Microsoft מזהירה מפישינג שנראה כמייל פנימי: DMARC חלש וניתוב מורכב פותחים פתח
ב-6 בינואר 2026 פרסמה Microsoft אזהרה על מיילים שמתחזים לדומיין של הארגון עצמו. הם מצליחים כשה-MX לא מצביע ל-Microsoft 365 ו-DMARC לא נאכף. כך מתגוננים.
TL;DR בקצרה
- Microsoft Threat Intelligence דיווחה ב-6 בינואר 2026 על פישינג שמתחזה לדומיין של הארגון, ושהשיטה מתרחבת מאז מאי 2025.
- החשופים הם ארגונים שה-MX שלהם לא מצביע ל-Microsoft 365 ושאינם אוכפים בקפידה SPF, DKIM ו-DMARC. אין כאן חולשה ב-Direct Send.
- רוב הקמפיינים משתמשים ב-Tycoon2FA, שעוקף אימות דו-שלבי. יש גם גרסה כספית עם חשבונית מזויפת, טופס W-9 ומכתב בנק.
- ההמלצה: DMARC על reject, SPF על hard fail, חתימת DKIM, מחברים נכונים ואימות דו-שלבי עמיד לפישינג.
ב-6 בינואר 2026 פרסמה Microsoft Threat Intelligence אזהרה על פישינג שנראה כמייל פנימי. המיילים מתחזים לדומיין של הארגון עצמו. הטריק מצליח כשיש הגדרות DMARC ו-SPF חלשות, או ניתוב דואר מסובך. לפי Microsoft, השיטה מתרחבת מאז מאי 2025.
Microsoft מדגישה בבלוג האבטחה שלה שאין כאן חולשה ב-Direct Send. זו שיטת שליחת הדואר של Exchange Online. הבעיה בהגדרות. הקמפיינים אופורטוניסטיים, והם פוגעים בארגונים בתעשיות רבות. רובם משתמשים ב-Tycoon2FA, שירות פישינג להשכרה (PhaaS).
DMARC וניתוב דואר: מי חשוף למיילים מזויפים
לפי Microsoft, החשופים הם ארגונים שרשומת ה-MX שלהם לא מצביעה ישירות ל-Microsoft 365. הם גם לא אוכפים בקפידה SPF, DKIM ו-DMARC. הנוסחה המסוכנת היא שילוב של השניים.
יש שני תרחישים. בראשון ה-MX מצביע על שרת Exchange מקומי, שמעביר דואר אל Microsoft 365. בשני הוא מצביע על שירות צד שלישי לסינון, אבטחה או ארכוב.
כשמחבר (connector) של צד שלישי מוגדר לא נכון, Microsoft 365 לא יכולה לחשב את הזיוף. בדוגמה של Microsoft הכותרות הראו כישלון באימות, אבל המערכת לא פעלה. הסיבה היא קוד 905, שמסמן ניתוב מסובך. בכותרות של מייל כזה השולח והנמען הם אותה כתובת. SPF נכשל, DMARC נכשל, ו-DKIM חסר.
ארגונים שה-MX שלהם מצביע ישירות ל-Microsoft 365 מוגנים, לפי Microsoft, בזיהוי הזיוף המובנה. באחד המקרים שתיארה החברה, DMARC הוגדר על none, ולכן המייל הגיע לתיבה.
איך נראים המיילים המזויפים
הפתיונות מוכרים. אלה פקיעת סיסמה, התראת מסמך משותף ב-SharePoint והודעה בסגנון Docusign. יש גם עדכון שכר והטבות ממשאבי אנוש, איפוס סיסמה והודעה קולית. בחלק מהמקרים תוקפים מסתירים את הקישור בכתובת הפניה של Google, או בקוד QR שמצורף למייל.
הקורבן מגיע ל-CAPTCHA מזויף, ואחריו לדף שגונב פרטי התחברות. Tycoon2FA פועל כך שהוא עוקף גם אימות דו-שלבי. באוקטובר 2025 חסמה Microsoft Defender for Office 365 מעל 13 מיליון מיילים זדוניים שקשורים אליו.
יש גם גרסה כספית. המייל מתחזה לשרשור עם המנכ״ל ומבקש מהנהלת החשבונות לשלם חשבונית. כתובת השולח והנמען שווים, ושם המנכ״ל מופיע כשם תצוגה.
המיילים כללו חשבונית של כ-9,860 דולר להעברה בנקאית. בנוסף כללו המיילים טופס W-9 עם שם ומספר SSN של בעל החשבון המוצהר, ומכתב בנק מזויף. לפי Microsoft, הכסף נע מהר, ולכן ההפסד עלול להיות בלתי הפיך.
DMARC reject והגדרות נוספות: מה Microsoft ממליצה
ההמלצה הראשונה היא DMARC על reject. כך גם SPF על hard fail, ולא על soft fail או none. כמו כן יש להגדיר חתימת DKIM, ולהגדיר נכון כל מחבר של צד שלישי. מי שיכול, יצביע את ה-MX ישירות ל-Microsoft 365.
בנוסף Microsoft ממליצה להפעיל Safe Links ו-ZAP. ZAP מבודד מיילים שכבר הגיעו לתיבה, כשמגיע מידע חדש על איום. היא ממליצה גם על אימות דו-שלבי עמיד לפישינג, כמו מפתחות FIDO2 ו-Passkeys. אם תוקפים כבר השתלטו על חשבון, יש להחליף סיסמאות ולבטל סשנים ואסימונים. יש גם למחוק כללי תיבה זדוניים ולרשום מחדש את מכשירי ה-MFA.
מה זה אומר עבורכם
- בדקו את רשומת DMARC: חפשו את הרשומה _dmarc בדומיין שלכם. אם כתוב בה p=none, הדומיין מנוטר אבל לא מוגן.
- עברו ל-reject בהדרגה: התחילו מדוחות, תקנו שולחים לגיטימיים, ורק אז החמירו. כך לא תחסמו דואר אמיתי.
- בדקו את רשומת ה-MX: אם היא לא מצביעה ל-Microsoft 365, ודאו שהמחברים מוגדרים נכון.
- אמתו בקשות תשלום: מייל "פנימי" שמבקש כסף או שינוי פרטי בנק מחייב אישור בטלפון.
- הדריכו עובדים: מייל שהשולח והנמען בו זהים, ושדורש התחברות, ראוי לדיווח ולא ללחיצה.
מה קרה מאז
ב-14 בינואר 2026 כתבה Microsoft ש-RedVDS סיפקה את אמצעי השליחה לרוב המיילים האלה. RedVDS הייתה שוק שהשכיר שרתי Windows זולים. באותו יום הודיעה Microsoft על שיבוש התשתית שלה, בעזרת רשויות אכיפה.
ב-4 במרץ תפסה Microsoft, בשיתוף Europol, 330 דומיינים של Tycoon2FA. הם שימשו את אותו שירות פישינג שנזכר באזהרה.
מקורות והרחבה
- Phishing actors exploit complex routing and misconfigurations to spoof domainsMicrosoft Security Blog
- Misconfigured email routing enables internal-spoofed phishingSecurity Affairs
- Inside RedVDS: How a single virtual desktop provider fueled worldwide cybercriminal operationsMicrosoft Security Blog
- Defending the gates: How a global coalition disrupted Tycoon 2FAMicrosoft On the Issues
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
