הדוא״ל נשאר אחד מנתיבי התקיפה המרכזיים בארגונים — אבל התמהיל משתנה. Microsoft Threat Intelligence ו‑Microsoft Defender Security Research פרסמו ב‑5 בנובמבר 2026 תמונת מצב של הרבעון השלישי: כ‑7.3 מיליארד איומי פישינג מבוססי דוא״ל זוהו בין יולי לספטמבר, כאשר בספטמבר בלבד נרשמו כמעט 3 מיליארד — עלייה של 41% לעומת אוגוסט.
המספרים אינם מעידים רק על יותר הודעות. הם מראים כיצד תוקפים מחליפים פורמטים, מחקים שירותים עסקיים מוכרים ומנסים לנצל חריגות שהארגון עצמו אישר במערכות האבטחה.
היעד המרכזי: אישורי כניסה, לא בהכרח התקנת נוזקה
לפי Microsoft, כ‑94% עד 96% מהתקיפות שהשתמשו ב‑payload ברבעון הובילו את המשתמש לאתר פישינג או הציגו דף כניסה מזויף באופן מקומי. כלומר, קובץ מצורף מסוכן אינו חייב להתקין תוכנה: מספיק שהוא גורם לעובד למסור סיסמה, קוד MFA או אסימון התחברות.
קובצי HTML ו‑PDF היו שני הפורמטים הנפוצים ביותר, וביחד היוו כ‑56% עד 62% מתקיפות ה‑payload בכל חודש. במקביל נרשמה חזרה בולטת של SVG: חלקם עלה מ‑13% ביולי ל‑20% באוגוסט, עם 10.1 מיליון קבצים זדוניים — השיא החודשי הגבוה ביותר מזה יותר משנה. בספטמבר היקף SVG ירד, אך עדיין נשאר גבוה משמעותית מהממוצע במחצית הראשונה של השנה.
שירותים אמיתיים משמשים ככיסוי
Microsoft זיהתה ברבעון כ‑129 מיליון הודעות זדוניות שהתחזו לדומיינים של שירותים עסקיים מוכרים. DocuSign הייתה המותג המתחזה הנפוץ ביותר בספטמבר והיוותה 29% מהפעילות שנבדקה באותו חודש; גם Adobe, SurveyMonkey ו‑Barracuda רשמו עליות לקראת סוף הרבעון.
זהו אתגר למערכות סינון: הודעה שמבקשת לחתום על מסמך, לבדוק חשבונית או לענות לסקר נראית כמו פעולה עסקית רגילה. אם הארגון יצר Allow List רחבה או עקף מנגנוני אימות עבור שירות חיצוני, התוקף יכול לנצל את האמון הזה.
פחות QR, יותר CAPTCHA ו‑SVG
פישינג באמצעות QR נשאר נמוך לעומת השיא בתחילת השנה. לעומתו, פישינג שמסתתר מאחורי CAPTCHA חזר לעלות, בין היתר באמצעות קובצי SVG. המטרה של CAPTCHA אינה רק להיראות אמינה: הוא גם יכול להקשות על סריקה אוטומטית ולהציג את העמוד הזדוני רק לאחר אינטראקציה אנושית.
בצד החיובי, השיבוש של פלטפורמת Tycoon2FA במרץ ניכר היטב: ביולי זוהו כ‑21 אלף הודעות הקשורות לפלטפורמה, ירידה של 99.8% לעומת 8.9 מיליון בפברואר. עם זאת, הירידה בתשתית אחת אינה מבטלת את הסיכון — תוקפים עוברים במהירות לשירותים ולתבניות אחרות.
חמש פעולות שמנהלי IT צריכים לבצע
- לבחון חריגות Allow: לבדוק כללים שמאפשרים דומיינים, שולחים או סוגי קבצים לעקוף סינון.
- להקשיח קבצים מצורפים: להתייחס ל‑HTML, PDF ו‑SVG כווקטורי פישינג, גם כאשר אין מאקרו או קובץ הפעלה.
- להגן על הזהות: להפעיל MFA עמיד לפישינג, Conditional Access והתראות על התחברויות ואסימונים חריגים.
- להדריך לפי התרחישים החדשים: לשלב בהדרכות דוגמאות של חשבוניות, חתימות דיגיטליות, סקרים ו‑CAPTCHA.
- לחקור מעבר לדוא״ל: לבדוק גם Teams וערוצי שיתוף פעולה, שבהם תוקפים ממשיכים את השיחה לאחר יצירת אמון.
הלקח התפעולי הוא שהגנה על דוא״ל אינה מסתיימת בחסימת נוזקה. מרכז הכובד עבר לגניבת זהויות, התחזות לשירותים עסקיים וניצול החלטות אבטחה פנימיות. לכן נדרש חיבור בין אבטחת דוא״ל, זהויות, תחנות קצה והדרכת עובדים.
מקור
תמונה: Justin Morgan / Unsplash, ברישיון Unsplash. פרטי המקור והרישיון מתועדים במדיה.
