לפחות 120 ישראלים נפלו קורבן: רשת העבריינים שגונבת זהויות בעזרת AI.

יחידת הסייבר של להב 433 מנהלת מאז חודש ינואר חקירה בפרשה חריגה, שבמרכזה צעיר כבן 20 ממרכז הארץ. הצעיר חשוד כי עמד בראש רשת שגנבה את זהותם של לפחות 120 ישראלים, ובמשטרה מעריכים כי מספר הקורבנות בפועל גבוה בהרבה.

לפי החשד, חברי הרשת השיגו גישה למאגרי מידע פרוצים שהכילו תעודות זהות, תמונות ופרטים אישיים של אזרחים. באמצעות כלי בינה מלאכותית, יצרו החשודים "זהויות סינתטיות" שאפשרו להם לעבור את תהליכי הזיהוי הדיגיטליים של בנקים וחברות אשראי. בדרך זו הם פתחו חשבונות בנק והנפיקו כרטיסי אשראי על שמם של הקורבנות.

במשטרה מגדירים את החשוד המרכזי כ"מוח" שמאחורי הפרשה ובעל יכולות טכנולוגיות גבוהות בתחום הבינה המלאכותית, שפעל יחד עם שותפים נוספים. החוקרים בודקים גם חשד לפיו חלק מהזהויות שנגנבו נמכרו לגורמים שלישיים.

כאשר הבין החשוד כי טבעת החקירה מתהדקת סביבו, הוא נמלט מהארץ דרך מעבר טאבה והגיע לתאילנד. במסגרת המאמץ החקירתי הוצאו לא פחות מ-90 צווים, ובימים האחרונים הוא נעצר. עם מעצרו נתפס מכשיר הטלפון הנייד שלו, אך החשוד מסרב עד כה למסור את קוד הגישה אליו.

הכתבה המלאה ב-i24

https://t.me/CyberSecurityIL/9101

פרצו למערכת ההתרעות בברזיל ושלחו מיליוני הודעות שווא: התרחיש שמדאיג גם בישראל (כלכליסט)

האקרים שפרצו למערכת התרעות החירום של ברזיל הצליחו לשלוח אתמול (ש') התרעות חירום מזוייפות לסמארטפונים של מיליוני אזרחים – כך הודיעה ממשלת ברזיל. מדובר במתקפת סייבר שרלוונטית לישראל, זאת לאור השימוש שנעשה בהתרעות חירום בעיתות מלחמה.
לפי דיווחים, ההתרעות נשלחו תחת קטגוריית "התרעה חמורה", שמשמשת לאזהרות על אירועי מזג אוויר חריגים. תוכן ההתרעה, בפורטוגזית היה "Defesa Civil:misantropi4", או "הגנה אזרחית:מיזנטרופיה" (4 משמשת כתחליף לאות A). ההתרעה נשלחה תחילה למכשירים במדינה פרנה שבדרום ברזיל, וכמה דקות מאוחר יותר למכשירים בריו דה ז'ניירו וסאו פאולו.
מערכת ההתרעות הושבתה זמן קצר לאחר מכן, ולא ברור מתי תוחזר לפעולה.

שר ההגנה האזרחית של ברזיל, וולניי וולף, אמר שאותרו עשר התרעות זהות שנשלחו למדינות שונות בברזיל. "קשה להגיד האם אדם אחד או יותר השתתפו בפעולה פלילית זו. זה רע מאוד למערכת, בהתחשב בכך שאנו עוסקים בבטיחות אנשים כשאנו מוציאים התרעות", הוא צוטט בבלומברג.

