פישינג בעידן האוטומציה, כשפשע הסייבר נמכר במנוי

הפישינג, אותן הודעות התחזות שמנסות לגנוב מאיתנו פרטים, נכנס לשלב חדש ומדאיג. דוח חדש של חברת האבטחה Huntress, שפורסם בסוף יוני 2026, חושף שעבריינים כבר לא מסתפקים בכתיבת מיילים מתחזים, אלא מבצעים אוטומציה של מתקפות שלמות מקצה לקצה, בעזרת בינה מלאכותית. התוצאה היא זינוק חד במתקפות מסוג מסוכן במיוחד, כזה שעוקף אפילו אימות דו שלבי. בכתבה הזו נסביר מה קורה, איך המתקפה עובדת, ולמה זה חשוב גם לעסקים וגם לכל אחד מאיתנו.

מה הסיפור, זינוק של פי 15

לפי הדוח, שנקרא EvilTokens, נרשם זינוק של 1,380 אחוז במתקפות מסוג שנקרא device-code phishing, בהשוואה בין המחצית השנייה של 2025 לארבעת החודשים הראשונים של 2026. במילים אחרות, גידול של כמעט פי 15. ומה שמייחד את הגל הזה הוא שמאחורי מאות התקיפות, אף שתי הודעות פיתוי לא היו זהות. זו עדות ברורה לכך שהתוקפים השתמשו בבינה מלאכותית כדי להתאים אישית את ההודעות בקנה מידה עצום, משהו שבעבר היה שמור רק למתקפות ממוקדות שנכתבו ידנית.

החוקרים מתארים את זה כעדות מהראשונות לכך שקבוצות פשיעת סייבר משלבות בינה מלאכותית עם תהליכים אוטומטיים כדי להפוך את הפישינג לתעשייה של ממש. לא עוד מתקפה בודדת, אלא קו ייצור.

איך המתקפה הזו עובדת

כדי להבין למה זה כל כך מסוכן, צריך להבין את הטריק, וגם איך לזהות אותו. המתקפה מנצלת תהליך אימות לגיטימי של מיקרוסופט, כזה שנועד במקור למכשירים שקשה להקליד בהם סיסמה, כמו טלוויזיות חכמות וקונסולות משחק. התוקף מפנה את הקורבן לעמוד התחברות אמיתי של מיקרוסופט, ומבקש ממנו להזין קוד מכשיר שהתוקף עצמו יצר. ברגע שהקורבן מתחבר ומשלים את האימות הדו שלבי, התוקף מקבל את אסימון הגישה לחשבון.

וכאן טמון העוקץ. אין כאן תוכנה זדונית, ואין עמוד מזויף, אלא תהליך התחברות אמיתי לגמרי של מיקרוסופט. בגלל זה המתקפה כמעט בלתי נראית להגנות המסורתיות, והיא עוקפת גם את האימות הדו שלבי, שנחשב לאחת ההגנות החזקות. הקורבן מצדו בטוח שהוא פשוט מתחבר כרגיל, ולא מבין שהוא בעצם מסר את המפתח לחשבון שלו.

כשפשע הסייבר הופך לסטארטאפ

החלק המדהים בסיפור הוא איך הפלטפורמה הזו פועלת. לפי הדוח, EvilTokens מתנהלת בדיוק כמו עסק תוכנה לגיטימי. היא נמכרת בערוץ Telegram עם מדרגות מחיר, סרטוני הדגמה, עדכוני גרסה, ואפילו תמיכה מסביב לשעון. המנויים מקבלים לוח בקרה מלא, עם תבניות הודעות שניתן להתאים, וכלי לניהול האסימונים הגנובים. המחירים נעים בין כ-600 ל-1,500 דולר, תלוי בחבילה.

