פישינג ו־BEC: לעצור את הקמפיין לפני שהוא מגיע לתיבה
פורסם 30 ביולי 20266 דקות קריאה
פישינג נשאר וקטור החדירה הנפוץ ביותר לארגונים, ומתקפות BEC (Business Email Compromise) — שבהן תוקף מתחזה לגורם עסקי מוכר — נמנות עם המתקפות שגורמות לנזק הכספי הישיר הגבוה ביותר. שתי המשפחות חולקות מאפיין אחד: הן נשענות על תשתית מתכלה שנבנית להחלפה מהירה. דווקא המאפיין הזה הוא ההזדמנות של המגינים.
איך נראה קמפיין מודרני
קמפיין פישינג טיפוסי מפעיל במקביל כמה רכיבים: דומיין מתחזה (לעיתים עם שינוי אות אחת מהמקור), דפי התחזות שמתארחים על תשתית ענן, כתובות שליחה שנבנו או נפרצו לצורך הקמפיין, וקישורים מקוצרים או מוסתרים שמקשים על סינון.
בקמפיין BEC, ההשקעה גדולה יותר: התוקף לומד את הארגון, מזהה מי מאשר תשלומים, ולעיתים משתלט על תיבת דוא״ל אמיתית של ספק או שותף. ההודעות עצמן לרוב אינן מכילות קובץ זדוני — ולכן חומקות מסינון מבוסס חתימות — אבל הן תמיד מגיעות מתשתית שניתן לזהות: כתובת שולח, דומיין, שרת שליחה.
הנקודה החלשה של התוקף: התשתית
התוקף יכול לנסח הודעה משכנעת ככל שירצה — אבל הוא חייב תשתית כדי לשלוח אותה וכדי לקלוט את הקורבנות. התשתית הזו נחשפת: דומיינים חדשים מדווחים, כתובות שליחה מזוהות בקמפיינים מקבילים נגד ארגונים אחרים, ודפי התחזות מאותרים על ידי מערכי מודיעין.
מרגע שהתשתית ידועה, השאלה היחידה היא כמה מהר היא נחסמת אצלכם: בשכבת הדוא״ל (חסימת השולח והדומיין), בשכבת הרשת (חסימת ה־URL וכתובת ה־IP) ובשכבת ה־DNS. חסימה מתואמת בשלוש השכבות עוצרת גם הודעות חדשות וגם משתמשים שלוחצים על קישורים מהודעות שכבר הגיעו.
למה סינון דוא״ל מובנה אינו מספיק
מנגנוני הסינון של Microsoft 365 ו־Google Workspace הם קו הגנה חשוב, אבל הם מכוונים לזיהוי רחב ולא לקמפיין שמכוון עכשיו נגד השוק שלכם. קמפיין ממוקד בעברית, שמתחזה לבנק ישראלי או לשירות ממשלתי מקומי, עשוי שלא להיתפס בסינון הגלובלי בשעות הקריטיות הראשונות.
כאן נכנס מודיעין מקומי: אינדיקטורים שמקורם בגופי CERT מקומיים ובצוותי SOC שרואים קמפיינים דומים אצל ארגונים אחרים באותו שוק. שירות כמו PULSE מזרים את האינדיקטורים האלה ישירות למערכות הדוא״ל — חסימת שולח ב־Microsoft 365, עדכון Secure Email Gateway — לצד חסימת הדומיינים והכתובות ברשת.
ההגנה בשכבות: מה נחסם ואיפה
כשהאינדיקטורים של קמפיין מופצים נכון, כל שכבה תופסת חלק אחר:
- שולח ודומיין שליחה — נחסמים במערכת הדוא״ל: הודעות חדשות לא נכנסות
- URL של דף ההתחזות — נחסם ב־Web Gateway: לחיצה על קישור קיים נכשלת
- דומיין הקמפיין — נחסם ב־DNS: גם ערוצים עוקפים לא מגיעים אליו
- כתובת ה־IP של התשתית — נחסמת ב־Firewall: נסגרת הדלת גם לשימוש חוזר
והמשתמשים שכבר לחצו?
חסימה מהירה מצמצמת גם את הנזק שכבר נגרם: משתמש שלחץ על קישור לפני החסימה ייתקל בדף חסום כשינסה שוב, ונוזקה שהספיקה לרדת תיכשל בתקשורת עם שרת השליטה אם כתובות ה־C2 נחסמו. זו הסיבה שהפצת אינדיקטורים חייבת לכלול את כל השרשרת — לא רק את הדומיין הראשוני.
בפישינג וב־BEC, הזמן הוא המשתנה המכריע: קמפיין שנחסם ברבע השעה הראשונה הוא תקרית שולית; אותו קמפיין אחרי חצי יום הוא אירוע חוצה־ארגון. חסימת תשתית מתואמת ובזמן אמת היא הדרך להיות בצד הנכון של המשוואה.
רוצים לראות איך PULSE עובד בסביבה שלכם?
צוות Persist Security ישמח להציג את השירות ולבחון התאמה לארגון.
קבעו פגישת ייעוץ