פיקוד העורף עושה שימוש במערכת התרעות דומה, בפרט במהלך המלחמות עם איראן, על מנת לשלוח התרעות מפולחות גיאוגרפיות של שיגורים ונפילות טילים צפויות. התרעות אלו מתקבלות לרוב כמה שניות לפני הודעות הפוש מאפליקציית פיקוד העורף, ודקות לפני הישמע אזעקה. בשלב זה לא ידוע איך נפרצה המערכת הברזילאית, והאם מדובר בחולשה שמסכנת גם את המערכת של פיקוד העורף.

https://t.me/CyberSecurityIL/9102

קבוצת התקיפה Qilin מפרסמת כקרבן את ארגון World of Belz - זרוע ההסברה, התוכן והגיוס הבינלאומית של חסידות בעלז.

הקבוצה לא מפרסמת פרטים על המתקפה, ולא ברור איזה מידע נגנב, כמה, והאם הייתה הצפנה.

ארגון World of Belz הוא ארגון שמטרתו לתמוך במוסדות חסידות בעלז בישראל ובקהילה החסידית בכלל.

בהזדמנות זו, אני מחזיר אתכם למאמר הקצר שכתבתי על Qilin בתחילת השנה.

https://t.me/CyberSecurityIL/9103

שימו לב לציטוט הזה מכתבה שעלתה לפני שבוע באתר The Economist:

On June 11th Mark Warner, the vice-chair of the Senate Intelligence Committee, said that General Joshua Rudd, who leads the National Security Agency and the Pentagon’s Cyber Command, had told him that Mythos “broke into almost all of our classified systems, not in weeks, but in hours.

לפי הדיווח של ג'ושוע ראד, מנהל ה-NSA ומפקד פיקוד הסייבר של ארה"ב, מודל Mythos של אנת'רופיק הצליח לפרוץ לכל המערכות המסווגות של הארגון, לא בימים, בשעות. (כמובן במסגרת בדיקת Red Teaming מסודרת).

אפשר להבין את הלחץ של ממשלת ארה"ב להשבית במהירות את הגישה למית'וס/פייבל, אבל כמה זמן זה יחזיק מעמד?

השבוע ב-Xוויטר אילון מאסק ומנכ"ל חברת Z (מי שאחראית לפיתוח של מודל GLM) דיברו בקצרה על התאריך שבו הסינים יגיעו למודלים ברמה של מית'וס, והדיון היה על אם זה יקרה בתחילת 2027 או אולי לפני כן...

בקיצור העתיד של הסייבר ההגנתי וההתקפי הולך להשתנות בצורה דרמטית, והגיע הזמן שנתחיל לחשוב איך מפסיקים "להילחם" במקלות ואבנים מול יכולות צבאיות ברמה של טנקים ומטוסים.

ארגונים, ובעיקר מנהלי אבטחת מידע, צריכים להתחיל לחשוב אחרת:

- איך מגינים על הארגון מהתקפות מבוססות מית'וס אוטונומיות לחלוטין?

- פרצו בקלות לרשתות הכי מסווגות בפנטגון, גם אליכם יפרצו אם רק יירצו, איך אתם מתמודדים עם מתקפה שמתרחשת בקצב של דקות/שעות?

- איך אתם עוברים מתהליך של פיצ'פוץ' חולשות שלוקח שבוע במקרה הטוב לתהליך שלוקח דקות?

- איך אתם עוברים מבדיקות PT מסורתיות לבדיקות AI Red Teaming?

- איך מערכות ההגנה שלכם מתחילות לפעול בצורה אוטונומית שתואמת לקצב של התוקפים?

- החוליה הכי חלשה בשרשרת היא אולי כבר לא העובד שלכם אלא האייג'נט שהוא מריץ.

- איך צוותי הרגולציה, הריסק וכו' מתאימים את עצמם לקצב הזה, שכרגע רחוק מהם שנות אור?

- ועוד ועוד... הרשימה עוד ארוכה ויש עוד כ"כ הרבה דברים שצריכים להשתנות.

אם אתם ממשיכים לחשוב ישן בעולם חדש אתם בבעיה, וזה עניין של זמן עד שמית'וס וכו' יחגגו לכם בתוך הארגון (אולי הם כבר??)

https://t.me/CyberSecurityIL/9104

ארגון NL Health Services המספק שירותי בריאות בקנדה, התנצל בפני העובדים על תרגיל פישינג שביצע...

