מנסה לנקום: איראן תקפה בסייבר בכירים בישראל, בהם ציפי לבני

האיראנים ממשיכים לנסות ולתקוף גורמים ישראליים – לא רק על אדמת טורקיה, אלא גם בסייבר: צ'ק פוינט פרסמה היום (ג') ממצאים שאספה, שלפיהם האקרים שלוחי המדינה האסלאמית פרצו למיילים של בכירים ישראליים, בהם שרת החוץ לשעבר, ציפי לבני, התחזו אליהם, התכתבו עם "גורמים בעלי פרופיל גבוה" בישראל, שנמצאים באנשי הקשר שלהם, ובסופו של דבר גם גנבו מידע אישי. בענקית האבטחה והסייבר מצאו כי המהלך התנהל במשך לפחות חצי שנה וכי "מטרתו המרכזית הייתה יצירת קשר ודיאלוג עם אותם מטרות, וכן גניבת מידע אישי – סיסמאות ומסמכים אישיים, במסגרת הזמנות לכנסים בחו"ל".

לא ברור האם האיראנים התכוונו לפגוע פיזית באותם בכירים, אם כי זה בהחלט ייתכן, לאור החיסולים של בכירים ומדעני גרעין איראניים, שמיוחסים לישראל. על אותו רקע, משרד החוץ החמיר אתמול את אזהרת המסע שלו וקרא לישראלים לעזוב את טורקיה באופן מיידי, מחשש לפגיעה בהם על ידי חוליות איראניות. במקרים אחדים אף קיבלו תיירים ישראליים בטורקיה טלפונים מגורמי ביטחון ישראליים בכירים, שבהן הם יעצו להם לעזוב מיידית את המדינה – מבלי לעבור אפילו במלון.

"תשתית פישינג מותאמת אישית"

לפי חוקרי צ'ק פוינט, "ההאקרים השתמשו בתשתית פישינג מותאמת אישית, כמו גם במגוון רחב של חשבונות מייל מזויפים, כדי להתחזות לגורמים מהימנים. על מנת לבסס את האמון באופן עמוק יותר, שחקני האיום השתלטו על חשבונות הדואר הנכנס של חלק מהקורבנות, ולאחר מכן קצרו התכתבויות דוא"ל קיימות, כדי להתחיל את המתקפה, שהיא לכאורה המשך ההתכתבות במיילים שכבר הייתה קיימת בין המטרה לגורם המתחזה". בין השאר, ציינו החוקרים, ההאקרים הסוו את קישורי הפישינג, וכן השתמשו בשירות אימות הזהות הלגיטימי validation.com לגניבת מסמכים מזהים.

"נראה שהמטרה הגלויה של הפעולה הזו היא להשיג גישה לתיבות הדואר הנכנס של הקורבנות, למידע המאפשר זיהוי אישי שלהם (PII) ולמסמכי הזיהוי שלהם", נכתב במחקר. "ככל הנראה, המהלך בא על רקע המתיחות ההולכת וגוברת באחרונה בין ישראל לאיראן".

אחת הפניות של האיראנים, במסגרת קמפיין התקיפה…

ההאקר התחזה לאלוף בצה"ל – ופנה לציפי לבני

בין הקורבנות הייתה, כאמור, ציפי לבני, לשעבר שרת החוץ, סגנית ראש הממשלה, שרת המשפטים וראשת האופוזיציה. אל לבני פנה במייל האקר שהתחזה לאלוף ידוע לשעבר בצה"ל, ששירת בתפקיד רגיש ביותר. ההודעה נשלחה מכתובת המייל האמיתית שלו, שבאמצעותה השניים התכתבו לפני כן. המייל הכיל קישור לקובץ, שהתוקף ביקש ממנה לפתוח ולקרוא. כאשר היא התעכבה לעשות זאת, התוקף פנה אליה כמה פעמים וביקש ממנה לפתוח את הקובץ באמצעות סיסמת המייל שלה. תגובה זו של ההאקר עוררה את החשד של לבני. כשהיא פגשה את האלוף לשעבר ושאלה אותו על המייל, הוא אמר שמעולם לא שלח לה מייל כזה. לאחר מכן היא פנתה לצ'ק פוינט כדי לחקור את האירוע. לבני היא היחידה בין הקורבנות שהסכימה לחשוף את זהותה.

פרט ללבני ולאותו אלוף במילואים, על רשימת הקורבנות של ההאקרים האיראניים נמנה ראש מכון מחקר מרכזי בישראל, שההאקרים הגיעו להתכתבות פרטית בינו ובין השגריר לשעבר של ארצות הברית בישראל, ועל בסיס אותה התכתבות, הם התחזו לשגריר והעבירו מיילים נוספים לראש מכון המחקר. זאת, במטרה לתקשר אתו ולהשיג, ככל הנראה, מידע פרטי אודותיו. הם העבירו בדרך זו לינק מהשגריר, שמטרתו הייתה גניבת מידע. קורבן נוסף הוא מנהל בכיר בחברה ביטחונית, שהפצחנים ניסו לגנוב את פרטיו האישיים והצליחו להשיג את צילום הדרכון שלו, במסגרת הזמנה שלו לכאורה, לכנס בחו"ל. עוד נמנה על הרשימה פרופסור מוכר בתחום לימודי המזרח התיכון, שההאקרים התחזו לו, במטרה להעביר מסמכים לגורמים שונים.

…ופניית המשך

צ'ק פוינט ייחסה את המתקפה ל-Phosphorous, שהיא קבוצת תקיפה מתמשכת ועקבית (APT), שמזוהה עם איראן. לדברי החוקרים, "הקבוצה ממשיכה בפעילות הדיוג-חנית שלה נגד יעדים של המשטר האיראני. תשתית הפישינג שחשפנו שמה דגש מיוחד על פקידים ישראליים רמי דרג, וזאת בעיצומה של הסלמה במתיחות בין ישראל לאיראן. עם החיסולים האחרונים של פקידים איראניים, כמו גם הניסיונות לחטוף אזרחים ישראלים ברחבי העולם, אנחנו חושדים שחברי הקבוצה ימשיכו במאמציהם המתמשכים גם בעתיד".

חוקרי צ'ק פוינט עדכנו את כלל המטרות, וכן את גורמי הביטחון הרלוונטיים בישראל.