תקציר מנהלים
השבוע ה-FBI האשים עדכון תוכנה שהוחמץ בפריצה אל עצמו, ובמקביל שבע ממשלות חברו כדי לחשוף ערכת פריצה בחסות מדינה. קרוב לבית, תחקיר ישראלי חדש חשף שירות שמוכר את הפרטים האישיים של כמעט כל ישראלי בכמה עשרות דולרים – תזכורת לכך שדליפות ישנות אף פעם לא באמת פוקעות.
חדשות פורצות
שבע מדינות מזהירות מפני פריצות בחסות סין, וה-FBI תופס את הכלים שמאחורי Flax Typhoon
ה-FBI ומשרד המשפטים האמריקאי תפסו שבעה דומיינים ששימשו להפעלת שני כלי פריצה – MicroScan, סורק חולשות, ו-FishHub, פלטפורמת פישינג ממוקד וגניבת נתונים – שלפי הטענה מופעלים על ידי חברת Integrity Technology Group שבסיסה בבייג'ינג, חברה בעלת חוזים עם ממשלת סין שהרשויות האמריקאיות מקשרות לקבוצת הריגול Flax Typhoon.
התראה משותפת (AA26-281A) של ארה"ב, בריטניה, אוסטרליה, קנדה, יפן, ניו זילנד וספרד מתארת חדירות ליעדי ממשל, ייצור קריטי, בריאות, IT, אכיפת חוק וחינוך, תוך שילוב של סריקה אוטומטית, ריסוס סיסמאות נגד Microsoft Exchange, התמדה דרך VPN וגניבת דוא"ל, ו-CISA הוסיפה חמש חולשות מנוצלות לקטלוג ה-KEV עם מועד פדרלי ל-11 באוקטובר.
| קטגוריה | כמות | פירוט |
|---|---|---|
| פריצות | 4 | אתר מוכר את הפרטים האישיים של כמעט כל ישראלי בכמה עשרות דולרים, פריצה למרשם האוכלוסין של דנמרק, ASOS מאשרת פריצה לאחר שהתראות "Hacked" הגיעו לטלפונים של לקוחות, ה-FBI מאשים עדכון שהוחמץ אצל קבלן בפריצה של ShinyHunters |
| חולשות | 1 | קמפיין GhostAction חוטף חשבונות מתחזקי קוד פתוח כדי לגנוב סודות מ-346 מאגרים |
| עדכונים | 1 | Citrix מוציאה תיקון חירום שלישי ל-NetScaler בתוך שבועיים |
פריצות ואירועי אבטחה
תחקיר ynet: אתר מוכר את הפרטים האישיים של כמעט כל ישראלי בכמה עשרות דולרים
תחקיר של ynet חשף שירות איתור פרטים – המוצע דרך פלטפורמת צ'אט חברתית ואתר ייעודי ומכונה "בוט אגרון 2026" – שמוכר גישה לפרטים אישיים על כמעט כל אזרח ישראלי בעד כמה עשרות דולרים. הוא מצליב שתי הדלפות ישנות של נתוני פנקס הבוחרים, מאגר אגרון משנת 2006 ודליפת אפליקציית אלקטור משנת 2020, כדי להחזיר מספרי זהות, מספרי טלפון, פרטי רכב וכתובות שעדכניותן עד כ-6 שנים, ובאמצעות מספר ת"ז בודד הוא יכול למפות גם קרובי משפחה מדרגה ראשונה, כולל אחים.
ynet מזהיר שייתכן שהמידע כבר נמצא בידי גורמים עוינים; הרשות להגנת הפרטיות מסרה שהיא בוחנת אילו כלים להפעיל, והאתר עדיין היה באוויר בעת פרסום הכתבה.
