חשיפה: שיטת תקיפה חדשה נגד ארגונים ישראליים, קשורה לאיראן?

נחשפה קמפיין מתקפת סייבר חדש נגד ארגונים ישראליים, במהלכו תוקפים מתחזים לנציגי רשות המסים ומנסים לגרום לעובדים להוריד תוכנות זדוניות. על פי פרסום "מעריב", המחקר בוצע על ידי חוקרי Cato CTRL, חטיבה של חברת Cato Networks המתמחה באבטחת סייבר. הקמפיין, שהחל בספטמבר 2026, מכוון לארגונים ישראליים מתחומים שונים, בדגש על עובדי מחלקות כספים, הנהלת חשבונות ומנהלה.

התוקפים שולחים מיילים הנחזים להיות הודעות רשמיות מרשות המסים, וכוללים קישורים לאתרים מתחזים הדומים לממשק האישי של רשות המסים. המיילים מבקשים מהנמענים לעבור "בדיקת אבטחה" ולהוריד מסמכים הקשורים לדיווחים מס. במקום המסמכים המצופים, מורד למחשב קובץ הפעלה (exe), כדוגמת "Israel Tax Authority.exe". הפעלת הקובץ עלולה להתקין את התוכנה SimpleHelp, המיועדת לשליטה מרחוק במחשבים ומתן תמיכה טכנית.

חוקרי Cato Networks משערים כי מאחורי המתקפה עומדת קבוצת ההאקרים "MuddyWater", המקושרת למשרד המודיעין האיראני. השערה זו מבוססת על דמיון בשיטות הפעולה, כולל שימוש בהודעות פישינג בעברית והפצת תוכנות שליטה מרחוק לגיטימיות. בעבר, "MuddyWater" השתמשה בשיטות דומות, כולל הפצת SimpleHelp באוקטובר 2023 ומיילים בנושאי שכר במרץ 2024.

עם זאת, החוקרים מדגישים כי מעורבות "MuddyWater" אינה מאומתת סופית, והיא מבוססת על סימנים טכניים ודפוסי עבודה. לא מדובר בפריצה לתוכנת SimpleHelp עצמה או ניצול פרצה בה. מפתחי התוכנה אישרו כי קבצים חשודים הכילו רכיבים של גרסה ישנה של תוכנתם, שנוצלה לרעה. Cato Networks זיהתה אתרי אינטרנט ושרתים הקשורים לתשתית הניהול של המתקפה, ומערכות ההגנה שלה חסמו בקשה אחת הקשורה לקמפיין. מספר הארגונים והעובדים שנפגעו אינו ידוע, ואין אישור שהתוקפים השיגו שליטה על מחשבים.

החוקרים מזהירים מפני הסכנה שבהתקפות פישינג אלו, המנצלות את אמון העובדים בתקשורת רשמית. הם ממליצים לנקוט משנה זהירות בעת קבלת מיילים המבקשים מעבר לאתר חיצוני, ביצוע בדיקה והורדת קבצים למחשב העבודה.