מתקפת פישינג התחזתה ל-gov.il - ושאבה פרטים בזמן ההקלדה

בשבוע שעבר הזהיר מערך הסייבר הלאומי מפני הונאה שהתחזתה לדואר ישראל וניסתה לגנוב פרטים אישיים. כעת נחשפת מתקפת פישינג חדשה, שמתחזה לפורטל הממשלתי gov.il, לאחר שקישור זדוני נסרק דרך אתר MAX והועבר לבדיקה.

לפי ניתוח של חברת סייבור (Cyvore), מדובר במערכת פישינג אינטראקטיבית שמאפשרת לתוקף לעקוב אחרי הקורבן בזמן אמת, לשאוב פרטים תוך כדי הקלדה ולהעביר אותו בין שלבי אימות בהתאם לתגובה שלו. "זו לא הייתה עוד הודעת פישינג חובבנית, אלא מערכת תקיפה חיה שמלווה את הקורבן בזמן אמת, גונבת את הפרטים תוך כדי ההקלדה ויכולה אפילו לשנות את המסך לפי מה שהתוקף צריך באותו רגע", אומר יפתח רותם, שותף מייסד ו-CPO בחברה. לדבריו, האתר ירד אתמול מהאוויר, אך מאחר שהוא חלק מקמפיין תקיפה, הוא עשוי לחזור בגרסאות שונות.

הקישור הזדוני הופץ בהודעות SMS, כביכול מטעם "רשות התנועה בישראל", גוף שאינו קיים. בהודעות נטען כי בעל הרכב ביצע עבירת תנועה ונדרש לשלם קנס בסך 100 שקלים.

לחיצה על הקישור מובילה לאתר שנבנה כך שייראה כמו שירות ממשלתי לגיטימי, עם עיצוב שמזכיר אתרי ממשלה ישראליים. מאחורי המעטפת נמצאת תשתית שנועדה לאסוף מספר טלפון, פרטי כרטיס אשראי, קוד אימות חד פעמי, אישור באפליקציה בנקאית, כתובת ופרטים אישיים נוספים.

אחד הממצאים החמורים בבדיקה הוא שהמערכת אינה מחכה שהמשתמש ילחץ על כפתור השליחה. לפי הניתוח, הקוד מעביר לתוקף את תוכן השדות בזמן ההקלדה, באמצעות אירועי input_text שנשלחים בכל הקלדת תו. המשמעות היא שגם אם המשתמש מזהה שמשהו חשוד וסוגר את החלון לפני השלמת התהליך, חלק מהמידע שהזין או אפילו כולו כבר עלול להגיע לתוקף.

המערכת מאפשרת למפעיל לשלוט במסך שמוצג לקורבן בזמן אמת. בקוד נמצאו פקודות שמעבירות משתמש למסך הזנת OTP (קוד אימות חד-פעמי), למסך אימות מותאם אישית, למסך אישור באפליקציה, למסכי הצלחה ושגיאה וגם למסך חזרה. בנוסף, המפעיל יכול לרענן את העמוד, לחסום משתמש או להוציא אותו מהתהליך.

בפועל, הקורבן מזין את הפרטים, התוקף בודק אותם מול שירות אמיתי ובהתאם לתוצאה מחליט מה יוצג בשלב הבא. קוד שגוי יכול להוביל לבקשה להזין קוד נוסף, בקשת אישור מהבנק יכולה להעביר את הקורבן למסך שמבקש ממנו לאשר פעולה, וכרטיס שאינו מתאים יכול להוביל לבקשה לנסות כרטיס אחר.

לפי הניתוח, הקוד יוצר לכל קורבן מזהה ייחודי ושומר אותו בכמה מנגנוני אחסון בדפדפן, בהם Cookie, localStorage, sessionStorage ו-IndexedDB. המערכת מסנכרנת את אותו מזהה בין המנגנונים, כך שגם לאחר טעינה מחדש של העמוד או ניקוי חלק מהמידע בדפדפן, היא עשויה לזהות את המשתמש ולהחזיר אותו לאותו תהליך.

הבדיקה העלתה גם קשר טכני חזק בין המתקפה שהתחזתה ל-gov.il לבין קמפיין פישינג קודם שהתחזה לדואר ישראל ופורסם בשבוע שעבר. לפי הניתוח, בשני הקמפיינים נמצאו מנגנוני שליטה דומים, אותם אירועי תקשורת ואותו נתיב API, לצד מסכי כרטיס, OTP ואישור באפליקציה.

ההבדל המרכזי הוא באריזה. בקמפיין הקודם הוצגה התחזות לדואר ישראל, שכללה תשלום קטן עבור משלוח או מסירה מחדש. במתקפה החדשה אותה תשתית הותאמה למראה ממשלתי, עם הפניה ל-gov.il וקבצים שנועדו לחקות פורטל שירות ממשלתי.

לפי ההערכה הטכנית, ייתכן שמדובר בגרסה נוספת של אותה ערכת פישינג או של אותו קוד מקור, שעברה התאמה למותג אחר. עם זאת, הקוד לבדו אינו מוכיח שהמתקפות הופעלו על ידי אותו אדם או אותה קבוצה.

המערכת יודעת גם להרחיק מבקרים לא רצויים. אם השרת מחליט לחסום משתמש, הקוד יכול להפנות אותו לאתר האמיתי של gov.il. כך חוקר, סורק אוטומטי או משתמש חשדן עלול לראות אתר ממשלתי תקין ולחשוב שהקישור היה לגיטימי.

איך אפשר להתגונן?

כדי להקטין את הסיכון, מומלץ להיכנס לאתרי ממשלה, בנקים, חברות אשראי ודואר ישראל רק דרך כתובת שהוקלדה ידנית או באמצעות אפליקציה רשמית. אין למסור פרטי כרטיס, קוד OTP או אישור באפליקציה בעקבות קישור שהתקבל ב-SMS, בוואטסאפ, במייל או בפרסומת. אם יש ספק, אפשר לסרוק את הקישור ב-scanmysms.com.

קוד אימות חד פעמי עשוי להיות השלב האחרון שמאפשר לתוקף להשלים עסקה או להשתלט על חשבון. אם אתר מבקש להזין שוב ושוב קוד, לאשר במהירות פעולה באפליקציה או לנסות כרטיס נוסף, יש לעצור את התהליך ולפנות ישירות לגוף הרלוונטי.