כל תוכנית מודעות עובדים לאיומי סייבר בנויה על אותה הנחה: יש רגע שבו העובד מחליט. הוא לוחץ על קישור, הוא פותח צרופה, הוא מאשר בקשה. דוח שפרסמה Citizen Lab באוניברסיטת טורונטו ב‑ 15 באוקטובר מתאר מתקפה שבה הרגע הזה אינו קיים. המכשיר נדבק בנוזקת ריגול בזמן שפרסומת נטענה על המסך, בלי לחיצה ובלי הודעה. במקרים מסוימים, מציינים החוקרים, המודעה נטענה ברקע ובעל המכשיר מעולם לא ראה אותה.
החוקרים קראו לטכניקה AdFection. זהו התיעוד הטכני הפומבי הראשון שלה. במרכז הדוח של Citizen Lab עומדת Discover-Tech – חברה ישראלית שהציגה את עצמה כחברת פרסום. להערכת Citizen Lab, תפקידה העיקרי היה לשמש גשר בין תעשיית הפרסום הדיגיטלי לבין יצרני נוזקות ריגול מסחריות. התקיפות על רשת אל ג'זירה מקושרות בוודאות גבוהה לנוזקת Candiru הישראלית המשווקת כיום תחת השם Integrity Labs.
מי בוחר את היעד
כדי להבין את המתקפה כדאי להתחיל מהקונסולה. לפי הדוח העמידה Discover-Tech ללקוחותיה ממשק בשם Controlium, שבו לקוח מסמן אדם מסוים להדבקה לפי אחד משלושה מזהים: מזהה הפרסום של הטלפון, מזהה הדפדפן או כתובת IP. מזהה הפרסום הוא מספר קבוע שכל טלפון נושא, דולק כברירת מחדל ואפשר לאפס אותו.
השאלה הבאה היא איך מזהה כזה מגיע לידי מי שרוצה לתקוף. לפני שמודעה מופיעה, האפליקציה או האתר משדרים לשוק מי אתם – מזהה המכשיר, כתובת ה‑ IP ומאפיינים נוספים – כדי שמפרסמים יתמחרו על חלון הפרסום הזה, הכל תוך פחות משנייה. אבל המידע הנאסף אינו מה שהופך את המכרז לנשק. מודעה דיגיטלית אינה רק תמונה: היא יכולה לכלול קוד שניתן להריץ בתוך הדפדפן או בתוך האפליקציה שהציגה אותה.
כאן נכנס שרת שהחברה מכנה NOAS. בחלק גדול ממודעות Discover-Tech הושתלה שורת קוד שנוסעת בתוך המודעה ופונה בחזרה לשרת של החברה עם מזהה הגולש. השרת בודק אותו מול רשימת היעדים. להתאמה הוא מחזיר קוד. לכל השאר הוא מחזיר תשובה ריקה. זו נקודת ההברקה התפעולית של המתקפה: ההדבקה מצטמצמת למי שסומן מראש, בעוד המודעה שעוברת בבורסות הפרסום נותרת נקייה לחלוטין. לפי הדוח זה חלק מרכזי באסטרטגיה של Discover-Tech, שאיפשר לה להימנע מהעברת קוד זדוני לחברות שהגישו והציגו את המודעות.
מהרצת קוד להדבקה
הרצת קוד בתוך מודעה אינה ההדבקה עצמה. הקוד שמוחזר מביא קוד נוסף, עד לאקספלויט שמנצל פגיעות בדפדפן או ברכיב התצוגה המוטמע באפליקציה. האקספלויט הוא זה שמתקין את הנוזקה. אותו אקספלויט לא חולץ על ידי החוקרים, כך שאופיו נותר לא ידוע. את הנוזקה עצמה כן השיגו: אל ג'זירה בודדה קובץ DLL של Windows מאחד המכשירים שנפגעו, שטביעת ה‑ SHA256 שלו פורסמה בדוח.