למה זה חשוב: לא נגנב כאן דבר חדש – הדלפות ישנות חוברו והפכו לנגישות בגרושים, ופרופיל כזה הוא בדיוק מה שנדרש לסחיטה, להטרדה ולפגיעה ממוקדת על ידי גורמים פליליים או לאומניים, במיוחד נגד בעלי תפקידים וקצינים.
הנחיית הגנה: הניחו שמספר הזהות, הכתובת, הטלפון והקשרים המשפחתיים שלכם כבר ניתנים לאיתור: הקשיחו אימות בכל תהליך שנשען עליהם בטלפון או בבנק, היזהרו משיחות או הודעות שמצטטות את הפרטים האישיים שלכם, ודווחו על פנייה חשודה למוקד 119 של מערך הסייבר הלאומי.
פריצה למרשם האוכלוסין של דנמרק חושפת 8.8 מיליון אנשים
מרשם האוכלוסין המרכזי של דנמרק (CPR) מודיע לכ-8.8 מיליון אנשים – כ-80% מהרשומות בו, כולל אנשים שנפטרו או היגרו – שתוקפים השיגו את שמותיהם, כתובותיהם ומספרי הזיהוי שלהם (CPR) באמצעות ניצול לרעה של גישה לגיטימית של חברה פרטית דנית לחיפוש במרשם.
הרשויות מסרו שהפעילות התרחשה בספטמבר והתגלתה ב-2 באוקטובר; רשות הגנת המידע הדנית מסרה כי התוקפים ככל הנראה השתמשו בניחוש כוחני (brute force) כדי לאתר מספרי CPR תקפים.
למה זה חשוב: מספר ה-CPR בן 10 הספרות משמש לכל דבר, ממסים ובריאות ועד בנקאות, ולכן רשימה של שמות, כתובות ומספרי CPR היא ערכה מוכנה להנדסה חברתית ולהונאת זהות.
הנחיית הגנה: אם נפגעתם, התייחסו בחשד לכל שיחה, דוא"ל או הודעה לא צפויים גם אם השולח מכיר את שמכם, כתובתכם ומספר ה-CPR שלכם – וארגונים שמעניקים לצדדים שלישיים גישת חיפוש למרשמים צריכים להגביל קצב שאילתות ולנטר חיפושים המוניים.
ASOS מאשרת פריצה לאחר שהתראות "Hacked" הגיעו לטלפונים של לקוחות
קמעונאית האופנה הבריטית ASOS אישרה פריצה לאחר שלקוחות קיבלו התראה באפליקציה הטוענת שהתוקפים פרצו לסביבת ה-Snowflake שלה ודורשת ליצור קשר. לדברי ASOS, גורם בלתי מורשה השיג פרטי התחברות של עובד באמצעות התחזות לאיש קשר מהימן, ואז השתמש בהם כדי לגשת לפלטפורמות צד שלישי מסוימות, וחשף שמות ופרטי התקשרות של לקוחות; החברה מסרה שלא היה מעורב מידע על כרטיסי תשלום או סיסמאות לחשבונות. Snowflake מסרה שהאירוע לא נגרם מפגם כלשהו בפלטפורמה שלה.
למה זה חשוב: התוקפים עקפו את ההגנות של החברה עצמה באמצעות התחזות משכנעת לאיש קשר מהימן כדי להגיע לפלטפורמות צד שלישי, ואז השתמשו באפליקציה עצמה כדי ליצור לחץ פומבי.
הנחיית הגנה: התייחסו לחשבונות ספקים ופלטפורמות צד שלישי כחלק משטח התקיפה שלכם – אכפו עליהם אימות רב-שלבי, והדריכו עובדים לאמת כל בקשה שמגיעה מ"איש קשר מהימן" לפני שמוסרים פרטי התחברות.
ה-FBI מאשים עדכון שהוחמץ אצל קבלן בפריצה של ShinyHunters; נעצר חשוד נוסף
גורמים ב-FBI מסרו שהפריצה בחודש שעבר לפורטל הגיוס של הלשכה התרחשה לאחר שקבלן לא התקין עדכון אבטחה שהונפק במפורש עבור הפלטפורמה, וכי הקבלן הוסר.
