ההודעה הראשונה לא מבקשת כלום. אין בה קישור, אין קובץ מצורף, ואין בה שום דבר שסורק דואר יכול לסמן. ב-8 ביולי 2026 קיבלו מומחי מדיניות בינה מלאכותית במכוני מחשבה, אוניברסיטאות ומשרדי עריכת דין בארצות הברית מייל בשמה של Lynne Edwards Parker, מי שכיהנה כסגנית המנהל הראשית במשרד למדע וטכנולוגיה של הבית הלבן, ובו הזמנה להצטרף ל"ועדה המייעצת למדיניות AI". הוועדה הזאת לא קיימת. מי שטרח להשיב קיבל בחוזר קישור מקוצר, וכאן הקמפיין מתחיל לעבוד.

את השרשרת תיעדו חוקרי Proofpoint בדוח שפרסמו ב-1 באוקטובר, וחתומים עליו Mark Kelly וצוות מחקר האיומים של החברה. הם מייחסים את הפעילות לקבוצה שהם עוקבים אחריה בשם TA419, ולהערכתם היא מקורבת לסין. מה שמעניין בדוח הוא לא הפישינג עצמו אלא מה שחיכה בסופו: עמוד התחברות של מיקרוסופט שהיה באמת של מיקרוסופט, וחלון דפדפן שנראה תקין לחלוטין ולא היה חלון בכלל. בהמשך נראה איך הקורבן מגיע לשם, למה הסיסמה והאימות הדו-שלבי שלו עוברים בהצלחה דווקא ברגע שהמתקפה מצליחה, ומה הקבוצה הוסיפה במו ידיה לכלי קוד פתוח שכל אחד יכול להוריד.

מי זו TA419, ולמה דווקא מומחי מדיניות

לפי Proofpoint, TA419 היא קבוצת ריגול מקורבת לסין שהחברה עוקבת אחרי קמפייני הפישינג הממוקדים שלה מאז אפריל 2025 לפחות. היעדים חוזרים על עצמם: אנשים שעובדים במכוני מחשבה, אצל קבלני ביטחון, באוניברסיטאות ובמשרדי עריכת דין בארצות הברית וביפן. עד הדוח הזה, כותבים החוקרים, פעילות הקבוצה לא דווחה בפומבי, וזה מסביר למה השם לא מופיע בשום מקום אחר.

הקמפיין של יולי לא היה הראשון בזירת ה-AI. בפברואר 2026 התחזתה הקבוצה לעובד בכיר בחברת Anthropic ופנתה לאנליסט מדיניות AI במכון מחשבה אמריקאי. שורת הנושא של אותו מייל הייתה "Request for Feedback on Military Integration of Claude", בקשה לחוות דעה על שילוב צבאי של מודלי Claude, שנשענת על דיון ציבורי אמיתי שהתנהל באותם שבועות. בקמפיין של יולי הוחלפה הזהות המתחזה פעמיים, ל-Parker ואחריה ל-Heidi Crebo-Rediker, כלכלנית ומומחית ליחסי חוץ, שבשמה נשלחה בקשה לתרום לדוח של ועדת החוץ של הסנאט על בקרת יצוא בתחום ה-AI ועל שרשראות אספקה. הפנייה תמיד לגיטימית לחלוטין בתוכנה, ותמיד בשמו של אדם אמיתי שבאמת עוסק בנושא.

"הפעילות הזאת תומכת בסבירות גבוהה במטרות רחבות יותר של המודיעין הסיני, להבין טוב יותר התפתחויות מתמשכות בנוף המדיניות והרגולציה האמריקאי בתחום ה-AI", כתבו החוקרים, וקישרו את זה לתחרות האסטרטגית בין ארצות הברית לסין, להאשמות בדבר זיקוק מודלים ולמגבלות היצוא.

איך הקורבן מגיע לעמוד, ולמה האימות הדו-שלבי עובר בהצלחה

הקישור שנשלח בחוזר הוא קישור מקוצר של שירות חוקי, ומשם מתחילה שרשרת הפניות דרך דומיינים שבשליטת הקבוצה. התפקיד של הדומיין הראשון פשוט: לסנן. הוא מציג מסך טעינה מזויף של OneDrive, ומאחוריו מריץ בדיקת Cloudflare Turnstile, אותה בדיקה שאתרים מציבים כדי לוודא שמי שנכנס הוא אדם ולא סקריפט אוטומטי. השימוש הזה הפוך לגמרי מהכוונה המקורית: התוקפים לא מנסים לעצור בוטים זדוניים, אלא בדיוק את אלה שמנסים לנתח אותם, ארגזי חול של חברות אבטחה וסורקי קישורים אוטומטיים. רק מי שעבר את הבדיקה מועבר אל עמוד הפישינג, שיושב על דומיין שני. שני הקמפיינים של יולי 2026 השתמשו באותו צמד, driftshare[.]co בשלב הראשון ו-globalfileshareplatform[.]com בשני.