בלוגים הרצף מותיר חתימה מובהקת: תחילה קשר לדומיין של Discover-Tech, שמעיד על הצגת מודעה; אחריו קשר לשרת ולידציה של Candiru, שמבצע בדיקה מקדימה של המכשיר; לבסוף קשר לשרת שליטה ובקרה. אל ג'זירה העבירה לחוקרים לוגים של התקיפה. לפי הדוח הותקפו ברשת שלה לפחות 45 מכשירים בשנים 2024 ו‑ 2025.
סדר הגודל והחלק הישראלי
שני מופעי Apache Druid על אחד מאתרי החברה היו חשופים לקריאה בלי כל הזדהות. מהם חילצו החוקרים כמעט ארבעה מיליארד רשומות מכרז, שמכסות פלטפורמה אחת בלבד של החברה. הן מראות שבין מרץ ליוני 2026 הוגשו הצעות על יותר מ‑ 3.7 מיליארד חלונות פרסום וכ‑ 442 מיליון מהן זכו. כ‑ 19 אחוזים מההצעות היו למודעות שנשאו את שורת הקוד הזדונית, עבור גולשים שכתובות ה‑ IP שלהם משויכות ל‑ 161 מדינות. בפועל הוצגו מודעות כאלו בתוך 75,373 אפליקציות אנדרואיד ו‑ iOS ובתוך 120,768 אתרים.
ישראל מדורגת עשירית בכמות ההצעות ושביעית ביחס לגודל האוכלוסייה. חשוב מכך, הדוח מפרט רשתות ישראליות שבהן נרשמו הצגות של מודעות החברה: משרד הבריאות, משרד החוץ, רשות התקשוב הממשלתי, משרד הביטחון, משטרת ישראל, בנק ישראל, איגוד האינטרנט הישראלי ורשות שדות התעופה. בנוסף מופיעים אלביט מערכות ושלושה גופי תקשורת ישראליים.
מה שהנתונים מוכיחים מוגבל, כפי שהחוקרים מקפידים להבהיר. רשומת הצגה מלמדת שמודעה הגיעה למכשיר באותה רשת, לא שמישהו שם סומן כיעד ובטח לא שנדבק. מה שהיא כן מלמדת הוא שהתשתית הגיעה לשם.
הסיכון האמיתי לארגון שלכם
ארבעה דברים הופכים את זה לקטגוריית סיכון שונה מכל מה שארגון רגיל להתגונן מפניו.
- הראשון הוא שאין שלב שבו המשתמש טועה. אין קישור חשוד, אין צרופה, אין בקשת הרשאה. לכן הדרכת עובדים, שהיא ההגנה המרכזית מול פישינג, אינה מספקת כאן הגנה ישירה.
- השני הוא שהחשיפה יושבת היכן שהניטור הארגוני אינו נמצא. לפי הדוח כ‑ 77 אחוזים מההצעות נועדו לחלונות פרסום בתוך אפליקציות ולא בדפדפן. ברשימת האפליקציות שהציגו את המודעות מופיעים: Viber, Truecaller, Duolingo, אפליקציות מזג אוויר ומשחקים. כלומר הטלפון, לרוב הפרטי, בעוד התחנה הארגונית שעליה מותקן ה‑ EDR נשארת מחוץ לתמונה.
- השלישי נובע מכך שאחד המזהים לסימון יעד הוא כתובת IP. כשעובדים יוצאים לאינטרנט דרך כתובת יציאה משותפת, הופך הארגון כולו לקריטריון מיקוד אפשרי. לכן רשימת הרשתות בדוח רלוונטית גם לחברה בת 200 עובדים שלא תופיע לעולם בדוח של Citizen Lab. השאלה המעשית היא מי בארגון מצדיק הגנה ממוקדת: הנהלה, יעוץ משפטי, פיתוח בתחומים דו‑שימושיים ומי שמתנהל מול גופים ממשלתיים או תקשורת בחו"ל.
