אתרי פרסום מזויפים של ChatGPT, Gemini ו-Claude גונבים חשבונות מודעות וקודי אימות
חוקרי Island חשפו פלטפורמת פישינג שמתחזה לכלי פרסום של חברות AI ומכוונת לאנשי מדיה וסוכנויות. חלון התחברות מזויף של Google ומפעיל אנושי עוקפים גם אימות דו-שלבי בקודים.
CYBER WATCH
67כתבות
סייבר ואבטחה
פריצות, דליפות מידע, חולשות קריטיות ואיך שומרים על העסק והחשבונות שלכם.
ASOS נפרצה: לקוחות קיבלו התראת ״ASOS HACKED״, ושמות ופרטי קשר נגנבו
האקרים השתלטו על פלטפורמה חיצונית שבה ASOS משתמשת לתקשורת עם לקוחות, שלחו התראת פוש מאיימת לאפליקציה וגנבו שמות ופרטי קשר. לפי החברה, כרטיסי אשראי וסיסמאות לא נפגעו.
חולשה קריטית ב-Jira וב-Confluence בהתקנה מקומית נוצלה שעתיים אחרי שפורסם ניתוח
Atlassian הזהירה מחולשה בשמונה ממוצרי ה-Data Center שלה, שמאפשרת לקרוא קבצים מהשרת בלי סיסמה. ניסיונות ניצול נרשמו תוך שעתיים מפרסום מחקר טכני, ובחלק מההתקנות זה מוביל עד הרשאות מנהל.
פרצת יום אפס ב-FortiMail: תוקפים כותבים קבצים לשרת הדואר בלי להזדהות
Fortinet הודיעה ב-1 באוקטובר על חולשה קריטית בשרתי הדואר FortiMail שכבר מנוצלת בתקיפות. עד 5 באוקטובר לא היה תיקון לרוב הגרסאות, והפתרון הזמני היה לכבות את רכיב ההצפנה IBE.
Citrix NetScaler: שלוש פרצות מנוצלות בתוך שבוע, ומי שעדכן צריך לעדכן שוב
Google ו-Mandiant חשפו ב-30 בספטמבר קמפיין שמנצל שתי פרצות קריטיות בשערי ה-VPN של Citrix כבר מתחילת ספטמבר. ב-4 באוקטובר נוספה פרצה שלישית ברכיב ה-SAML, עם גרסה מתוקנת חדשה.
נוזקה לוורדפרס שבונה את עצמה מחדש אחרי מחיקה, ומקבלת פקודות מהבלוקצ׳יין
Sucuri חשפה ב-30 בספטמבר את SC, דלת אחורית לאתרי WordPress שמתפזרת על פני קבצים, מסד הנתונים והזיכרון. מוחקים רכיב אחד, והאחרים משחזרים אותו. כך מנקים אותה בסדר הנכון.
543 אלף מפתחות וסיסמאות שדלפו ל-GitHub עדיין עובדים, חלקם כבר 16 שנה
מחקר של Truffle Security שפורסם ב-29 בספטמבר סרק 224 מיליון מאגרי קוד ציבוריים ומצא יותר מחצי מיליון מפתחות גישה פעילים. הבעיה המרכזית: מוחקים את הסוד מהקוד, אבל לא מבטלים אותו.
סוכני קוד העלו 13 אלף צילומי מסך פנימיים של חברות למאגרים ציבוריים ב-GitHub
חוקרי Glow, חברת אבטחה שהקימו יזמים ישראלים, גילו שסוכני AI לכתיבת קוד פתחו מאגרים ציבוריים כדי לצרף צילומי מסך לבקשות קוד. בין התמונות: נתוני חיוב, מסכי העברות כספים ומוצרים שטרם הושקו.
הודעת WhatsApp וקול משובט: כך הונו בנק פרטי באיטליה ב-95 מיליון יורו
לפי Reuters, נוכלים התחזו למנכ״ל Intesa Sanpaolo בוואטסאפ ולעורך דין בשיחה בקול מזויף, ושכנעו את יו״ר Fideuram להעביר כספים לסין ולהונג קונג. רק חלק מהכסף הוחזר.
טרויאני בנקאי חדש לאנדרואיד מתחזה לאפליקציית IPTV ומנטרל את Google Play Protect
RemControl מופץ דרך עמודי Google Play מזויפים של אפליקציית הסטרימינג TVTap, משתמש ב-VPN מקומי כדי לחמוק מסריקה, ומציג מסכי התחברות מזויפים מעל אפליקציות של יותר מ-30 בנקים.
Microsoft השביתה את EvilTokens: שירות פישינג עם צ׳טבוט AI שפרץ ל-12,000 תיבות דואר
השירות נמכר בטלגרם, גרם לקורבנות לאשר גישה לחשבון Microsoft בלי למסור סיסמה, והשתמש ב-AI כדי לאתר בתיבות הפרוצות הזדמנויות להונאות תשלום.
שתי חולשות קריטיות ב-Check Point מנוצלות בפועל, ואחת מהן נוצלה חודשיים לפני התיקון
חולשה בשרתי הניהול של Check Point נוצלה כבר ביולי, לפני שהיה לה עדכון. חולשה שנייה, בשערי ה-VPN ובחומות האש של Spark, הותקפה שלושה ימים אחרי שתוקנה.