אתם גולשים באתר רגיל, ופתאום נפתחת הודעה שווינדוס צריך עדכון ושהמחשב עומד להיכבות. מה שלא תלחצו, המסך מתמלא אחרי זה באזהרות שמיקרוסופט השביתה את המחשב. צפירה מתחילה להישמע, קול מוקלט אומר לכם לא להפעיל מחדש כי הנעילה נועדה לעצור פעילות לא חוקית, ובאמצע המסך מופיע מספר טלפון של "אבטחת מיקרוסופט". בפועל שום דבר במחשב לא נעול.

מה קרה

חברת האבטחה Infoblox פרסמה היום דוח על מערכת שהיא עוקבת אחריה שנה שלמה. מאחוריה עומדת Hotejka, תוכנית שותפים קטנה בשפה הרוסית שפועלת לפחות מאפריל 2017, ולפי החוקרים היא מיתוג מחדש של ROI777, גוף שנחשף ב-2018 באותה פעילות בדיוק. את המפעיל עצמו הם מעריכים שיושב במזרח אירופה, ולדבריהם הוא לא התחלף מאז.

הדרך שבה ההונאה מגיעה אליכם היא החלק המעניין. אתרים שנפרצו, פרסומות זדוניות, פוסטים ברשתות החברתיות ודואר זבל שולחים את הגולש לשרת ביניים אחד, שבודק איזה דפדפן יש לו ומאיזו מדינה הוא מתחבר, ורק אז מחליט מה להראות לו. לשרת ניתוב כזה קוראים TDS, קיצור של Traffic Distribution System. מאפריל 2026 עמודי ההונאה עצמם מתארחים על Cloudflare Pages, שירות חינמי להעלאת אתרים: כ-300 עמודים חדשים ביום, ויותר מ-20 אלף כתובות בחצי שנה.

החוקרים ב-Infoblox עשו את מה שאחרים לפניהם עצרו לפניו, והתקשרו למספר. מי שענה הציג את עצמו כעובד מיקרוסופט, והנחה אותם להוריד ולהתקין את UltraViewer, תוכנה חינמית לשליטה מרחוק במחשב. זו כל המטרה של הצפירה. לפי הדוח זו לא הונאת כרטיס אשראי חד-פעמית אלא גישה שנשארת, וחוזרים אליה שוב ושוב.

למה זה חשוב לכם

לא צריך להגיע לאתר מפוקפק כדי לראות את זה. GoDaddy תיעדה באוגוסט 2025 פלאגין זדוני בשם woocommerce_inputs שהושתל באלפי אתרי וורדפרס לגיטימיים בדיוק בשביל ההפניות האלה. Infoblox מספרת שביום בודד נחשפו לקמפיין עד 4% מלקוחות הענן שלה. העמוד עצמו יושב על כתובת pages.dev, שהיא שירות אמיתי של Cloudflare, ולכן אין פה דומיין עם אות מתחלפת שאפשר לזהות. ובגלל הבדיקה לפי מדינה ולפי דפדפן, גולש מישראל מקבל את הגרסה שהוכנה בשבילו.

מה עושים?

אף התראה אמיתית של ווינדוס או של מיקרוסופט לא נותנת לכם מספר טלפון. מסך שמופיע בו מספר להתקשר אליו הוא ההונאה עצמה, וזה הסימן היחיד שצריך לזכור.

כדי לצאת מהמסך, אל תתקשרו. סגרו את חלון הדפדפן ב-Alt+F4, ואם הוא לא נסגר פתחו את מנהל המשימות ב-Ctrl+Shift+Esc וסיימו את תהליך הדפדפן. במק זה Cmd+Q. אפשר גם פשוט להפעיל את המחשב מחדש, כי אין שום נעילה אמיתית.

אל תתקינו תוכנת שליטה מרחוק בבקשה של מישהו שהמספר שלו הופיע לכם על המסך, או של מי שהתקשר אליכם. UltraViewer, AnyDesk ו-TeamViewer הן תוכנות לגיטימיות, וזו בדיוק הסיבה שמשתמשים בהן.

אם כבר התקנתם ונתתם למישהו להיכנס, נתקו את המחשב מהאינטרנט, הסירו את התוכנה, החליפו סיסמאות ממכשיר אחר, ואם מסרתם פרטי כרטיס או חשבון התקשרו לבנק.

Infoblox מזהה היום את הכתובות החדשות כשבוע לפני שהן נכנסות לשימוש, ולפי הדוח זה הוריד את החשיפה בקרב הלקוחות שלה לפחות מחצי אחוז בספטמבר. המפעיל, מצד שני, עובד משנת 2017 ושרד שתי חשיפות פומביות. מה שעוצר אותו בפועל הוא מי שלא מתקשר למספר.