- הרביעי הוא חלון הגילוי. התקיפות המתועדות מתפרסות על 2024 ו‑ 2025, כך שהשאלה אינה רק אם הארגון מוגן היום אלא אם הוא מסוגל בכלל לבדוק אם נפגע אז. בלי שמירת לוגים לאורך זמן התשובה היא לא.
ראוי לזכור גם שבין 2020 ל‑ 2026 הופיעה Discover-Tech ברשימות ספקים "מאושרים" ו"מוסמכים" של Google ושל IAB Europe, שלפי הדוח מבוססות בעיקר על הצהרה עצמית של הספק. תג אמון של גוף שלישי אינו בדיקת אבטחה. Discover-Tech ו‑ Candiru לא הגיבו לבקשת התגובה של החוקרים.
010 הגנה על מידע
ההמלצה המרכזית של Citizen Lab מנוסחת בחדות: לחסום פרסום ממוקד בשער הארגוני ובמכשירי הקצה, עד שתעשיית הפרסום תוכיח שהיא מסוגלת לחסום וקטורים מהסוג הזה. היא ממליצה גם על כיבוי מזהי הפרסום דרך MDM ועל מעבר לדפדפנים עם חסימת מעקב מובנית. NSA ו‑ CISA כבר המליצו בעבר על חסימת פרסומות בארגונים, כך שאין כאן עמדה חדשה.
ההמלצה הזו היא החלטת תצורה ברשת ובמערך ניהול הקצה של הארגון עצמו. שירותי אבטחת מידע והגנה על מידע של 010 הם מה שעוטף אותה: ההחלטה מה לחסום, האימות שהחסימה עובדת, התפיסה של מה שעבר בכל זאת.
- מודיעין סייבר הוא הכלי הישיר. Citizen Lab פרסמה דומיינים, חתימות שרתים ו‑ SHA256 של קובץ DLL ל‑ Windows, שצריך להזרים לרשימות החסימה ולחפש אחורה בלוגים הקיימים.
- SIEM/SOC הוא המקום שבו הרצף שתואר למעלה הופך מכתבה לחוק זיהוי. שם גם נשמרים הלוגים המאפשרים לענות על שאלת חלון הגילוי.
- סקר סיכונים נדרש כדי למפות שאלות שלרוב מישהו לא שאל: אילו אפליקציות ממומנות פרסום מותקנות על מכשירים שנוגעים במידע ארגוני, האם מזהה הפרסום מושבת בהגדרות ה‑ MDM.
- עדכוני תוכנה ואבטחה נוגעים לחוליה שבה האקספלויט פוגש את המכשיר. כאן נדרשת כנות: עדכניות סוגרת פגיעויות מוכרות ומייקרת את התקיפה, אך מול פגיעות יום‑אפס היא אינה עוזרת. Candiru מתועדת כמי שעשתה שימוש בפגיעויות כאלו בעבר.
- מודעות עובדים לסייבר מקבלת כאן תפקיד אחר מהרגיל. לא הגנה מפני לחיצה, שכאמור אינה רלוונטית כאן, אלא הנחיה מעשית למכשיר הפרטי: איפוס מזהה הפרסום, כיבוי מעקב פרסומי ובחירת דפדפן חוסם. זו בדיוק ההמלצה שהחוקרים מפנים לארגונים לספק לעובדיהם.
- על מכשיר ארגוני מנוהל, שבו תעבורת היציאה עוברת ערוצים מנוטרים, מניעת דלף מידע (DLP) מגדילה את הסיכוי לזהות הוצאת מידע בזמן שהיא מתרחשת.
ביל מרצ'ק, ממחברי הדוח, אמר לאנשי אתר TechCrunch ש‑ Discover-Tech היא בלי ספק רק קצה הקרחון. גם אם החברה הזו נותקה מהענף, המבנה שאפשר את המתקפה – מכרזים אוטומטיים, שרשראות אספקה אטומות וקוד צד שלישי שרץ בתוך אפליקציות ואתרים רבים – נשאר בדיוק במקומו.
למקור הידיעה ולקריאה נוספת לחצו כאן
