חוקרים במשטרת מדינת נורדריין-וסטפאליה בגרמניה עקבו במשך חודשים אחרי קבוצת הכופרה Qilin וקראו את ההתכתבויות הפנימיות שלה בזמן אמת. כך הם גילו שאחד מחבריה מתכנן חופשה ביפן עם בת זוגו. כשהוא נחת באוסקה בסוף מאי עצרה אותו המשטרה היפנית על בסיס צו מעצר גרמני, ובתחילת אוקטובר הוא הוסגר לגרמניה ונלקח למעצר עם הנחיתה בפרנקפורט.

מה קרה

העצור הוא רוסי בן 28, ולפי החשד היה חלק מליבת Qilin. הרשויות הגרמניות לא פרסמו את שמו המלא. הוא חשוד בתקיפה של חברת לוגיסטיקה גרמנית בספטמבר 2024, בהצפנת הנתונים שלה ובסחיטת יותר מ-160 אלף דולר במטבעות קריפטו, וסכום הכופר המדויק שונה במקצת בין הדיווחים. לפי דיווחים גרמניים הוא בנה את מערכות התקיפה של הקבוצה וגזר אחוזים מכל כופר שגבו צוותים אחרים. הוא נשאר במעצר בגרמניה ואמור לעמוד לדין.

התפקיד הזה מתאר היטב את צורת העבודה של Qilin: קבוצה אחת בונה את כלי ההצפנה ואת אתר ההדלפות ומשכירה אותם לתוקפים אחרים, שמבצעים את הפריצות בעצמם ומעבירים חלק מהכופר חזרה לליבה. למודל הזה קוראים ransomware-as-a-service. לזה מתווסף לחץ כפול, כי התוקפים גונבים את המידע לפני שהם מצפינים אותו, כך שגם ארגון שמצליח לשחזר את הקבצים לבד נשאר תחת איום פרסום.

Qilin פועלת מאוגוסט 2022, בתחילה בשם Agenda, והיא בין קבוצות הכופרה הפעילות בעולם. בין הקורבנות יש את יצרנית הרכב ניסאן, את מבשלת הבירה היפנית Asahi, את מעבדות Synnovis שהשיבוש בהן ב-2024 פגע בבתי חולים בלונדון, ואת רשות ה-ATF האמריקאית. היקף הנפגעים במתקפה על Asahi אינו זהה בין המקורות ונע בין מיליון וחצי לשני מיליון איש.

למה זה חשוב לכם

ביוני הקבוצה ניצלה חולשה קריטית בשערי ה-VPN ובחומות האש של צ'ק פוינט הישראלית, CVE-2026-50751 בציון 9.3, שמאפשרת לתוקף להתחבר מרחוק בלי סיסמה תקינה. ציוד כזה מותקן בארגונים רבים בישראל, ולכן Qilin היא לא סיפור זר. מעבר לזה, מתקפות כופרה מגיעות בסוף אל אנשים פרטיים: הנתונים הרפואיים, פרטי העובדים או היסטוריית הרכישות שנגנבו מארגון אחד הם מה שמופיע כמה חודשים אחר כך באתר הדלפות, או בשיחת טלפון שיודעת עליכם יותר מדי.

מה עושים?

החזיקו גיבוי אחד שמנותק מהרשת: דיסק חיצוני שמנתקים אחרי הגיבוי, או שירות ענן ששומר גם גרסאות קודמות של הקבצים. זה מה שהופך הצפנה מאסון לטרחה.

עדכנו קודם כול את מה שמקבל חיבורים מבחוץ ולא את המחשב עצמו: הנתב הביתי, המצלמות, וכל ציוד VPN בעסק. זו הדלת שקבוצות כאלה מחפשות.

הניחו שמידע שנגנב מארגון שאתם לקוחות שלו יצא לרשת גם אם שולם כופר. החליפו סיסמה בכל מקום שבו השתמשתם באותה סיסמה, והתייחסו בחשדנות להודעה או לשיחה שמציגות פרטים נכונים עליכם.

מעצר אחד לא מפרק קבוצה כזאת, והחיפוש אחרי שאר חברי הליבה של Qilin נמשך.