ובעמוד עצמו מחכה החלק שמסביר למה אימות דו-שלבי לא עוזר. במקום לבנות העתק של עמוד ההתחברות של מיקרוסופט, שרת התוקף יושב באמצע ומעביר בקשות לשני הכיוונים: הקורבן מדבר עם השרת של התוקף, השרת מדבר עם מיקרוסופט האמיתית, וכל מה שחוזר משם מוצג לקורבן כפי שהוא. העמוד שהקורבן פוגש הוא התשובה האמיתית של מיקרוסופט לבקשת ההתחברות בנתיב /common/oauth2/v2.0/authorize, מועברת בזמן אמת דרך היישום הראשוני OfficeHome של Microsoft 365 ו-Entra ID. לשיטה הזאת קוראים Adversary-in-the-Middle, או בקצרה AitM.

ומכיוון שהתקשורת אמיתית, גם האימות אמיתי. "הפרוקסי מעביר את ההתחברות אל התשתית האמיתית של מיקרוסופט, כך שהסיסמה של היעד, קוד האימות הדו-שלבי ובדיקות הגישה המותנית כולם עוברים בהצלחה", כותבים החוקרים, "בזמן שהתוקף קולט את ה-cookie-ים של ה-session שנוצרים בסוף". ה-cookie של ה-session הוא מה שהדפדפן שומר אחרי התחברות מוצלחת כהוכחה שההתחברות קרתה, וכל עוד הוא בידי התוקף הוא נכנס לחשבון בלי לעבור שוב את ההתחברות. החלפת סיסמה אחר כך לא מבטלת אותו מעצמה.

הקורבן התחבר באמת. פשוט לא רק הוא.

אז למה שורת הכתובת לא הצילה אף אחד?

הבדיקה שכולם מלמדים אותה היא להסתכל על שורת הכתובת. השיטה שבה השתמשה TA419 מתייחסת לעצה הזאת ברצינות, ובדיוק בגלל זה היא עובדת: היא מציירת בתוך העמוד הזדוני תמונה של חלון דפדפן נפרד, עם מסגרת, כפתורים ושורת כתובת שכתוב בה מה שהתוקף רוצה. אין שם חלון. יש HTML, CSS ו-JavaScript שמרכיבים משהו שנראה כמו חלון. לטכניקה הזאת קוראים Browser-in-the-Browser, ובמימוש שבו מדובר, Frameless BitB, היא נבנית בלי iframe.

ההימנעות מ-iframe היא הנקודה הטכנית. עמודי התחברות של מיקרוסופט מכילים הגנה שמסרבת להיטען בתוך מסגרת של אתר אחר, והגרסה חסרת המסגרת פשוט לא מתנגשת בה. הכלי שהקבוצה לקחה הוא פרויקט קוד פתוח זמין לכולם, שכולל את שכבת ה-BitB יחד עם phishlet למיקרוסופט 365 עבור הפרוקסי Evilginx וחוקי החלפה בצד השרת שמזריקים את התוספות לתוך העמודים המועברים. אחד הטריקים שהפרויקט מתאר במפורש הוא Shadow DOM, מכניזם שמאפשר לשתול אזור HTML מבודד בתוך עמוד קיים.

בעמוד מצאה Proofpoint שלושה סקריפטים מוזרקים, ושניים מהם מגיעים מהפרויקט הפתוח. /secondary/script.js הוא המנוע של ה-BitB: הוא מצמיד Shadow DOM לרכיב מכיל וממלא אותו ברשימת תיקיות מדומה של OneDrive עם מסמכי פיתיון. המסמכים עצמם אמיתיים ושוכנים בחשבון OneDrive של התוקף, ומגיעים לעמוד דרך נתיב פרוקסי שהופך קישור שיתוף מסוג 1drv.ms לעמוד שניתן להטמיע. הוא טוען בתוך אותו Shadow DOM את /primary/script.js, שגם הוא מבוסס על הפרויקט אבל הגוף שלו הוחלף: הוא רושם מאזינים ללחיצות ולמגע, ובמקביל מחכה לשלט שמיקרוסופט עצמה מציגה כשאין הרשאה לצפות במסמך. כל אחד משני הטריגרים האלה, לחיצה על מסמך או הודעת ההרשאה האמיתית, מרים את חלון הדפדפן המזויף.

הסקריפט השלישי הוא התוספת של הקבוצה עצמה, וזה החלק שהופך פישינג למשמרת עבודה. /secondary/observe.js לא קיים בפרויקט המקורי, והוא עושה שני דברים: מדווח לתוקף בזמן אמת באיזה שלב של ההתחברות הקורבן נמצא, כלומר נותן תצוגה חיה של כל התחברות שמתרחשת עכשיו, ואז מתערב בה. הוא מאשר אוטומטית את האפשרות "Keep me signed in" כדי להאריך את חיי ה-session הגנוב, ושולח אוטומטית קודים חד-פעמיים ברגע שהם מאומתים. הקוד הפתוח נותן את הזיוף, התוספת של הקבוצה נותנת את התפעול.

