התקפת Man-in-the-Middle: איך תוקפים מיירטים תעבורה ברשתות הוויי-פיי של קייטנות קיץ

מה זו התקפת איש-באמצע (Man-in-the-Middle)?

התקפת איש-באמצע, או בשמה המקצועי Man-in-the-Middle (MITM), היא טכניקת תקיפה שבה גורם עוין מציב את עצמו פיזית או לוגית בין שני צדדים המתקשרים ביניהם — למשל בין דפדפן של משתמש לבין שרת של בנק — ומיירט, קורא ולעיתים אף משנה את המידע העובר ביניהם, בלי ששני הצדדים המקוריים מבחינים בכך. בניגוד לפריצה “קלאסית” שמנסה לחדור לשרת או למכשיר, ה-MITM מתמקד בערוץ התקשורת עצמו. זו אחת מהתקניות הנפוצות ביותר במבחני חדירה (Pentest) ובתרגילי Red Team, ולכן חובה שכל איש אבטחת מידע יבין את מנגנוני ההגנה נגדה לעומק.

איך זה עובד בפועל — שלושה תרחישים אמיתיים

כדי להבין את הסיכון, נבחן שלושה תרחישים טכניים נפוצים שנצפו בשטח:

• ARP Spoofing ברשת מקומית: תוקף המחובר לאותה רשת Wi-Fi (למשל ברשת משרדית פתוחה או ברשת ציבורית בבית קפה) שולח הודעות ARP מזויפות שגורמות לנתבים ולמחשבים ברשת “לחשוב” שכתובת ה-MAC שלו היא זו של שרת השערה (Gateway). מרגע זה כל התעבורה עוברת דרכו לפני שהיא מגיעה ליעד האמיתי. כלים כמו Ettercap או Bettercap מבצעים זאת באופן אוטומטי בתוך שניות בודדות.
• Evil Twin / Rogue Access Point: תוקף מקים נקודת Wi-Fi עם שם דומה לרשת לגיטימית (למשל “Airport_Free_WiFi” לצד “Airport-Free-WiFi” האמיתית). ברגע שמכשיר מתחבר אליה, כל התעבורה — כולל סשנים לא מוצפנים, קוקיז ואפילו סיסמאות שנשלחות ב-HTTP — נגישה לתוקף.
• SSL Stripping ו-Downgrade Attack: תוקף היושב באמצע הערוץ מיירט את הבקשה הראשונית ל-HTTPS וממיר אותה בשקט ל-HTTP, כך שהמשתמש חושב שהוא מוגן בעוד שבפועל התעבורה עוברת ללא הצפנה. כלי כמו SSLstrip הפך זאת לפריצה נגישה כבר ב-2009, ועדיין רלוונטי ברשתות ללא HSTS מוגדר כראוי.

מקרים תיעודיים ומספרים מהעולם האמיתי

ההתקפה אינה תיאורטית. בשנת 2015 חברת Lenovo נאלצה לחזור בה ולהסיר תוכנת פרסום בשם Superfish שהותקנה כברירת מחדל על מחשבי נייד — התוכנה התקינה תעודת SSL שורש מזויפת שאפשרה לה (ולכל תוקף שידע לחקות אותה) לביצוע MITM על כל תעבורת ה-HTTPS של המשתמש, כולל אתרי בנקאות. ההערכה הייתה שהתוכנה הותקנה על יותר מ-40 מיליון מכשירים ברחבי העולם.

מקרה נוסף ומוכר בעולם התאגידי הוא פרצת Superfish/Komodia שנוצלה גם באנטי-וירוסים אחרים, ולפי דיווחי Google Project Zero משנת 2015 חשפה מיליוני משתמשים לסיכון דומה. בזירת התשתיות הקריטיות, מחקר של אוניברסיטת קרנגי מלון הראה כי כ-85% מנקודות ה-Wi-Fi הציבוריות שנבדקו לא אכפו הצפנה מלאה של תעבורת ניהול, מה שהותיר פתח ל-ARP Spoofing ול-Session Hijacking.

בזירה הישראלית, גופי סייבר ממשלתיים (הרשות הלאומית להגנת הסייבר) התריעו לא פעם על ניצול נקודות Wi-Fi פתוחות בשדות תעופה ובבתי מלון לצורך יירוט תעבורת עובדים בכירים בזמן נסיעות עבודה — טכניקה המכונה בקהילה “Evil Twin Targeting” ומשמשת לעיתים כשלב ראשוני במתקפות ריגול תעשייתי (Corporate Espionage).

