מייל מגיע מעיתונאית שמבקשת תגובה קצרה לכתבה, או מחוקר שמזמין אתכם לכנס. הכתיבה תקינה, הפרטים מדויקים, וההתכתבות נמשכת כמה ימים לפני שמופיע הקישור הראשון. בדוח שגוגל פרסמה היום מתועד מי עזר לכתוב את הפנייה הזאת: מודל שפה, שהתבקש לאתר את כתובת המייל של היעד, לאסוף עליו מידע פומבי ולנסח את הטקסט בשפה שמדברים במקום שבו הוא יושב.

מה קרה

יחידת מודיעין האיומים של גוגל, GTIG, מפרסמת דוח רבעוני על ניצול לרעה של כלי AI, והפעם הוא מתמקד ברבעון השני של 2026. הקבוצה שמעניינת קוראים בישראל נקראת אצל גוגל CALANQUE ION, ובעבר עקבו אחריה בשם APT42. מדובר בקבוצה איראנית מגובת מדינה, שגוגל תיעדה בעבר כשפנתה לאנשי ביטחון לשעבר, דיפלומטים, אנשי אקדמיה וארגונים לא ממשלתיים בישראל, בהתחזות לעיתונאים ולמארגני כנסים.

לפי הדוח, הקבוצה השתמשה ב-Gemini כדי לאתר כתובות מייל של יעדים, לאסוף עליהם מודיעין ממקורות גלויים, לתרגם תוכן לשפות מקומיות כדי שהתירוץ יישמע טבעי, וגם כדי לסכם מידע שכבר נגנב. מעבר לשלב האיסוף היא ניסתה להיעזר במודל בבניית תשתית ההפצה שלה ובניתוח לאחור של מנגנוני רישוי תוכנה, בניסיון לעקוף הגנות. בזירה אחרת, של מבצעי השפעה, גורמים איראניים השתמשו במודל כדי לכתוב הנחיות מפורטות לכלי יצירת תמונות: זווית צילום, תאורת אולפן ומרקם עור, הכול כדי לייצר דמויות בדיוניות שנראות כמו צילום אמיתי. גוגל מדגישה שהיא לא ראתה כאן יכולת חדשה שלא הייתה קיימת קודם, אלא בעיקר חיסכון בזמן ובמאמץ.

החלק שמדאיג את החוקרים יותר הוא הקצב. באותו רבעון תיעדה גוגל תוקף בעל מניע כלכלי שפרץ למשאב ענן ומשם תכנן, בנה והריץ קמפיין רחב לגניבת פרטי אימות בתוך פחות משש שעות, כשמסגרת של כמה סוכני AI מנהלת את הסריקה ומתקנת שגיאות תוך כדי. ג'ון האלטקוויסט, האנליסט הראשי של היחידה, אמר שאפשר להניח בשלב הזה שכל התוקפים משתמשים ב-AI בצורה כלשהי, ושהקושי האמיתי הוא מהירות שקשה להדביק. גוגל מצדה מסרה שהפעילות הפעילה את מנגנוני הבטיחות של Gemini, ושהיא חסמה את החשבונות והנכסים שזוהו.

למה זה חשוב לכם

העצה הישנה, לחשוד בעברית שבורה או במייל שנראה מתורגם, כבר לא עובדת. תרגום מדויק ופנייה שמותאמת בדיוק לתחום העיסוק שלכם עולים לתוקף פחות ממה שעלו לו קודם, ותמונת פרופיל משכנעת נוצרת בדקות. הקבוצה הזאת לא מחפשת המונים אלא אנשים ספציפיים, ולכן שווה להכיר את הדפוס דווקא למי שעובד בביטחון, באקדמיה, בתקשורת או בארגון שעוסק במדיניות.

מה עושים?

כשמגיעה פנייה לא צפויה מעיתונאי, חוקר או מגייס, אמתו את הזהות בערוץ אחר שאתם מצאתם בעצמכם: טלפון מאתר הארגון, לא המספר שמופיע בחתימת המייל.

הפעילו מפתח אבטחה או passkey על חשבון המייל הראשי. פנייה שנמשכת שבועיים ומסתיימת בעמוד התחברות מזויף נעצרת בדיוק בשלב הזה.

אל תשפטו לפי איכות הניסוח או לפי התמונה. בדקו את כתובת השולח עצמה ואת היעד של הקישור, ואם הפרופיל נפתח לפני חודש ואין מאחוריו היסטוריה, זה סימן חזק בהרבה משפה תקינה.

אם קיבלתם מגוגל התראה על ניסיון תקיפה מגורם מגובה מדינה, התייחסו לזה כאל אירוע ולא כאל הודעה שגרתית: החליפו סיסמאות והפעילו אימות חזק על כל החשבונות המקושרים.