עדכוני אבטחת מידע וסייבר

ניתוחים טכניים של מתקפות, פרצות אבטחה ומגמות בעולם הסייבר — עם דגש על מה שרלוונטי לישראל.

14 בספטמבר 2026כתבת מערכת

SloppyRAT: הנוזקה שמפענחת את הקוד של עצמה בזיכרון, ונכשלת בלשרוד אתחול אחד

חוקרי Zscaler ThreatLabz פרסמו ניתוח של כלי גישה מרוחקת חדש שמשמש כנראה גורם שקשור לכופרה. הנוזקה מצפינה שלוש עשרה מהפונקציות שלה, בודקת את תעודת השרת שלה מול טביעת אצבע קבועה ומריצה 47 פקודות שנראות כמו PowerShell בלי להפעיל PowerShell, אבל שני מנגנוני שימור האחיזה שלה פשוט לא עובדים.

נוזקותכופרההנדסה חברתית
14 בספטמבר 2026כתבת מערכת

הכסף מוחזק בנאמנות עד שהאתר המזויף מוכן: ארה"ב תפסה את Xinbi והקפיאה 52.8 מיליון דולר

משרד המשפטים האמריקני תפס את ערוצי הטלגרם של Xinbi Guarantee, שוק שבו עברייני רשת קנו אתרי השקעות מזויפים, פרטים גנובים וכלי דיפפייק, והקפיא 52.8 מיליון דולר בקריפטו. ההודעות שמגיעות לישראלים בוואטסאפ ובטלגרם הן הקצה הקמעונאי של אותה שרשרת.

הונאהאכיפת חוקמטבעות קריפטוהנדסה חברתית
13 בספטמבר 2026כתבת מערכת

מיליון מיילים בשלושה ימים, לכל אחד מנכ"ל משלו: כך נראית היום הונאת החשבוניות

מיקרוסופט תיעדה בתחילת אוגוסט קמפיין של יותר ממיליון הודעות שבו התוקפים התחזו למנכ"ל של כל חברה בנפרד וביקשו מהנהלת החשבונות להעביר קרוב ל-50 אלף דולר. לא היה שם קובץ נגוע ולא קישור זדוני, רק סיפור שלם שנבנה כדי להיראות שגרתי.

הונאההנדסה חברתיתבינה מלאכותיתמיקרוסופט
13 בספטמבר 2026כתבת מערכת

הבקשה יצאה מדומיין אמיתי של רשות ממשלתית, ורבולוט שלחה בתגובה דרכונים, סלפי אימות והיסטוריית חשבון

רבולוט אישרה שמסרה מסמכי זיהוי ופרטי חשבון של לקוחות לגורם לא מורשה, אחרי שקיבלה בקשת מידע מזויפת שנשלחה מתוך תיבת דואר של רשות ממשלתית אמיתית. הבקשה עברה את כל בדיקות הזיהוי האוטומטיות, והזיוף התגלה רק כשהחברה פנתה לאותה רשות ושאלה.

דליפת מידעפרטיותהנדסה חברתיתבנקאות
13 בספטמבר 2026כתבת מערכת

תיקייה אחת ב-cgroup, וה-agent של SPIRE מנפיק לתוקף את הזהות של workload שכן

חוקר של Unit 42 הראה שתוקף עם הרשאות root על node בקלאסטר Kubernetes יכול לשכנע את ה-agent המקומי שהוא workload אחר, ולקבל בשמו token חתום ותקף. אין כאן CVE ואין גרסה לעדכן: זו הנחת היסוד שכל מערכת זהויות למכונות בנויה עליה.

ענןתשתיותלינוקס
13 בספטמבר 2026כתבת מערכת

מה זה passkey, ולמה עמוד מזויף מושלם לא מצליח לקחת אותו מכם?

passkey הוא מפתח שנוצר אצלכם במכשיר ולא נשלח לאתר אף פעם, כך שאין ממנו מה לגנוב בדליפה ואין מה להקליד בעמוד מתחזה. מה שהתוקפים כן מנסים היום הוא לשכנע אתכם לרשום לחשבון מפתח נוסף, שלהם.

מושגיםמדריךאבטחת חשבונותפישינג
13 בספטמבר 2026כתבת מערכת

התיקון יצא ב-10 בספטמבר, ולמחרת ב-06:00 כבר נרשמו הבדיקות הראשונות: החולשה בציון 10 ב-GitLab שקוראת קבצים מהשרת בלי חשבון

GitLab סגרה חולשה בציון CVSS של 10.0 שאיפשרה לפונה בלי חשבון לקרוא קבצים מהשרת דרך ה-API של הקומיטים, וביום שאחרי כבר הגיעו בדיקות לרשת המלכודות של watchTowr. CISA נתנה לגופי הממשל בארה"ב שלושה ימים לעדכן, ובאותה הוצאת גרסה נסגרה גם חולשה בציון 9.9 שתנאי הכניסה אליה הוא הרשאה לעוזר ה-AI של המוצר.

חולשותעדכוני אבטחהשרשרת אספקה
13 בספטמבר 2026כתבת מערכת

הורידו 1.8 מיליון אפליקציות אנדרואיד וסרקו אותן אחרי מפתחות שנשכחו בקוד: מה מספר דוח האיומים של אנת'רופיק

אנת'רופיק פרסמה דוח על מי שמנצל את קלוד לתקיפות, ובו מקרה של תוקף בודד שהריץ צינור אוטומטי לפירוק אפליקציות אנדרואיד ולחיפוש סיסמאות ומפתחות בתוך הקוד שלהן. המפתחות האלה לא פותחים את הטלפון שלכם, אלא את השרת של מי שבנה את האפליקציה.

בינה מלאכותיתאנדרואידשרשרת אספקה
13 בספטמבר 2026כתבת מערכת

שוטר אחד שמר את פרטי ההתחברות שלו בטלפון הפרטי, ומאגר הנהגים של פלורידה נפתח לתוקפים

רשות התחבורה של פלורידה אישרה שהתוקפים שנכנסו למאגר הנהגים שלה לא פרצו שום מערכת: הם התחברו עם שם משתמש וסיסמה של שוטר, שנשמרו שלא כראוי במכשיר הפרטי שלו. קבוצת ShinyHunters טוענת שמשכה יותר מ-200 אלף רשומות, והרשות לא אישרה את המספר.

דליפת מידעסיסמאותפרטיות