ביום שלישי הצביעו בישראל, ועד סוף השבוע התחילה להתבהר התמונה של מה שרץ סביב הקלפי: יותר מ-1,200 דומיינים חדשים, מרכז מצב של מערך הסייבר, ותמונה של תור ארוך בסכנין שנוצרה במחולל תמונות. הבוקר, בצד השני של העולם, בינאנס כיבתה את כפתור המשיכה אחרי שלפי דבריה נפרץ מחשב נייד של מהנדס שלה. בין שני הקצוות האלה עבר שבוע שבו מה שנלקח כמעט בכל מקרה היה הגישה, ולא הסיסמה.

יום הבחירות, והאירוע שלא היה

ההצבעה עצמה נעשית בפתקי נייר, וכל מה שעוטף אותה לא. מערך הסייבר הלאומי הפעיל מרכז מצב ייעודי לאורך היום, ועד סגירת הקלפיות לא דווח על אירוע שפגע בתהליך עצמו. מה שכן רץ, רץ סביבו: צ'ק פוינט ספרה יותר מ-1,200 דומיינים חדשים שקשורים לבחירות וסימנה אחד מכל 47 מהם כחשוד לזדוניות, ביניהם עמוד שהתחזה לשירות מידע לבוחר וביקש שם מלא, מספר תעודת זהות וכתובת מגורים. פייק ריפורטר מיפתה אחר כך את מה שהופץ באותו יום ומגיעה ליותר משלושה מיליון צפיות: תמונת תור שנוצרה בבינה מלאכותית, סרטון דיפ-פייק, ואתר שהניתוח הטכני שלו הוביל לחשבון שסומן כפועל מאיראן. לאף אחד מהם לא היה צריך לפרוץ לשום דבר.

בינאנס, קיסטון, והכסף שכבר זז

בינאנס פרסמה הבוקר שהיא מטפלת באירוע אבטחה שנוגע לנכסים בשווי כ-6.3 מיליארד דולר, השעתה הפקדות ומשיכות, ואומרת שכ-3 מיליארד דולר כבר הוקפאו. את המספרים האלה, ואת הקביעה שהכול התחיל במחשב נייד של מהנדס, מסרה החברה על עצמה בתוך אירוע פעיל, ואף גורם חיצוני עוד לא אימת אותם. יומיים קודם קיסטון השמידה 18,835 ארנקי קריפטו אחרי שמהאתר שלה נגנב המפתח שבעזרתו המכשירים מוכיחים שהם מקוריים, כלומר שמעכשיו גם מכשיר מזויף יכול לעבור את הבדיקה הזאת.

הסיסמה לא נגנבה, הכניסה כן

Huntress תיארה קמפיין שבו תוקפים אספו את כרטיסי הכניסה שמונפקים אחרי אימות מוצלח והריצו אותם מול Microsoft 365 ב-79 ארגונים: 497 התחברויות הצליחו, ובחשבונות שנפרצו נמחק האימות הדו-שלבי של הקורבן. באותם ימים התפרסמו הפרטים של חולשה ב-Microsoft Authenticator לאנדרואיד שאיפשרה לאפליקציה בלי שום הרשאות לבקש token בשם Teams ולקבל אותו, ו-Group-IB ו-NyxLab פרסמו שקבוצה אחת מחזיקה 70 אלף פרטי אימות של ארגונים שחולצו מהגדרות של firewall-ים חשופים, כי המפתח שמצפין אותן שם זהה בכל מכשיר מאותו דגם.

וכשאין מה לחלץ, פשוט מבקשים. Arctic Wolf מתארת דפוס שחוזר אצלה במאות אירועים: מציפים לעובד את תיבת המייל, ואז פונים אליו בצ'אט של Teams בשם התמיכה הטכנית ומבקשים שליטה מרחוק על המחשב. מיקרוסופט מצידה תתחיל בתחילת נובמבר להפעיל ב-Teams זיהוי שבודק את הקשר השיחה ולא רק קישורים וקבצים.

עוזרי ה-AI, משני הצדדים

קובצי ההתחברות של Claude Code, של Codex, של Copilot ושל Gemini CLI נמצאים עכשיו ברשימת החיפוש של נוזקה: Check Point Research פרסמה ניתוח של Aokigahara, שמלבד דפדפנים וארנקי קריפטו אוספת גם אותם. מהכיוון ההפוך, חוקרי Forever Security עצרו במחשב של לקוח סוכן קוד שהתחיל להתקין חבילת npm זדונית בעקבות קובץ AGENTS.md שמישהו הפיל לתיקיית ההורדות, ולדבריהם אין כאן באג לתקן: סוכן שקורא את קובץ ההוראות בתיקייה שבה הפעלתם אותו עושה בדיוק את מה שנבנה לעשות. מי שרוצה את הרעיון מההתחלה, השבוע הסברנו כאן מה זה prompt injection.

הבנקים הגיעו לאותה מסקנה מהצד של הכסף. בנק אוף אמריקה שלח ללקוחותיו מייל שמבקש לא למסור פרטי התחברות לשום כלי AI, וסיטי אישר שהוא חוסם סוכנים חיצוניים מלהתחבר לחשבונות בכלל.

מה כדאי לעדכן, ומה כדאי לכבות

שתיים מהכתבות השבוע נוגעות ישר לטלפון שבכיס. אפל שחררה ב-26 באוקטובר את iOS 18.7.11 שמביא גם לאייפון XS, XS Max ו-XR תיקון לחולשה ברכיב CoreGraphics שלדבריה אולי נוצלה בתקיפה ממוקדת. בטלגרם לאנדרואיד תוקנה חולשה שאיפשרה הרצת קוד על המכשיר מהרגע שעונים לשיחה קולית, והשורש שלה קריא בקוד הפומבי של האפליקציה: נבדק שדה אחד בהודעת הסטטוס, ונקרא הערך משדה אחר.

ולמי שמנהל שרתים בעצמו: Arista מדווחת שחולשת SQL Injection בציון 9.4 ב-VeloCloud Orchestrator מנוצלת בפועל, וכדי להגיע אליה די בתפקיד הצפייה הנמוך ביותר במוצר. שתי חולשות הרצת הקוד ב-PHP נכנסו באותם ימים לקטלוג ה-KEV של CISA.

מה לקחת מהשבוע הזה

החוט שמחבר את בינאנס, את 79 ארגוני ה-Microsoft 365 ואת קובצי ההתחברות שנוזקה אחת חיפשה הוא שבכל אחד מהמקרים לא נגנבה סיסמה אלא הגישה שהונפקה אחריה, וסיסמה חזקה אינה מגנה על מה שכבר בפנים. הצעד המעשי לסוף השבוע קצר: עדכנו את הטלפון, כולל iOS 18.7.11 אם המכשיר שלכם מ-2018, ואת טלגרם מהחנות. ואם אתם כותבים בשרתים ציבוריים בדיסקורד, פתיחת התוכן שלהם למנועי החיפוש נכנסת לתוקף ב-16 בנובמבר והיא דלוקה בישראל כברירת מחדל, אז מי שרוצה לכבות כדאי שיעשה את זה לפני.