וקטורים מתקדמים: מעבר לרשת המקומית

MITM לא מוגבל לרשת Wi-Fi. שתי טכניקות מתקדמות שכל צוות אבטחה חייב להכיר:

• BGP Hijacking: תוקף (או מדינה) משנה נתיבי ניתוב באינטרנט הגלובלי כך שתעבורה שלמה של טווח כתובות IP עוברת דרך שרת בשליטתו. מקרה מתועד משנת 2018 הראה כיצד תעבורה של שירות DNS פופולרי הופנתה למשך כשעתיים דרך רשת ברוסיה, מה שאפשר גניבת מטבעות קריפטוגרפיים בשווי מוערך של כ-152,000 דולר מארנקי Ethereum.
• DNS Spoofing/Poisoning: הרעלת מטמון DNS גורמת למשתמש להגיע לשרת מזויף במקום לשרת האמיתי, מבלי שכתובת ה-URL בדפדפן משתנה בעין. זה נוצל בקמפיינים ממוקדים נגד לקוחות בנקים בברזיל ובמקסיקו, שם נתבי בית פרוצים (עם סיסמת ברירת מחדל שלא שונתה) שונו כך שהפנו בקשות לאתרי בנק לגרסאות פישינג מדויקות.

איך מזהים ומונעים התקפת איש-באמצע

מבחינה טכנית, ההגנה נשענת על שכבות משלימות ולא על פתרון בודד:

• HSTS (HTTP Strict Transport Security): מונע Downgrade מ-HTTPS ל-HTTP על ידי כך שהדפדפן “זוכר” שהאתר חייב הצפנה ומסרב לכל חיבור לא מוצפן, אפילו אם תוקף מנסה לכפות זאת.
• Certificate Pinning: באפליקציות מובייל, נעיצת תעודה ספציפית מונעת מהאפליקציה לקבל תעודת SSL חלופית — גם אם היא חתומה על ידי רשות אמון לגיטימית — וכך חוסמת MITM שמבוסס על תעודות מזויפות או שרתי Proxy תאגידיים.
• Mutual TLS (mTLS): בסביבות תאגידיות ו-API רגישים, אימות הדדי (השרת מאמת את הלקוח והלקוח מאמת את השרת) חוסם התקפות ברמת התשתית.
• ARP Inspection ו-DHCP Snooping: ברמת הרשת, מתגים (Switches) ניהוליים עם תכונות אלו חוסמים הודעות ARP מזויפות ומונעים Spoofing כבר בשכבת ה-Data Link.
• VPN מוצפן קצה-לקצה: חיבור VPN אמין הופך את כל התעבורה, גם ברשת ציבורית פרוצה, לחתומה ומוצפנת עד לנקודת הכניסה של ה-VPN.

בבדיקות חדירה מקצועיות, צוותי Red Team נוהגים לדמות MITM כחלק אינטגרלי מהערכת סיכונים לרשתות תאגידיות — לא רק כתרחיש תיאורטי, אלא כבדיקה אקטיבית עם כלים כמו mitmproxy ו-Wireshark לניתוח תעבורה חשודה, זיהוי אנומליות בטבלאות ARP וניטור התראות מרשות ה-TLS.

מה זה אומר לצוות ה-IT והאבטחה שלכם

ארגון שמתעלם מווקטור ה-MITM חשוף לא רק לגניבת אישורים בודדים, אלא לפגיעה מערכתית: מפגישות בזמן נסיעה, דרך רשתות אורח לא מפולחות (Segmentation), ועד ציוד IoT ישן שלא מקבל עדכוני קושחה. הגנה אפקטיבית דורשת שילוב של מדיניות (מדיניות שימוש ברשתות ציבוריות, חובת VPN), טכנולוגיה (HSTS, mTLS, ARP Inspection) והדרכת עובדים — כי בסופו של דבר, גם התוקף המתקדם ביותר צריך שמישהו “ילחץ אישור” על תעודת SSL חשודה או יתחבר לרשת עם שם מוכר-אך-לא-מדויק.

שאלות נפוצות

מה ההבדל בין התקפת איש-באמצע לבין פישינג רגיל?

פישינג מנסה לגרום למשתמש להזין מרצונו פרטים לאתר מזויף, בעוד MITM מיירט תעבורה לגיטימית בזמן אמת בין המשתמש לשרת האמיתי — המשתמש בכלל לא מבחין שמתבצעת התקפה, ולכן ה-MITM נחשב מתקדם ומורכב יותר לגילוי.

האם HTTPS מספיק כדי להגן על ארגון מפני MITM?

HTTPS מקטין מאוד את הסיכון אך אינו מספיק לבדו — ללא HSTS, Certificate Pinning ותצורת TLS מחוזקת, תוקף עדיין יכול לביצע Downgrade Attack או להשתמש בתעודה מזויפת שהותקנה מראש (כמו במקרה Superfish), ולכן נדרשת הגנה מרובת שכבות.

איך אפשר לזהות שרשת Wi-Fi ציבורית היא Evil Twin?

סימנים כמו שם רשת דומה-אך-לא-מדויק לרשת המוכרת, היעדר דרישת סיסמה כשבמקור הרשת מוגנת, אזהרות תעודת SSL בדפדפן, וירידה פתאומית במהירות או בזמינות HTTPS — כל אלה צריכים להדליק נורה אדומה, ומומלץ לחבר VPN באופן קבוע ברשתות ציבוריות ללא תלות באבחון ידני.