במסגר התרגיל נשלח מייל לעובדים שמעדכן אותם על יום חופשה מתנה בעקבות השקה מוצלחת של מערכת בשם CorCare.
לחיצה על כפתור המימוש הובילה להודעה על תרגיל פישינג...

העובדים בארגון התלוננו שהתרגיל היה חריג, כי מערכת CorCare היא מערכת שאכן נבנתה פנימית במשך זמן רב תוך שעות עבודה רבות, שחיקה וכו', ויום חופש מתנה נשמע כמו מתנה לגיטימית לגמרי.
במקומות שונים תיארו את התרגיל ככזה המנצל את הלחץ, העייפות והתסכול של העובדים.

בעקבות הביקורת, המנכ"ל של הארגון התנצל ואמר כי התרגיל לא היה מתאים, וכי הם יבדקו להבא כיצד לפתח תרגילי מודעות טובים יותר...

האמת שאני לא ממש מבין את ההתנצלות, נשמע לי כמו תרגיל מעולה שהשיג את המטרה.

אתם רוצים לדמות תוקפים? אז תעשו את זה בלי יותר מדי סימפטיה, כי לתוקפים אין כזו.

רוצים רק לסמן וי על תרגיל? אז תבנו תרגילי מודעות שיתאימו לסטטיסטיקות שאתם רוצים להציג להנהלה, אבל זה לא יביא אתכם לשום מקום רציני.

מה דעתכם? תרגיל מוגזם (😈) או לגיטימי (👍)

https://t.me/CyberSecurityIL/9105

חברת Cloudflare מציגה את צורת העבודה שלה עם אייג'נטים שמוצאים חולשות באופן רציף.

אני אוהב את המחקרים ש-Cloudflare מפרסמת לאחרונה על הדרך שלה לעשות שימוש ב-AI כדי להעלות את רמת האבטחה בארגון.

הבאתי כאן בעבר את המאמר שלהם על שימוש באייג'נטים לביצוע Code Review, ובמאמר האחרון שלהם נראה שהם מנסים לקחת את זה כמה צעדים קדימה.

הכל התחיל מ-Skill:

כמו בלא מעט ארגונים, גם ב-CF בנו Skill שמבצע סריקות אבטחת מידע על רפוסיטורים.
אבל מהר מאד ב-CF הבינו ש-it doesn't scale כי הם נתקלים בבעיות של קונטקסט, הבנת הקשרים בין רפוסיטורים ועוד.

הם המירו את הסקיל, שכלל שבעה שלבים, לפייפליין אוטונומי המבוסס על אותם שלבים, כשהוא מחולק לשני תהליכים מרכזיים:

תהליך ראשון - מציאת חולשות

1. קריאת הקוד ברפוסיטורי, הבנת הקשרים וכו' ולבסוף ובניית קובץ ארכיטקטורה. (שלוש אייג'נטים שעובדים יחד).

2. ניסיון למצוא חולשות בקוד, לשבור דברים וכו'. השלב הזה כולל גם וולידציה לחולשות שנמצאו, ניקוי כפילויות ולבסוף יצירת Report עם הממצאים.

תהליך שני - וולידציה ותיקון

1. בדיקת הממצאים שמופיעים בדוח וניסיון להפריך/לאמת אותם (מתבצע באמצעות מודל נפרד מהמודל שביצע את שלב 2, לא סשיין אחר, מודל אחר).

2. יצירת תיקון, ביצוע טסטים, פתיחת PR עם ההצעה לתיקון.

3. כאן נכנס לתמונה האדם שבשרשרת (HITL) שעובר על ההצעה ומאשר או שלא...

כמה מספרים מהתהליך שהם ביצעו על מעל 100 רפוסיטורים.