מה קושר את הקמפיינים זה לזה

Proofpoint מצרפת שרשרת של סימנים תשתיתיים חוזרים. הדומיינים רשומים בדרך כלל אצל NameSilo, יושבים מאחורי רשת ההפצה של Cloudflare כדי להסתיר את כתובת ה-IP האמיתית של השרת, ונושאים שמות בנושא שיתוף קבצים ושירותי ענן. ציר הזמן בדוח מתחיל ב-sharehub[.]space ו-fileswiftonline[.]cloud בדצמבר 2025 ונמשך דרך פברואר, מרץ, אפריל ומאי 2026 עד הצמד של יולי. בחלק מהמקרים נרשמו דומיינים שמתחזים לארגון מסוים: heritiages[.]org ו-heritiage[.]org, שתי גרסאות משובשות של שם קרן Heritage, הדומיין tw-koryu[.]org בשם אגודת החילופין יפן-טאיוואן, ו-shinjirou[.]info בשם האתר הרשמי של שר ההגנה היפני הנוכחי.

אחת הראיות הטכניות ישבה דווקא בכותרות המייל. לפי הדוח, ה-Received headers של ההופ הראשון חשפו כמה פעמים שרתי VPS שסביר שהם בשליטת הקבוצה, ובהם 108.61.163[.]187. "כל השרתים שנצפו חלקו תעודת TLS בחתימה עצמית שנמצאה על פורט ארעי גבוה", כותבים החוקרים, עם אותו שם מבחין שמזכיר ארגון בשם Castro Inc. להערכתם התעודה הזאת קשורה לרשת חשאית שמשמשת את TA419 כתשתית אנונימיזציה. במקרים אחרים הקבוצה שלחה דואר דרך שירותי פרוקסי ביתיים.

מ-2024 ל-2026: אותו יעד, שיטה אחרת

כדאי להעמיד את הקמפיין הזה מול מקרה קודם שגם אותו תיעדה Proofpoint. בדוח ממאי 2024 תוארה קבוצה שהחברה כינתה UNK_SweetSpecter, שהקמפיין שלה נגע בפחות מעשרה אנשים, כולם מקושרים לארגון AI אמריקאי מוביל אחד. הם קיבלו מייל בנושא בינה מלאכותית עם קובץ ZIP מצורף שבתוכו קובץ קיצור דרך של Windows, ובסופו נוזקת השליטה מרחוק SugarGh0st. המטרה המשוערת אז הייתה להשיג מידע לא פומבי על בינה מלאכותית יוצרת.

אותו סוג יעד בדיוק, אבל שרשרת אחרת לגמרי. ב-2024 נשלחה נוזקה שצריכה לרוץ על המחשב, ומערכת הגנה על ה-endpoint יכולה לעצור אותה. ב-2026 לא נשלח כלום להרצה: הקורבן מתחבר בעצמו, לשרת האמיתי, ומה שנגנב הוא גישה לחשבון הענן. Proofpoint מעריכה שהקבוצה תמשיך לפעול נגד מכוני מחשבה ומומחי מדיניות שעוסקים בטכנולוגיות ובאזורים גיאוגרפיים שמעניינים את סין, ושהיא תמשיך להתחזות לזהויות של מומחים אמיתיים. החברה גם מציינת שהיא רואה באופן סדיר קבוצות מקורבות לסין פועלות נגד תעשיות אחרות שחיוניות לשרשרת האספקה של ה-AI, כמו מוליכים למחצה ומתכות נדירות.

מה זה אומר בפועל

ההמלצה שהחוקרים מציבים ראשונה היא אימות שקשור למקור, כלומר passkeys, שמסרבים לעבוד מול דומיין שאינו הדומיין שעבורו נרשמו. זה בדיוק החסם שחסר כאן: קוד מה-SMS או מאפליקציה עובד מול כל עמוד שמבקש אותו, כולל פרוקסי של תוקף, ו-passkey לא. למי שמנהל ארגון במגזרים שהדוח מתאר, ובהם אוניברסיטאות, מכוני מחקר, משרדי עריכת דין וקבלני ביטחון, זאת הנקודה שמשנה את התוצאה יותר מכל הדרכה.

ההמלצה השנייה מכוונת לאנשים עצמם, והיא פחות טכנית. פנייה לא צפויה שמחמיאה למקצוע שלכם היא שלב בפני עצמו בשרשרת, גם כשאין בה קישור. אם מגיעה הזמנה לוועדה, לכתיבת פרק בדוח או לחוות דעה מקצועית, שווה לאמת שהאדם שבשמו היא נשלחה אכן שלח אותה, בערוץ אחר לגמרי מזה שבו היא הגיעה.