ביום הבחירות, 27 באוקטובר, מערך הסייבר ספר יותר מ-1,200 אתרים חדשים שנרשמו סביב הקמפיין, ואחד מכל 47 מהם סומן כחשוד. מערכת ההצבעה עצמה לא נפרצה, וכדאי להחזיק את זה בראש כשקוראים את כל השאר: הלחץ של החודש לא הופנה לקלפי אלא לאנשים שהלכו אליה. רחוק משם, אוקטובר היה גם החודש שבו סוכני AI הפסיקו להיות הדגמה בכנס והתחילו להופיע בתיאורים של תקיפות אמיתיות. ומיקרוסופט הוציאה את יום התיקונים הגדול בתולדותיה, 1,415 חולשות במכה אחת.
הבחירות עברו, והמתקפות הופנו לבוחרים
ההכנות התחילו מוקדם. מערך הסייבר וועדת הבחירות יצאו למבצע "מגן הבחירות" באמצע החודש, ובתרגילים נכלל במפורש גם תרחיש שבו אף אחד לא פורץ כלום והנזק נגרם משמועה. זה, בגדול, מה שקרה. שבועות קודם כבר נמכר בוט בעשרות דולרים שמצליב מאגרי בוחרים שדלפו בשנים קודמות, ומחזיר על מספר תעודת זהות אחד גם את בני המשפחה. על הבסיס הזה רכבו הודעות ה-SMS שנשלחו מיותר מ-600 מספרים מתחלפים, ואחרי שהספאם הפוליטי הרגיל את כולם לקבל הודעות מגורמים לא מזוהים, הגיע הפישינג שביקש "לאמת פרטים" לפני הקלפי ואסף מספרי תעודת זהות.
מה שנשאר אחרי שנסגרו הקלפיות הוא דווקא תמונה. לפי הדו״ח של פייק ריפורטר, התצלום שהסתובב ברשת והראה תור ארוך בקלפי בסכנין נוצר במחולל תמונות. כדי להפיץ אותו לא נדרשה שום חולשה.
סוכני AI עברו לצד של התוקפים
בתחילת החודש נרשמה תנועה מוזרה באתרי ממשלה בקנדה: מישהו חיפש סטטיסטיקה על יועצים חינוכיים, שלח כ-200 אלף בקשות, ואז ניסה להזריק פקודה למסד הנתונים. מאחורי הבקשות לא עמד אדם שיושב ומקליד אלא תוכנה שמקבלת מטרה בשפה חופשית ומחליטה לבדה מה הצעד הבא, וזה מה שתיארו חוקרי Transluce. לטכנולוגיה הזאת קוראים סוכן AI, והחודש היא הופיעה בשורה של אירועים: מיקרוסופט ייחסה את הפריצה ל-ConnectWise לקבוצה שהפעילה סוכנים בקצב של 2,900 ניסיונות התחברות בדקה, בקר שנחשף בסוף אוקטובר הראה 200 ארגונים ב-14 מדינות בתוך 11 ימים כשכמה סוכנים רצים במקביל, ובקוריאה נעצרו שבעה חשודים בפריצות ל-90 ארגונים שלפי המשטרה נעשו בעזרת AI.
הכלים האלה עובדים גם בצד השני. סוכנים בנו שרשרת פריצה מלאה לכרום בשישה ימים במקום חצי שנה, וגוגל שילמה על הדיווח 250 אלף דולר. מה שהשתנה באוקטובר הוא לא התחכום אלא המחיר: ניסיון שעד עכשיו דרש שעות אדם עולה היום שבריר מזה, וזה מסביר למה פתאום מודדים תקיפות בניסיונות לדקה.
שרשרת האספקה הגיעה לעוזר הקוד
למי שכותב קוד היה חודש גרוע במיוחד. התולעת Shai-Hulud חזרה ל-npm דרך ה-SDK של Tensorlake, והפעם דווקא ביטול ה-token הוא מה שמפעיל את המחיקה. GhostAction סרק את ההיסטוריה של 345 מאגרי GitHub ביום אחד, כולל סודות שנמחקו מהקוד מזמן, והשלב השני שלו יצא מ-GitHub אל הלפטופ ברגע שמישהו פתח את התיקייה ב-VS Code. שרתי העדכון של תוכנת הגיבוי AOMEI הפיצו דלת אחורית בחלון של דקות בודדות, כך שעצם ההקפדה לעדכן בזמן היא שקבעה מי נדבק.
הקטגוריה החדשה היא פרטי האימות של עוזרי ה-AI עצמם. פריצה ל-OpenCode חשפה מפתחות גישה ל-OpenAI, ל-Anthropic ולגוגל, ומשתמשים דיווחו על חיובים שלא הם עשו. נוזקה בשם Aokigahara אוספת בדיוק את פרטי האימות של Claude, Copilot ו-Gemini CLI. ובסוף החודש גרסה זדונית של תוסף Claude Code בחנות של Cursor דחפה 66 שורות לפני הקוד האמיתי והוסיפה מפתח של התוקף ל-authorized_keys. המפתח שפותח לכם את המודל פותח גם את הסביבה שבה אתם עובדים.
