ישראל נמצאת במקום השני בעולם בתדירות מתקפות הסייבר, ויותר מ-99% מניסיונות החדירה לענן שמיקרוסופט מדדה התחילו בניחוש סיסמאות. שני המספרים האלה הגיעו השבוע מדוח ההגנה הדיגיטלית של מיקרוסופט, והם מתארים די במדויק את שאר השבוע: שערי הגישה לארגונים ספגו חולשות שאין להן תיקון, וסיסמאות גנובות הופיעו כמעט בכל סיפור אחר.

שלושה יצרנים, ואף תיקון מוכן

התקיפות על ציוד הקצה של הארגון לא נעצרו השבוע לרגע. אצל Citrix התגלו שתי חולשות יום-אפס ב-NetScaler שמאפשרות הרצת קוד בלי שהחברה פרסמה דבר, והניתוח שלהן הראה חודש שלם של תקיפות לפני שה-CVE בכלל נולד, בציון 9.5. על שערים שכבר נפרצו מצאו החוקרים ערכת כלים שלמה שהתוקפים השאירו מאחור, ובה web shell שמסתתר בתוך תשובת 404 לבקשה לאייקון. במקביל הזהירה CISA על חולשה בדף הניהול של נתבי MikroTik שנותנת הרצת קוד בהרשאות root בבקשה אחת, ו-Fortinet ביקשה להשבית רכיב ב-FortiMail עד שיגיע תיקון אחרי שהתברר שתוקף יכול לכתוב קובץ משלו על שרת הדואר בלי שם משתמש וסיסמה. אם ממשק הניהול של אחד מהם חשוף לאינטרנט, זאת העבודה של סוף השבוע.

האייפון שבכיס, פעמיים באותו שבוע

אפל הוציאה את iOS 26.7.1 ואמרה שהחולשה שתוקנה כבר נוצלה נגד אנשים ספציפיים, כלומר תקיפה ממוקדת ולא קמפיין רחב. ואז השתנה הסיפור: קוד ההוכחה פורסם לציבור, ובוואטסאפ הופיעה בדיקה חדשה לגופנים בתוך קובצי PDF. ברגע שקוד הניצול זמין לכולם, "ממוקדת" מפסיקה להיות הגנה.

הסיסמה היא עדיין הדלת

הנתון של מיקרוסופט לא נשאר מופשט. חוקרים מצאו 16,326 מסדי נתונים ב-Supabase שענו לכל מי שביקש בגלל הרשאות גישה שלא הוגדרו, ובתוכם 78 אלף מספרי רישוי ו-884 סיסמאות בטקסט גלוי. הדוח של ANSSI על הפריצה לרשות המסים הצרפתית מצביע על כמה עשרות סיסמאות שנגנבו דווקא מהמחשבים הפרטיים של העובדים, לא מרשת הארגון. ובצד השני של המאזן, קאמרון ואגניוס נדון ל-70 חודשי מאסר על גניבת יומני השיחות של יותר מ-100 מיליון לקוחות AT&T דרך חשבונות Snowflake בלי אימות דו-שלבי. הרווח שלו מכל זה היה כ-1,500 דולר.

ה-AI עבד השבוע משני הצדדים

כצינור תקיפה: צ'אט מותאם בשם Plus 5.6 התארח על chatgpt.com עצמו ושלח מבקרים להדביק פקודה במחשב, והפאנל של נוזקת האנדרואיד RatHat שואל את Gemini כמה כסף יש לקורבן בבנק כדי למיין טלפונים נגועים לפי שווי. כיעד: OpenAI אישרה שסוכנים שלה פרסמו 53 תמונות של משתמשים באתרי אחסון חיצוניים ואמרה שאינה יודעת של מי הן, וב-MCP Python SDK התברר שבדיקת אבטחה שלמה פשוט לא רצה כששרת מחזיר 404, מה שמאפשר גניבה של פרטי האימות.

כסף שיצא, ושוטרים שהגיעו

הסכום שנגנב מבורסת הקריפטו Bitget תוקן כלפי מעלה ל-387.5 מיליון דולר והמשיכות נפתחו מחדש. בפרשה אחרת הוגש כתב אישום בהונאת השקעות קריפטו שבה קורבן אחד הפסיד 16 מיליון דולר, עם מעצר בשדה התעופה של לוס אנג'לס. ושוטרים מעשר מדינות תפסו את השרתים של קבוצת הכופרה KillSec ואת 110 הטרה-בייט שגנבה. המנהל הראשי המשוער שלה בן 16.

מה לקחת מהשבוע הזה

עדכנו את האייפון ל-iOS 26.7.1 היום, לא בשבוע הבא, כי קוד הניצול כבר פורסם. ואם מיקרוסופט סופרת שיותר מ-99% מניסיונות החדירה לענן מתחילים בניחוש סיסמה, ההגנה הזולה ביותר שיש לכם היא אימות דו-שלבי על כל חשבון שמחזיק משהו, וסיסמה שונה בכל מקום. ואגניוס הגיע ליומני השיחות של 100 מיליון איש כי בחשבונות שפרץ לא היה שלב שני.