תוקף מפרסם חולשת Zero-Day בשם Yellowkey המאפשרת לבצע מעקף להגנת Bitlocker במחשבי Windows 11.

לחוקר, שמשתמש בכינוי Nightmare-Eclipse, יש היסטוריה לא מוצלחת עם מייקרוסופט וזו לא החולשה הראשונה שהוא מפרסם בצורה כזו.

https://t.me/CyberSecurityIL/8937

🚨 אזהרה לציבור: הונאת פישינג חדשה באמצעות דיפ פייק

בשעות האחרונות מופצים ברשתות החברתיות סרטונים מזויפים, בהם נראה כביכול הראשון לציון והרב הראשי לישראל, הרב דוד יוסף, כשהוא ממליץ על מוצר רפואי מסוים.

מדובר בסרטון מזויף שנוצר באמצעות טכנולוגיית דיפ פייק, ולרב הראשי אין כל קשר לסרטון או למוצר המשווק באמצעותו.

הסרטון מפנה לעמוד מתחזה, שמטרתו לגנוב פרטים אישיים ופרטי תשלום מהציבור.

⚠️ איך תתגוננו?
• היזהרו מסרטונים המשתמשים בדמויות מוכרות ובידקו את אמינותם
• אל תלחצו על קישורים המופיעים בסרטון, בתגובות או בהודעות נלוות
• לפני רכישת מוצר רפואי, בדקו שהמידע מופיע באתר רשמי ומוכר
• אל תשאירו פרטים אישיים או פרטי אשראי באתרים שאינכם מכירים
• במקרה של ספק, עצרו ובדקו מול גורם רשמי

📢 נתקלתם בסרטון דומה?
דווחו לפלטפורמה שבה פורסם, והעבירו דיווח למוקד 119 של מערך הסייבר הלאומי.

בתי ספר באנגליה החלו להסיר תמונות של תלמידים מהאתרים הרשמיים ומהרשתות החברתיות לאחר שתוקפים עשו בהם שימוש לסחיטה.

דיווח של The Guardian חושף כי תוקפים הורידו תמונות של תלמידי חטיבת ביניים, שפורסמו באתר של בית ספר, העבירו אותם דרך AI כדי להפוך את התמונות לפורנוגרפיות, ולאחר מכן איימו על בית הספר כי התמונות יפורסמו אם לא ישולם כופר.

בעקבות המקרה מספר גופים באנגליה הוציאו הנחיה לבתי הספר להסיר מהאתרים ומהרשתות תמונות של תלמידים עם פנים חשופות.

ומה קורה בישראל??

חוק הגנת הפרטיות מחייב הסכמת הורים לצילום ופרסום קטינים, וזו הסיבה שבד"כ בקשה כזו מופיעה לכם כשאתם מבצעים רישום למוסדות שונים (בתי ספר, חוגים וכו').
אבל האם זה נאכף? קשה לדעת... נגיד שחלק מההורים אישרו וחלק לא, מסננים מהתמונות את מי שלא אישר? יש בכלל ביקורת על הנושא?

עשיתי בדיקה קצרה במספר אתרים של בתי ספר שונים בארץ, למעט אתר אחד, בכולם הופיעו תמונות של תלמידים, בטקסים, כנסים, חלוקת תעודות, פעילות בית ספרית ועוד...

אין ספק שמדובר בדגל אדום לא רק עבור בתי ספר אלא גם עבור ההורים והתלמידים, וגם מחוץ למסגרת הבית ספרית.

אלו תמונות שלכם או של הילדים שלכם אתם מעלים לרשת?
האם התמונות האלו יכולות לשמש תוקפים כדי לאיים עליכם או על הילדים שלכם?

ה-AI מאפשר לכולם לעשות הכל, והדרך מתמונה תמימה לתמונה שמובילה לסחיטה מינית וכספית היא קצרה מאד.

מערך הסייבר, המטה להגנה על ילדים ברשת (מוקד 105), משרד החינוך וכו' הוציאו אזהרות שונות בנושא בשנים האחרונות, ואלי הגיעו לא מעט מקרים כאלו עם ניסיונות נואשים למחוק חשבונות סחיטה שנפתחו ברשתות החברתיות וכדו'.

עם התקדמות ה-AI, והיכולת לזייף וליצור תמונות וסרטונים חשוב להציף את הנושא הזה שוב ושוב.

https://t.me/CyberSecurityIL/8943

פוסט מעניין של Cloudflare על איך הם משתמשים בסוכני AI לבצע Code Review.

אמ;לק: במשך 30 ימים הם הריצו 131,246 סריקות קוד על עשרות אלפי PRs באלפי רפוסיטורים.

זמן הסריקה הממוצע היה 3 וחצי דקות, והעלות הממוצעת הייתה 1.19$.

בגזרת הסקיוריטי הם מצאו 484 ממצאים קריטים מתוך סך של 11,985 ממצאי אבטחה.

למרות כל הנ"ל החברה מדגישה כי בינתיים אין תחליף מושלם לבדיקה אנושית וכי הסוכנים מתקשים להבין השפעה רחבה על ארכיטקטורה וכו'.

אם אתם עושים, או שוקלים לעשות שימוש, במודלי AI עבור Code Review, אז המאמר הזה שווה קריאה בעיון.

https://blog.cloudflare.com/ai-code-review

https://t.me/CyberSecurityIL/8944

קמפיין Mini Shai Hulud ממשיך והפעם בפגיעה בספריות של antv, כולל הספריה echarts-for-react שלה 1.1 מיליון הורדות שבועיות.

פרטים נוספים במאמר המתעדכן של Socket.

https://t.me/CyberSecurityIL/8945

מידע של הסוכנות להגנת סייבר ותשתיות בארה"ב (CISA) נחשף לאחר שספק צד ג' שמר את המידע הרגיש של הארגון ברפוסיטורי ציבורי.

לפי הדיווח של KrebsOnSecurity המידע שנשמר ברפוסיטורי ציבורי כשבור כולל סיסמאות לחשבונות ענן של CISA ולגישה למערכות שונות, מידע על שרשרת הפיתוח ב-CISA, סיסמאות נוספות בקבצי אקסל ועוד שפע של מידע רגיש, מה שהופך את האירוע לאחת הדליפות המרכזיות ממשרדי ממשלה בארה"ב.

המידע נשמר ע"י אחד העובדים בחברת Nightwing, ששימשה כספק עבור CISA, ברפוסיטורי שנקרא Private-CISA אבל כאמור, לא היה Private בכלל....

https://t.me/CyberSecurityIL/8949

גיטהאב מפרסמת עדכון לחקירה שביצעה בנושא.
לפי הפרסום, התוקפים הצליחו להדביק מחשב של אחד העובדים בתוסף VS code זדוני.

תודה לחיים שהסב את תשומת ליבי לעדכון.

https://t.me/CyberSecurityIL/8952

במסגרת הראיונות שאני מקיים בערוץ, אקיים בקרוב ראיון עם קבוצת TeamPCP.
יש לכם שאלות מעניינות לשאול?
מוזמנים לשלוח אותם אלי בפרטי או לרשום בתגובות (בשעה הקרובה).

אקזיט כל-ישראלי: חברת הסייבר הישראלית Cyera רוכשת את הסטארטאפ הישראלי הצעיר Genie Security, שהוקם לפני כחצי שנה בלבד ופעל עד כה מתחת לרדאר. שווי העסקה, שפורסמה לראשונה ב"כלכליסט", לא פורסם – אך מוערך בכ-50 מיליון דולר.

הכתבה המלאה בגיקטיים.

https://t.me/CyberSecurityIL/8955