מי ששלח לכם את ההודעה על הקנס קנה אותה בחנות: מיקרוסופט השתלטה על הדומיינים של שוק ערכות פישינג

הודעה על קנס תעבורה שלא שולם, על חבילה שאי אפשר למסור, על חשבון שדורש אימות עד מחר. מי ששלח אותן לרוב לא בנה את העמוד המזויף שבקישור, אלא קנה אותו: תבנית מוכנה, דומיין וחשבון ענן, מחנות מקוונת שמוכרת בדיוק את זה.

מה קרה

מיקרוסופט וארגון Health-ISAC הודיעו היום שבצו של בית משפט פדרלי בדרום פלורידה הם השתלטו על הדומיינים שהחזיקו שלושה שירותים כאלה: שוק מקוון בשם YAM Store, ולידו CoGUI ו-Iron Man, שתי ערכות פישינג (חבילות מוכנות להפקת הודעות ועמודי התחברות מזויפים). החקירה התחילה בסוף 2025, כשהמשטרה הלאומית של יפן התריעה בפני מיקרוסופט על גל הונאות שמכוון לאזרחים ולעסקים יפניים, והחוט הוביל אל שוק סחר שלם שמתנהל בסינית. לפי מיקרוסופט, מינואר 2026 אפשרו שלושת השירותים שליחה של יותר ממיליארד הודעות זדוניות אל יותר מ-75 אלף ארגונים ביותר מ-150 מדינות. הסכום שהמפעילים גרפו, עשרות מיליוני דולרים, הוא הערכה של מיקרוסופט עצמה.

דווקא דרך העבודה של YAM Store היא החלק שמסביר הכי הרבה. המפעילים חיפשו באופן אוטומטי דומיינים של ארגונים אמיתיים שפג תוקפם, בנו מחדש את האתר כדי שהארגון ייראה פעיל, ובשם הזהות הזאת פתחו חשבונות ענן של מיקרוסופט וגוגל. את החשבונות, הרישיונות ושטח האחסון הם מכרו הלאה בחנות מסודרת עם מחירים ותיאורי מוצר, ומיקרוסופט אומרת שביצעה רכישות מבוקרות כדי לאמת איך העסק עובד.

ערכת Iron Man הגיעה עם יותר מ-2,300 תבניות שמתחזות לבנקים, לרשתות קמעונאיות, לשירותי בריאות, לחברות תעופה, לחברות סלולר, לשליחויות, למשטרה ולרשויות תחבורה, כל אחת מותאמת למדינה ולשפה שלה. היא גם משאירה את התוקף בתוך האירוע בזמן אמת: בוט בטלגרם מודיע לו ברגע שהקורבן הקליד משהו, והוא מחליט מה יוצג על המסך בשלב הבא. מיקרוסופט מדגישה נקודה שחשוב לא לפספס, והיא שהופעת מותג או גוף ממשלתי בתבנית כזאת לא אומרת שנפרץ משהו במערכות שלו.

למה זה חשוב לכם

ישראל לא מופיעה ברשימת היעדים שמיקרוסופט מפרטת (יפן, ארצות הברית, אוסטרליה והודו), והדוח גם לא אומר אם היו בקטלוג תבניות בעברית. מה שהוא כן מראה זה את הצד הסיטונאי של ההודעות שמגיעות לטלפונים כאן. מערך הסייבר הלאומי התריע ב-9 בספטמבר על מסרונים שמתחזים לדוח תעבורה, וב-16 בספטמבר על הודעות שמתחזות לאישור הזמנה ב-Booking, חלקן עם תאריכי שהייה ומספר הזמנה אמיתיים. המערך לא קישר את ההתרעות שלו לערכות שמיקרוסופט חשפה, אבל התבניות שבקטלוג הן בדיוק מהסוג הזה, וזה מסביר למה הודעה כזאת מגיעה מנוסחת היטב ובשפה המקומית.

מה עושים?

הודעה שמבקשת מכם לשלם, לאמת או ללחוץ עד מועד קרוב היא המקום לעצור. אל תלחצו על הקישור שבתוכה, גם אם היא נראית נכון ומופיעה בתוך שרשור הודעות מוכר.

בדקו את הטענה בעצמכם, בערוץ שאתם מכירים: האפליקציה של הבנק, אתר הרשות שהקלדתם לבד בדפדפן, או מספר הטלפון שמופיע על גב כרטיס האשראי.

הזנתם פרטי אשראי או סיסמה? פנו מיד לחברת האשראי או לבנק, החליפו את הסיסמה בכל מקום שבו היא שימשה, ודווחו למוקד 119 של מערך הסייבר הלאומי.

הפעילו אימות דו-שלבי בדוא"ל ובחשבונות הפיננסיים, ואל תמסרו קוד אימות לאף אחד, גם לא למי שמציג את עצמו כנציג של חברה מוכרת.

ההשתלטות על הדומיינים פגעה בספק, לא בביקוש. קטלוג חדש ייבנה, ומה שלא משתנה בין קמפיין לקמפיין הוא הרגע שבו מישהו לוחץ.