המשמעות חמורה. כפי שאמר מנכ"ל Huntress, כשמבצעים אוטומציה של חלק כה גדול מהמתקפה, כבר לא צריך להיות מהנדס מערכות או מומחה טכני. זה הופך את היכולת לבצע מתקפה מתוחכמת לנגישה כמעט לכל אחד, והמחיר הוא פשוט דמי מנוי. למעשה, רף הכניסה לפשע סייבר מתוחכם ירד לרמה של תשלום חודשי, וזה בדיוק מה שמסביר את הזינוק העצום בכמות המתקפות.

המבט העסקי

לעסקים, ובמיוחד לאלה שמשתמשים ב-Microsoft 365, זו התראה אדומה. שכבת הזהות, כלומר ניהול ההתחברויות והחשבונות, הפכה לזירת הקרב המרכזית, והמתקפות מכוונות בדיוק לשם. הלקח הראשון והקשה הוא שאימות דו שלבי לבדו כבר לא מספיק, כי המתקפה הזו עוקפת אותו.

מה שעסק כן יכול לעשות הוא לנקוט כמה צעדים. מיקרוסופט עצמה ממליצה לחסום את תהליך אימות קוד המכשיר עבור רוב העובדים, ולאפשר אותו רק במקרים שבהם יש בו צורך אמיתי, כי כמעט אף עובד לא באמת זקוק לו. מעבר לזה, חשוב לנטר את ההתחברויות והאסימונים בארגון, ולהדריך את העובדים לזהות את הטריק. וזה לא נוגע רק לחברות גדולות, כי דווקא בגלל שהמתקפות אוטומטיות וזולות, התוקפים פורסים רשת רחבה שתופסת גם עסקים קטנים שחושבים שהם מתחת לרדאר.

ומה לגבי המשתמש הפרטי

גם בלי עסק, חשוב להפנים את הלקח. הכלל הכי פשוט הוא שאף פעם לא מזינים קוד מכשיר שמישהו שלח לכם, גם אם הבקשה נראית רשמית ומגיעה לעמוד אמיתי של מיקרוסופט. בקשה כזו, שמגיעה בלי שיזמתם אותה, היא דגל אדום. באופן כללי, כדאי לפתח חשד בריא כלפי כל פנייה לא צפויה שמבקשת מכם להתחבר או לאשר משהו, גם אם היא נראית משכנעת לחלוטין. בעידן שבו ההודעות נכתבות על ידי AI ומותאמות אישית, כבר אי אפשר לסמוך על שגיאות כתיב או על ניסוח מגושם כדי לזהות הונאה.

בשורה התחתונה הדוח הזה ממחיש מגמה מטרידה, הפישינג הפך מתעשיית בית לתעשייה ממוסדת, שמשלבת בינה מלאכותית, אוטומציה, ומודל מנויים. השילוב הזה מוריד את רף הכניסה לתוקפים ומאיץ את קצב המתקפות בצורה דרמטית. אבל חשוב לזכור שזו לא סיבה לבהלה אלא לערנות. ההגנה הטובה ביותר היא שילוב של מודעות אנושית, חשד בריא, והגדרות אבטחה נכונות. ככל שהתוקפים נעשים מתוחכמים יותר, כך חשוב יותר שגם אנחנו, וגם הארגונים שלנו, נהיה צעד אחד לפניהם.

---

1. מה הסיפור, ומהו הזינוק שעליו מדווחים?
דוח חדש של חברת האבטחה Huntress, שפורסם בסוף יוני 2026 ונקרא EvilTokens, חושף שעבריינים כבר לא מסתפקים בכתיבת מיילים מתחזים אלא מבצעים אוטומציה של מתקפות שלמות מקצה לקצה בעזרת בינה מלאכותית. לפי הדוח נרשם זינוק של 1,380 אחוז במתקפות מסוג device-code phishing, בהשוואה בין המחצית השנייה של 2025 לארבעת החודשים הראשונים של 2026, גידול של כמעט פי 15. מה שמייחד את הגל הזה הוא שמאחורי מאות התקיפות אף שתי הודעות פיתוי לא היו זהות, עדות ברורה לכך שהתוקפים השתמשו ב-AI כדי להתאים אישית את ההודעות בקנה מידה עצום.

