן את חברת "קוויק סייפטי".
מדובר בעסק קטן (קבלן חשמל).

התוקפים מפרסמים בעיקר תיבות דוא"ל ומציבים דדליין של כ-7 ימים.
למיטב הבנתי לא מדובר בהצפנה אלא רק בגניבת מידע.

https://t.me/CyberSecurityIL/8366

האירוניה - סין דורשת להפסיק להשתמש במוצרים של חברות אבט"מ ישראליות מחשש לאיסוף והוצאת מידע רגיש מחוץ לגבולות המדינה.
(גלובס)

https://t.me/CyberSecurityIL/8367

קראודסטרייק קונה את סרפיק הישראלית. שווי הרכישה כ-400 מיליון דולר.

חברת סרפיק סקיוריטי (Seraphic Security) מתמחה באבטחת דפדפנים. (כלכליסט)

הארגון הרפואי AZ Monica, שמפעיל שני בתי חולים בבלגיה, השבית את כל מערך המחשוב בשל מתקפת סייבר.

בעקבות המתקפה בוטלו כל הפרוצדורות הרפואיות שנקבעו וחולים במצב קשה הועברו לבתי חולים אחרים.
מחלקות החירום פועלות במתכונת חלקית.

https://t.me/CyberSecurityIL/8370

כמה אירועי סייבר מסביב לעולם:

- פאלו אלטו מפרסמת תיקון לחולשה (CVE-2026-0227), המאפשרת לתוקפים להכניס את ה-FW למצב תחזוקה.

- חברת Kyowon מדרום קוריאה מדווחת על דלף מידע של כ-5.5 מיליון משתמשים בעקבות מתקפת כופר.

- הרשות להגנת הפרטיות בצרפת קנסה את חברת Free Mobile ב-42 מיליון אירו על דלף נתונים מ-2024 של כ-23 מיליון מנויים.

- ממשלת פולין מדווחת כי הצליחה להתמודד עם מתקפת סייבר רוסית על חברת החשמל במדינה שהתרחשה לפני כחודש.

https://t.me/CyberSecurityIL/8372

בנק JPMorgan תובע יועץ לשעבר על גניבת מידע סודי ושימוש בו "לגניבת" לקוחות.

קווין ג'יי. סרסיה, יועץ פרטי ששירת כ-230 לקוחות עם נכסים בהיקף 251 מיליון דולר, התפטר מהבנק ב-3 בדצמבר 2025.
סמוך ממש להתפטרות הוא ניגש, בשעות מאוחרות, למידע של 175 לקוחות במערכות הפנימיות של החברה,.

לאחר שהשיג את המידע יצר סרסיה קשר עם הלקוחות והזמין אותם להעביר את חשבונותיהם לחברת LPL Financial, הוא הצליח למשוך 31 משקי בית שהעבירו נכסים בהיקף 22 מיליון דולר.

ב-JPMorgan הגישו תביעה עם בקשה לצו מניעה זמני נגד סרסיה.

https://t.me/CyberSecurityIL/8373

עדכון על קבוצת הכופר "סכין הסיקרי".

אחרי מחקר קצר ולא מעט התכתבויות עם מנהל הקבוצה הזו, נראה שאין קשר לישראל.

מדובר ככל הנראה בבחור הודי/מלזי, שמסיבות לא ברורות, החליט להרים אתר בעברית עם שם שמציג כביכול השתייכות לישראל/יהדות.
https://t.me/CyberSecurityIL/8375

מתקפת הכופר על Vastaamo: חמש שנים אחרי האירוע, ב-BBC מביאים כתבה מעניינת על כיצד השפיעה המתקפה על מטופלים, על הפחד מהמידע הרגיש שדלף החוצה, הצפייה במידע הרגיש שתיעדו המטפלים על המטופלים ועוד. מעניין ושווה קריאה גם למי שלא מכיר את הסיפור.

https://t.me/CyberSecurityIL/8376