חשד לפישינג נרחב במסווה של רשות המסים: חוקרי יחידת Cato CTRL בחברת Cato Networks (ד״ר גיא ויזל, עידן טראב, זוהר בובר, תומר פוגץ׳ ושני קורצברג) חושפים מתקפת פישינג ממוקדת המכוונת נגד ארגונים ועסקים בישראל. במסגרת המתקפה, שזוהתה לראשונה בספטמבר 2026, נשלחות לעובדים הודעות דוא"ל המתחזות לרשות המסים, במטרה לנצל את העיסוק השוטף בנושאי כספים ומיסוי כדי להחדיר כלי שליטה מרחוק לתחנות קצה בארגונים.

על פי הערכת החוקרים, מאחורי המתקפה עומדת קבוצת הסייבר MuddyWater, המזוהה עם משרד המודיעין והביטחון של איראן. המתקפה מתבססת על שרשרת הנדסה חברתית מדויקת שמטרתה לרכוש את אמון הקורבן. בתחילה, הנמענים מקבלים הודעה הנחזית להיות התרעה רשמית מטעם רשות המסים ומזמינה אותם להיכנס ל"אזור האישי".

אלא שלחיצה על הקישור מובילה לדומיינים שנרשמו כדי לחקות את הכתובות הממשלתיות הרשמיות (כגון document-govil[.]com ו־document-govil[.]online), המציגים דף המדמה אתר ממשלתי.

כדי לשוות לתהליך אופי מאובטח, הקורבנות מתבקשים לעבור מבחן אימות דמוי CAPTCHA, להזין סיסמה קבועה מראש (123123) וללחוץ על "המשך". בסיום האימות מורד למחשב קובץ מכווץ (דוגמת Israel_Tax_Authority.zip או document.zip). בתוך הארכיון מסתתר קובץ הרצה בעל סיומת EXE ושם תמים בעברית - ״רשות המסים בישראל.exe״ - המוצג כמסמך מס שגרתי.

במקום לפתח נוזקה ייעודית, התוקפים בחרו לנצל לרעה את SimpleHelp - תוכנה לגיטימית המשמשת במקור לניהול, תמיכה וניטור מרחוק (RMM). הפעלת הקובץ מתקינה גרסה ישנה של התוכנה (גרסה 5.4.5), המוגדרת מראש לתקשר ישירות עם שרת שליטה ובקרה (C2) של התוקפים (כתובת IP: 129.121.120[.]121). התקנה מוצלחת מעניקה לתוקפים גישה מלאה ויכולת שליטה במחשב הקורבן, ומשם אפשרות להעמיק את החדירה לתוך הרשת הפנים-ארגונית.

מבירור שערכו חוקרי קייטו מול חברת SimpleHelp עולה כי לא מדובר בניצול של פרצת אבטחה בתוכנה או בפריצה לתשתיות החברה, אלא בשימוש זדוני בהגדרות הכלי הלגיטימי. SimpleHelp שיתפה פעולה עם החוקרים וקיבלה את פרטי השרתים המעורבים לצורך המשך טיפול.

החוקרים מציינים כי דפוס הפעולה תואם באופן הדוק את שיטות העבודה המוכרות של קבוצת MuddyWater. הקבוצה תועדה בעבר על ידי חברות אבטחה בינלאומיות (בהן Group-IB, HarfangLab ו-Proofpoint) כמי שמשתמשת באופן עקבי בכלי ניהול מרחוק לגיטימיים דוגמת SimpleHelp ו-Atera, תוך שימוש בפיתיונות בעברית המותאמים למציאות הישראלית - כגון הודעות בנושאי שכר, מלגות או שירותים ממשלתיים.

עוד ב-

אזהרת מסע דחופה לישראלים: "להימנע מהגעה עד להודעה חדשה"

לכתבה המלאה

המתקפה הנוכחית מכוונת במיוחד לעובדי מחלקות כספים, הנהלת חשבונות ומינהלה בארגונים מכלל ענפי המשק, בשל נטייתם לפתוח קבצים הקשורים בדיווחי מס. מומחי אבטחה ממליצים לארגונים לחדד את נהלי הערנות בקרב עובדים לגבי הודעות דוא"ל הדורשות פתיחת קבצים מכווצים או הרצת קובצי EXE, ולוודא חסימה של אינדיקטורי התקיפה (IOCs) ברמת מערכות ההגנה הארגוניות.