לפי Reuters, שציטטה שני מקורות, המערכת היא Oracle PeopleSoft שמנוהלת על ידי Accenture; Accenture לא השיבה לשאלות בנושא.
בנפרד, מנהל ה-FBI הודיע על מעצרו של חשוד נוסף כשותף לקשר של ShinyHunters, המעצר האחרון ברצף מעצרים של חשודים בחברות בקבוצה.
למה זה חשוב: עדכון אחד שהוחמץ במערכת שמנוהלת על ידי צד שלישי חשף מידע אישי על אלפי סוכנים – תזכורת שהוצאת מערכת למיקור חוץ לא מוציאה החוצה את האחריות לעדכן אותה.
הנחיית הגנה: דרשו מספקים וממנהלי שירותים הוכחות, לא הבטחות, שעדכוני אבטחה קריטיים במערכות שהם מפעילים עבורכם מותקנים בזמן, וקבעו SLA לעדכונים בחוזים.
חולשות קריטיות
קמפיין GhostAction חוטף חשבונות מתחזקי קוד פתוח כדי לגנוב סודות מ-346 מאגרים
חוקרים מדווחים כי התוקפים שמאחורי קמפיין GhostAction פרצו ב-8 באוקטובר לשני חשבונות בולטים של מתחזקי קוד פתוח ודחפו תהליך GitHub Actions מזויף בשם "security audit" ל-346 מאגרים, שם הוא גונב סודות CI/CD וסורק את כל היסטוריית ה-git בחיפוש אחר פרטי גישה לענן, מפתחות API וטוקנים.
העדכון של Socket סופר למעלה מ-500 חשבונות שהכניסו מאז את התהליך לעשרות אלפי מאגרים; טרם אושרו מהדורות חבילה זדוניות.
למה זה חשוב: מכיוון שהתהליך קורא את כל היסטוריית הקומיטים, אין די בהחלפת הסודות שנמצאים בשימוש כעת – פרט גישה שהוכנס ונמחק לפני שנים עדיין יכול להיגנב.
הנחיית הגנה: חפשו במאגרים שלכם תהליכים בשם security-audit.yml (ודומים), בטלו את הטוקנים וההתחברויות של המתחזק ב-GitHub, החליפו כל סוד שהתהליך יכול היה להגיע אליו, והפעילו שערי אישור להרצת תהליכים ממשתתפים חדשים.
עדכונים ותיקוני אבטחה
Citrix מוציאה תיקון חירום שלישי ל-NetScaler בתוך שבועיים
Citrix פרסמה ב-8 באוקטובר עדכון חירום נוסף ל-NetScaler ADC ול-Gateway, שמתקן את CVE-2026-107406 (ציון CVSS של 9.5), גלישת זיכרון שעלולה לאפשר ביצוע קוד מרחוק או מניעת שירות במכשירים שמוגדרים עם SAML; טרם ידוע על ניצול שלה.
היא באה בעקבות CVE-2026-88779, חולשת SAML שנוצלה כ-zero-day ו-CISA הוסיפה ל-KEV ב-4 באוקטובר, כך שארגונים שכבר עדכנו את הבאגים הקודמים ב-NetScaler צריכים לעדכן שוב.
למה זה חשוב: שלושה תיקוני חירום בשבועיים אומרים ש-NetScaler שעודכן זה עתה יכול להיות לא מעודכן תוך ימים.
הנחיית הגנה: להתקין את גרסאות NetScaler העדכניות ביותר שמכסות הן את CVE-2026-88779 והן את CVE-2026-107406 לפי הודעות Citrix, ואם אתם משתמשים ב-SAML ב-NetScaler, להתייחס למכשירים אלה כיעדי ניטור בעדיפות גבוהה.