- מעל 20,000 ממצאים.
- "רק" 13.8k מתוך ה-20k עברו את תהליך הוולידציה.
- עוד 5k ממצאים זוהו ככפילויות.
- עוד 1.1k זוהו כסיכון נמוך

מכל הנ"ל נשארנו עם בערך 7.2k ממצאים שצריך לטפל בהם, לא מעט בכלל.
הכמות הזו נשלחת ברובה לצוותי הפיתוח והאבטחה כדי לבצע Review.
בסופו של דבר הם נשארו עם 41 ממצאים קריטיים, 777 ממצאים High, וכל השאר Medium/Low.

כל המספרים בתמונה המצ"ב.

המחקר המלא - כאן

מה קורה אצלכם בארגון? התחלתם לבצע אוטומציה לתהליכי Code review/security assessments בעזרת AI?

https://t.me/CyberSecurityIL/9109

ושימו לב ש-Cloudflare מפרסמת כקוד פתוח את הסקיל המקורי:
https://github.com/cloudflare/security-audit-skill

תוקף מפרסם גישה לבית חולים בישראל.
המחיר - 6k$.

מדובר בתוקף עם היסטוריה של מכירת גישות לארגונים בישראל, בחלק מהמקרים האמינות הייתה חלקית.

https://t.me/CyberSecurityIL/9112

לא הולך להם שם בברזיל: אחרי שבמהלך החודש בוצעה פריצה למערכת ההתראות, כעת קבוצת התקיפה Bashe מפרסמת את ממשלת ברזיל כקרבן באתר ההדלפות.

(שימו לב שמדובר בשתי מתקפות שונות)

https://t.me/CyberSecurityIL/9116

תוקף מפרסם למכירה מאגר של כ-110 מיליון משתמשי פלטפורמת Notion.

מהסמפל שהתוקף מפרסם נראה כי המאגר מכיל שמות, כתובות דוא"ל, אזור זמן, ועוד.

https://t.me/CyberSecurityIL/9117

חברת LastPass מדווחת על דלף מידע של לקוחות בעקבות הפריצה לחברת Klue.

החברה מדגישה כי המידע שדלף הוא רק מידע שהיה כחלק ממערכות המתממשקות ל-Klue (בעיקר מערכות תמיכת לקוחות) ואין דלף מידע מהמוצרים של החברה.
בקיצור הסיסמאות שלכם עדיין מוגנות, אבל המידע האחר שלכם (שמות, טלפונים וכו') לא ממש...

https://t.me/CyberSecurityIL/9118

מתקפת סייבר שניה בתוך שבועיים גורמת לשיבושים נרחבים במערכת הבנקאות באיראן.

בתקשורת מדווח כי במתקפה השניה, שהחלה ביומיים האחרונים נרשמים שיבושים נרחבים לשירותי תשלומים בכרטיסי אשראי

חברת Informatics Services Corporation, שמספקת את שירותי תשתיות ה-IT לבנקים באיראן מאשרת כי מתקפת סייבר גורמת לשיבושים נרחבים במספר בנקים.

בעקבות האירוע החברה השעתה זמנית את כל השירותים המבוססים על כרטיסי אשראי (כספומטים, עמדות סליקה, אפליקציות וכו'.) ובתקשורת מדווח על תורים ועומסים בתחנות דלק וכו'.

שימו לב שמדובר במתקפה נפרדת מזו שפורסמה לפני כשבועיים.

https://t.me/CyberSecurityIL/9119

עוד קרבן למתקפת הסייבר על חברת Klue:
חברת 8x8, המספקת פתרונות ומערכות למרכזי שירות, מדווחת על דלף מידע בעקבות גישה לא מורשית למערכת Salesforce.

לפי הדיווח, התוקפים ניצל אינטגרציה צד ג' עם Klue, והשיגו גישה למידע הרגיש הכולל פרטי לקוחות, לידים, מידע על חוזים ועוד....

https://t.me/CyberSecurityIL/9120