ציוד הקצה, ושוב אותם רכיבים
אם מספר אחד מסביר את עומס העבודה של אוקטובר, הוא 1,415. יום התיקונים של מיקרוסופט היה הגדול בתולדות החברה, ומכל הערימה הזאת בדיוק חולשה אחת נוצלה בפועל. הסיפור האמיתי היה במקום אחר: SonicWall קיבלה חולשה בציון 10.0 שלא דורשת סיסמה באותו רכיב בפעם השלישית מאז יולי, GitLab תיקנה 10.0 שנוגעת לכל גרסה מאז 2014 שלושה שבועות אחרי באג כמעט זהה באותו קומפיילר, והחולשה השלישית ב-VeloCloud שנוצלת בפועל מסתפקת בהרשאת הצפייה הנמוכה ביותר במוצר. את חולשות ה-PHP ניצלו ארבעה ימים לפני שיצא התיקון, וממשלות באירופה ובקנדה פשוט ניתקו אתרים מהאוויר.
הרכיב שחוזר שוב ושוב אינו צירוף מקרים. ציוד הקצה נבדק פחות מהשרתים שמאחוריו, מתעדכן לאט יותר, ומי שתוקף אותו יודע את שני הדברים.
מגמות החודש
המגמה החדה ביותר החודש נגעה לחומרה שמגיעה כבר פגומה. Ledger אישרה שנמצא שתל חומרה בארנק קריפטו שנמכר דרך מפיץ, ואחר כך עצרה מכירות בשבע מדינות; Trezor הזהירה את מי שקנה דרך אותו מפיץ; Keystone השמידה 18,835 ארנקים אחרי שנגנב המפתח שמוכיח שמכשיר הוא מקורי. לקוח שבודק את הקופסה לפני הפתיחה כבר לא בודק את הדבר הנכון. בסוף החודש בינאנס כיבתה את כפתור המשיכה, ולפי הבורסה עצמה המחשב של אחד המהנדסים שלה נפרץ ו-3 מיליארד דולר הוקפאו. גורם עצמאי לא אימת את התיאור הזה.
מה שכן השתפר הוא האכיפה. השרתים של כופרת KillSec נתפסו על ידי שוטרים מעשר מדינות, והמנהל הראשי המשוער שלה הוא בן 16; החשוד המרכזי ב-ShinyHunters נעצר בירדן; חשוד מליבת כופרת Qilin הוסגר לגרמניה; ומבצע של אינטרפול ב-21 מדינות הסתיים ב-1,462 מעצרים. שנה אחורה רוב הסיפורים האלה היו נגמרים בלי אף מעצר.
בחזית הפרטיות המחיר עבר להיות כספי. שופט בניו מקסיקו העמיד את החשבון של מטא על 25 מיליארד דולר, וג'נרל מוטורס תשלם 220 מיליון דולר ל-36 מדינות על מכירת נתוני נהיגה למבטחים. לנובמבר נכנסים עם שני תאריכים שכדאי לסמן: מ-1 בדצמבר חנות אפליקציות חלופית תתקין אפליקציה בלחיצה אחת, וישראל ברשימה, ומה שכתוב בשרתי דיסקורד ציבוריים יתחיל להופיע בגוגל ב-16 בנובמבר. לשני השינויים האלה יש מתג, ועדיף להגיע אליו לפני התאריך.
הצעד של החודש
הדוח של מיקרוסופט שפורסם ב-1 באוקטובר קבע שישראל שנייה בעולם בתדירות מתקפות סייבר, ויותר מ-99 אחוזים מניסיונות החדירה לענן התחילו בניחוש סיסמאות. שימו לב מה המספר הזה בעצם אומר: כמעט כל הניסיונות נעצרים או נופלים בשלב הסיסמה, לא בשלב החולשה המתוחכמת. בבריטניה כבר קוראים לעבור ל-passkey אחרי שהכסף שנגנב דרך חשבונות שנפרצו זינק פי חמישה בשנה.
אז שתי פעולות, ושתיהן לוקחות דקות. הדליקו passkey בכל שירות שמציע את זה, גוגל, אפל, וואטסאפ ומיקרוסופט ביניהם: במקום סיסמה נשמר מפתח על המכשיר שלכם, ואין ממנו מה לדוג בעמוד מזויף. והשנייה חשובה לא פחות, כי ב-79 ארגונים הסיסמה בכלל לא נגנבה והאימות הדו-שלבי כן אושר: אם קופצת לכם בקשת אישור שלא אתם התחלתם, זו לא תקלה ולא באג. אל תאשרו, והחליפו סיסמה מיד אחרי.
תגובות