אנטומיית מתקפת פישינג: איך תוקפים בונים מלכודת דיגיטלית – ואיך עוצרים אותה בזמן

מהי התקפת פישינג, ולמה היא עדיין וקטור התקיפה המוביל

התקפת פישינג היא ניסיון הונאה שבו תוקף מתחזה לגורם לגיטימי — בנק, ספק, עמית לעבודה או מערכת פנים-ארגונית — כדי לגרום לקורבן לחשוף מידע רגיש, להוריד קובץ זדוני או לבצע פעולה (כמו העברה בנקאית). לפי דוח Verizon Data Breach Investigations Report, פישינג היה מעורב בכ-36% מכלל אירועי הפריצה שנחקרו בשנת 2023, וזמן הלחיצה החציוני על קישור זדוני בקמפיין פישינג עומד על פחות מ-60 שניות מרגע פתיחת המייל. המשמעות המעשית: לצוותי אבטחה אין הרבה זמן להגיב ברמת המשתמש הבודד, ולכן ההגנה חייבת להיות רב-שכבתית ואוטומטית ברובה.

אנטומיה של התקפה: מהרקוגנוסנס ועד המימוש

התקפת פישינג מתקדמת בנויה בדרך כלל מארבעה שלבים ברורים:

• איסוף מודיעין (OSINT) — התוקף סורק LinkedIn, אתר החברה ורשתות חברתיות כדי לזהות מטרות, היררכיה ארגונית וסגנון תקשורת פנימי.
• בניית הפריטקסט — יצירת תרחיש אמין: חשבונית דחופה, עדכון סיסמה, בקשת מנכ”ל דחופה.
• מסירת המטען — מייל, SMS (Smishing), שיחת טלפון (Vishing) או אפילו קוד QR מודפס.
• ניצול — גניבת אישורים, התקנת נוזקה, או הפניה להעברה כספית.

מקרים אמיתיים שממחישים את הנזק

המספרים כאן אינם תיאורטיים. בין 2013 ל-2015, אזרח ליטאי בשם Evaldas Rimasauskas הצליח להונות את Google ואת Facebook יחד ב-כ-100 מיליון דולר, באמצעות חשבוניות מזויפות שנשלחו ממען דומה לספק אמיתי (Quanta Computer) — טכניקת Business Email Compromise (BEC) קלאסית, בלי אף שורת קוד זדוני.

ב-2013, פריצת הענק ל-Target שהובילה לדליפת פרטי 40 מיליון כרטיסי אשראי החלה במייל פישינג שנשלח לעובד בספק מיזוג האוויר של הרשת — לא לעובד של Target עצמה. זה ממחיש איך שרשרת האספקה (Supply Chain) הופכת לנקודת הכניסה החלשה ביותר.

מקרה נוסף: בנק Crelan הבלגי איבד 75.8 מיליון יורו ב-2016 באירוע BEC שבו תוקפים התחזו למנכ”ל וביקשו העברה “דחופה וחסויה” מהחשבת הראשית. ולבסוף, RSA Security עצמה — חברת אבטחה מובילה — נפרצה ב-2011 דרך קובץ Excel עם exploit ב-Flash, שצורף למייל שכותרתו הייתה “2011 Recruitment Plan”. גם ספקי אבטחה אינם חסינים.

סוגי פישינג שכל איש אבטחה חייב להכיר

• Spear Phishing — התקפה ממוקדת אדם ספציפי, מבוססת מחקר מוקדם.
• Whaling — מיקוד בכירים (CEO, CFO) בשל הרשאותיהם וסמכות ההחלטה שלהם.
• Smishing / Vishing — פישינג ב-SMS או בשיחת טלפון, נפוץ במיוחד בהתחזות לבנקים ולשירותי משלוחים.
• Clone Phishing — שכפול מייל לגיטימי שנשלח בעבר, עם קישור מוחלף.
• Quishing — פישינג באמצעות קוד QR, שעוקף לעיתים סינון מייל טקסטואלי.

