התראה משותפת של FBI ו-CISA: תוקפים עם זיקה לאיראן משבשים בקרי Rockwell
ב-7 באפריל 2026 פרסמו FBI, CISA ו-NSA התראה על תוקפים עם זיקה לאיראן שמשבשים בקרי PLC של Rockwell החשופים לאינטרנט, במים, באנרגיה וברשויות מקומיות.
TL;DR בקצרה
- ב-7 באפריל 2026 פרסמו FBI, CISA, NSA, EPA, DOE ופיקוד הסייבר האמריקאי את ההתראה AA26-097A על תקיפות של בקרי PLC החשופים לאינטרנט.
- לפי ההתראה, קבוצה עם זיקה לאיראן פועלת מאז מרץ 2026 לפחות. היא פוגעת בבקרי CompactLogix ו-Micro850 של Rockwell, ובכמה מקרים גרמה לשיבוש תפעולי ולנזק כספי.
- התוקפים שולפים את קובץ הפרויקט של הבקר ומשנים נתונים בתצוגות HMI ו-SCADA. הם מתחברים מכתובות IP בחו״ל ומשתמשים בתוכנת התכנות של Rockwell.
- ההגנה העיקרית: להוריד את הבקרים מהאינטרנט, להעביר את מתג המצב הפיזי ל-Run ולהחזיק גיבוי לא מקוון של הלוגיקה.
ב-7 באפריל 2026 פרסמו FBI, CISA, NSA, EPA, DOE ופיקוד הסייבר האמריקאי את ההתראה AA26-097A, על תוקפים עם זיקה לאיראן שמשבשים בקרים לוגיים (PLC) החשופים לאינטרנט. לפי ההתראה ב-CISA, הפעילות פוגעת בתשתיות קריטיות בארצות הברית. בכמה מקרים היא גרמה לשיבוש תפעולי ולנזק כספי. היעד העיקרי הוא בקרים של Rockwell Automation, שמוכרים גם בשם Allen-Bradley.
AA26-097A: מה פירטה ההתראה על התוקפים ועל הבקרים
בקר PLC הוא מחשב תעשייתי קטן שמריץ תהליך פיזי, כמו משאבת מים או מערכת חשמל. הלוגיקה שלו שמורה בקובץ פרויקט. מפעילים צופים בבקר דרך תצוגות HMI ו-SCADA, ולכן תוקף ששולט בהן יכול לבלבל את המפעיל.
הסוכנויות מזהות את הפעילות מאז מרץ 2026 לפחות, מתוך שיחות עם ארגונים שנפגעו. הפגיעה נרשמה בשלושה מגזרים: שירותי ממשל ורשויות מקומיות, מים וביוב, ואנרגיה. לפי ההתראה, התקיפות האיראניות נגד ארגונים אמריקאים התגברו כנראה בתגובה לעימות בין איראן לארצות הברית ולישראל.
הסוכנויות מזכירות פעילות דומה של CyberAv3ngers, קבוצה שקשורה לשומרי המהפכה. בקמפיין שלה, מנובמבר 2023, נפגעו לפחות 75 בקרים של Unitronics. הפעם התוקפים התחברו מכתובות IP בחו״ל, דרך תשתית מושכרת. הם השתמשו בתוכנת התכנות Studio 5000 Logix Designer של Rockwell כדי ליצור חיבור שהבקר מקבל.
הבקרים שהותקפו כוללים את CompactLogix ו-Micro850. התנועה הזדונית עשויה להגיע ליציאות 44818, 2222, 102, 22 ו-502. חלק מהיציאות האלה שייכות ליצרנים אחרים, ולכן ההתראה מזהירה שהתוקפים עשויים לכוון גם ליצרנים נוספים, כמו Siemens S7. בנוסף, הם התקינו תוכנת Dropbear SSH אצל הקורבנות כדי להתחבר דרך יציאה 22.
ה-FBI מדווח על שתי תוצאות: שליפת קובץ הפרויקט של הבקר, ושינוי נתונים בתצוגות HMI ו-SCADA.
מה ההתראה AA26-097A מבקשת מהמפעילים
הצעד הראשון הוא להוריד בקרים מהאינטרנט. אם צריך גישה מרחוק, היא צריכה לעבור דרך שער מאובטח, ולא ישירות לבקר. בכל חיבור מבחוץ כדאי לדרוש אימות רב-שלבי, גם אם הבקר עצמו לא תומך בו. VPN או שער יכולים לספק אותו במקומו.
בבקרי Rockwell עם מתג מצב פיזי יש להעביר את המתג למצב Run. כך אי אפשר לשנות את הבקר מרחוק. מעבירים אותו ל-Program או Remote רק בזמן עדכון, וחוזרים ל-Run מיד אחר כך. בנוסף, ההתראה ממליצה על גיבוי לא מקוון של הלוגיקה וההגדרות, ועל בדיקת שחזור.
ההתראה מפרסמת גם כתובות IP שבהן התוקפים השתמשו. היא מבקשת לבדוק אותן ביומנים לפני חסימה. מעבר לכך, כדאי לחפש בתעבורה פנייה חריגה ליציאות האלה, בעיקר מספקי אירוח זרים.
ההתראה מופנית לארגונים אמריקאים, ואין בה אזכור של ארגונים בישראל. עם זאת, ההנחיות חלות על כל מי שמפעיל בקרים חשופים לאינטרנט, בכל מדינה.
ב-22 ביולי 2026 עדכנו הסוכנויות את ההתראה. לפי עמוד ההתראה ב-CISA, העדכון הוסיף שיטת הדלפה של קבצי פרויקט, הנחיות איתור והרחבה ליצרנים נוספים.
מה זה אומר עבורכם
- בדקו חשיפה: ודאו שאף בקר, HMI או מודם סלולרי בשטח לא פתוח ישירות לאינטרנט.
- סגרו גישה ישירה: העבירו גישה מרחוק דרך שער או VPN עם אימות רב-שלבי.
- הגנה פיזית: בבקרים עם מתג מצב, השאירו אותו ב-Run כשאין עדכון.
- גבו מחוץ לרשת: שמרו גיבוי של הלוגיקה והקבצים, ובדקו שאפשר לשחזר ממנו.
- בדקו יומנים: חפשו תנועה ליציאות 44818, 2222, 102, 502 ו-22 מחו״ל. בקשו מהספק או מהמטמיע בדיקה כזאת.
מקורות והרחבה
- AA26-097A: Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical InfrastructureCISA
- Iranian-Affiliated Cyber Actors Exploit PLCs Across US Critical Infrastructure (joint advisory PDF, April 7 version)FBI IC3
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