2. איך המתקפה הזו עובדת?
המתקפה מנצלת תהליך אימות לגיטימי של מיקרוסופט, כזה שנועד במקור למכשירים שקשה להקליד בהם סיסמה כמו טלוויזיות חכמות וקונסולות משחק. התוקף מפנה את הקורבן לעמוד התחברות אמיתי של מיקרוסופט ומבקש ממנו להזין קוד מכשיר שהתוקף עצמו יצר. ברגע שהקורבן מתחבר ומשלים את האימות הדו-שלבי, התוקף מקבל את אסימון הגישה לחשבון. העוקץ הוא שאין כאן תוכנה זדונית ואין עמוד מזויף, אלא תהליך התחברות אמיתי לגמרי, ולכן המתקפה כמעט בלתי נראית להגנות המסורתיות ועוקפת גם את האימות הדו-שלבי. הקורבן בטוח שהוא מתחבר כרגיל, ולא מבין שהוא מסר את המפתח לחשבון שלו.

3. איך פשע הסייבר הזה הפך לעסק תוכנה?
החלק המדהים הוא שהפלטפורמה פועלת בדיוק כמו עסק תוכנה לגיטימי. EvilTokens נמכרת בערוץ Telegram עם מדרגות מחיר, סרטוני הדגמה, עדכוני גרסה ואפילו תמיכה מסביב לשעון. המנויים מקבלים לוח בקרה מלא, עם תבניות הודעות שניתן להתאים וכלי לניהול האסימונים הגנובים, במחירים שנעים בין כ-600 ל-1,500 דולר, תלוי בחבילה. המשמעות חמורה: כשמבצעים אוטומציה של חלק כה גדול מהמתקפה, כבר לא צריך להיות מהנדס מערכות או מומחה טכני, ורף הכניסה לפשע סייבר מתוחכם ירד לרמה של תשלום חודשי, וזה בדיוק מה שמסביר את הזינוק העצום.

4. מה עסק יכול לעשות כדי להתגונן?
לעסקים שמשתמשים ב-Microsoft 365 זו התראה אדומה, ושכבת הזהות (ניהול ההתחברויות והחשבונות) הפכה לזירת הקרב המרכזית. הלקח הקשה הוא שאימות דו-שלבי לבדו כבר לא מספיק, כי המתקפה עוקפת אותו. מיקרוסופט עצמה ממליצה לחסום את תהליך אימות קוד המכשיר עבור רוב העובדים ולאפשר אותו רק במקרים שבהם יש בו צורך אמיתי, כי כמעט אף עובד לא באמת זקוק לו. מעבר לזה חשוב לנטר את ההתחברויות והאסימונים בארגון ולהדריך את העובדים לזהות את הטריק. זה נוגע גם לעסקים קטנים, כי דווקא בגלל שהמתקפות אוטומטיות וזולות, התוקפים פורסים רשת רחבה שתופסת גם את מי שחושב שהוא מתחת לרדאר.

5. מה הלקח למשתמש הפרטי?
הכלל הכי פשוט הוא שאף פעם לא מזינים קוד מכשיר שמישהו שלח לכם, גם אם הבקשה נראית רשמית ומגיעה לעמוד אמיתי של מיקרוסופט. בקשה כזו, שמגיעה בלי שיזמתם אותה, היא דגל אדום. באופן כללי כדאי לפתח חשד בריא כלפי כל פנייה לא צפויה שמבקשת מכם להתחבר או לאשר משהו, גם אם היא נראית משכנעת לחלוטין. בעידן שבו ההודעות נכתבות על ידי AI ומותאמות אישית, כבר אי אפשר לסמוך על שגיאות כתיב או על ניסוח מגושם כדי לזהות הונאה.