טכניקות טכניות מתקדמות שהופכות את ההונאה לאמינה

תוקפים משתמשים ב-Typosquatting (רישום דומיינים כמו micros0ft.com) וב-Homograph Attacks המנצלים תווי Unicode דומים חזותית לאותיות לטיניות, כדי לרשום דומיין שנראה זהה לחלוטין לעין. בנוסף, קמפיינים רבים כיום עוקפים MFA באמצעות פרוקסי הפוך (כלים כמו Evilginx) שמיירטים session cookies בזמן אמת — כלומר גם אימות דו-שלבי מבוסס SMS או OTP אינו מספיק מול תוקף מתוחכם, ונדרש מעבר ל-FIDO2/Passkeys שאינם ניתנים לשכפול מרחוק.

אסטרטגיית הגנה ארגונית רב-שכבתית

הגנה אפקטיבית משלבת בקרות טכניות ואנושיות:

• SPF, DKIM, DMARC — הגדרה נכונה מונעת התחזות דומיין (Domain Spoofing) ומאפשרת אכיפת “reject” על מיילים שלא עברו אימות.
• MFA מבוסס Passkeys/FIDO2 — עמיד בפני phishing-in-the-middle, בניגוד ל-OTP.
• EDR/XDR לזיהוי התנהגות חריגה לאחר קליק על קישור, גם אם המשתמש כבר “נפל”.
• סימולציות פישינג תקופתיות — מדידת שיעור קליקים לפני ואחרי הדרכה; ארגונים שמריצים תוכנית מובנית מדווחים על ירידה משיעורי קליקים של 25%-30% לכ-5% תוך שנה.
• Email Gateway עם Sandboxing לניתוח קבצים מצורפים וקישורים בזמן אמת לפני הגעה לתיבה.

תגובה לאירוע: מה עושים כשמישהו כבר לחץ

ברגע שדווח על חשד לפישינג, יש לפעול לפי פרוטוקול ברור: ניתוק המכשיר מהרשת, איפוס מיידי של אישורי הגישה שנחשפו, בדיקת לוגים לזיהוי תנועה חריגה (Lateral Movement), ודיווח לצוות ה-SOC לניתוח ה-IOC (Indicators of Compromise) והפצתם לשאר הארגון. ארגונים עם Playbook מוגדר מראש מקצרים את זמן ה-Containment בממוצע מ-280 שעות ל-פחות מ-24 שעות, לפי נתוני IBM Cost of a Data Breach.

סיכום

פישינג הוא לא “בעיה של משתמש קצה תמים” — הוא וקטור התקפה הנדסי-חברתי מתוחכם שמנצל אמון, לחץ זמן וטכנולוגיה מתקדמת (מ-AI ליצירת מיילים ועד עקיפת MFA). ההגנה האפקטיבית ביותר משלבת בקרות אימות דומיין, MFA עמיד, ניטור התנהגותי, ותרבות ארגונית שמעודדת דיווח מיידי ללא בושה על טעויות.

שאלות נפוצות

מהי הדרך היעילה ביותר להגן על ארגון מפני BEC (Business Email Compromise)?

שילוב של DMARC באכיפת reject, נהלי אימות טלפוני כפול לכל בקשת העברה כספית מעל סכום מוגדר, ומערכת ניטור להתראה על כללי הפניית מייל (mail forwarding rules) חריגים בתיבות בכירים.

האם MFA מבטיח הגנה מלאה מפני פישינג?

לא בהכרח. MFA מבוסס SMS או קוד OTP ניתן לעקיפה באמצעות פרוקסי הפוך שגונב session cookie בזמן אמת. הפתרון העמיד ביותר כיום הוא Passkeys מבוסס FIDO2, שאינו ניתן לשכפול מרחוק.

כמה זמן בממוצע לוקח לעובד ללחוץ על קישור פישינג, ולמה זה חשוב?

לפי נתוני Verizon DBIR, הזמן החציוני הוא פחות מ-60 שניות מרגע פתיחת המייל. המשמעות המעשית היא שצוותי אבטחה חייבים להסתמך על בקרות אוטומטיות (Sandboxing, EDR) ולא רק על ערנות המשתמש.