פורצים לחשבונות בנק בישראל דרך פרסומות בפייסבוק

לא משנה כמה זמן אני עובד בתחום, האקרים מצליחים להפתיע אותי כל פעם מחדש. זה מקרה אמיתי שמראה כמה תושיה קיימת אצל אנשים רעים באינטרנט וכמה מוטיבציה יש להם כדי לפגוע באנשים. מי שלא מוגן- יהיה לו קשה בשנים הקרובות.
זה התחיל בפרסומת בפייסבוק.

אדם שפנה אליי סיפר שנתקל במודעה שבה הופיעה דמותה של רותם סלע, לצד המלצה על אפליקציה שאמורה לעזור לאנשים למצוא כספים ולחסוך בהוצאות באמצעות שירותים חלופיים.

לדבריו, האפליקציה הוצגה בשם SAVE IL.

ההבטחה נשמעה מועילה: להתקין אפליקציה, לבדוק היכן אפשר לחסוך ולגלות כספים שאולי נשכחו.

אבל אחרי ההתקנה, לדבריו, הופיעה בטלפון הודעה בעברית:

״המכשיר ננעל״.

הוא לא הצליח לחזור להשתמש בו. בהמשך גילה שסיסמת חשבון Google שלו שונתה, ושהועברו מחשבון הבנק שלו כ־6,000 ש״ח לחשבון אחר, שלדבריו נמצא בחו״ל.

תיאור המקרה מבוסס על עדות הפונה. ההסבר הטכני הוא שחזור אפשרי, ולא מסקנה מבדיקה פורנזית של המכשיר. שם האפליקציה ודמות המפורסמת מובאים כפי שתוארו בעדות; אין בכך הוכחה לזהות מפעילי האפליקציה או למעורבות של רותם סלע.

הפרסומת הובילה להתקנה מחוץ לחנות

לפי התיאור, הקישור במודעה הוביל להורדת קובץ APK — קובץ התקנה של אפליקציה למכשירי Android.

APK הוא פורמט התקנה רגיל, ואינו מעיד כשלעצמו על נוזקה. במקרה הזה, החשד נובע מהאירועים שהתרחשו לאחר ההתקנה: חסימת הגישה למכשיר, שינוי סיסמת Google והפעולה הכספית שלא אושרה, לפי עדות הפונה.

הופעת דמות מוכרת בפרסומת יכולה להעניק להצעה תחושת אמינות. אבל תמונה, סרטון או המלצה שנחזית להיות של ידוען אינם אימות לזהות מי שמפעיל את השירות.

לא בדקנו את המודעה המקורית, ולכן איננו יודעים אם נעשה בה שימוש בתמונה, בעריכה של סרטון או בתוכן שנוצר בבינה מלאכותית.

איך אפליקציה יכולה להפוך לכלי שליטה בטלפון?

ההשערה המרכזית שלנו היא שהאפליקציה ביקשה הרשאות רגישות, והמשתמש אישר אותן מתוך מחשבה שהן נחוצות להפעלת השירות. בשלב זה אין בידינו תיעוד של ההרשאות שאושרו.

אחת האפשרויות היא ניצול של שירותי הנגישות של Android. אלה נועדו לסייע למשתמשים לתפעל את המכשיר, אך נוזקות יכולות לנצל אותם לקריאת תוכן בממשק ולביצוע פעולות בשם המשתמש.

בהתאם להרשאות ולמנגנון הנוזקה, תוקף עשוי להפעיל לחיצות, לנווט בין מסכים או לקבל מידע מהתראות. נוזקות מסוימות כוללות גם יכולות צפייה במסך ושליטה מרחוק. מנגנונים כאלה מתועדים במחקרי אבטחה על נוזקות בנקאיות.

מבחינת הקורבן, זה עשוי להיראות כמו רצף של מסכי הגדרה ואישורים. מבחינת התוקף, כל הרשאה נוספת עשויה לפתוח אפשרות לפעולה נוספת.

עם זאת, התקנת אפליקציה אינה מעניקה לה אוטומטית שליטה מלאה. ההרשאות שניתנו וההגנות במכשיר הן חלק מרכזי בבירור.

״המכשיר ננעל״ — ומה התרחש מאחורי ההודעה?

הפונה סיפר שלא הצליח לפתוח את הטלפון, ובסופו של דבר בוצע איפוס מלא כדי לחזור להשתמש בו.

זה פרט משמעותי, אך הוא אינו מסביר לבדו כיצד נחסם המכשיר.

ייתכן שהאפליקציה הציגה מסך שחסם את השימוש. ייתכן שהופעלה יכולת נעילה באמצעות הרשאות ניהול, או שהחסימה הייתה קשורה להשתלטות על חשבון אחר שמחובר למכשיר.

אין לנו בסיס לקבוע איזו אפשרות התממשה.

גם סדר האירועים חשוב: הפעולה הבנקאית יכולה הייתה להתרחש לפני הופעת הודעת הנעילה. אין בידינו ראיה שהתוקף המשיך להפעיל את אפליקציית הבנק בזמן שהמכשיר היה נעול.

כך או כך, לפי העדות, הקורבן איבד את היכולת להשתמש בטלפון דווקא בזמן שבו היה זקוק לו כדי לבדוק התראות ולהגיב לאירוע.

גם חשבון Google יצא משליטתו

לפי הפונה, הוא קיבל הודעה שלפיה הסיסמה בחשבון Google שלו שונתה. מאז, הוא אינו מצליח להיכנס לחשבון.

אם ההודעה אכן אותנטית והשינוי לא נעשה על ידו, מדובר בסימן משמעותי להשתלטות על החשבון.

שליטה בטלפון עלולה לחשוף לתוקף חשבון שכבר מחובר, התראות ואמצעי אימות הזמינים במכשיר. עם זאת, שינוי סיסמה עשוי לדרוש אימות נוסף, ולכן אין להסיק שעצם פתיחת הטלפון הספיקה לביצועו.

גם אין הכרח שהגישה לבנק הושגה ״דרך Gmail״. ייתכן שההשתלטות על המייל והפעולה הבנקאית היו שתי תוצאות של אותה גישה למכשיר.

זו הבחנה חשובה: כאשר כמה חשבונות נפגעים באותו אירוע, לא תמיד אחד מהם היה הדרך לפריצה לאחרים.

הבנק טען: ההעברה יצאה מאותה כתובת IP

לדברי הפונה, הבנק סירב להשיב את הכסף, והנימוק שנמסר לו היה שההעברה בוצעה מאותה כתובת IP ששימשה אותו.

מבחינה טכנית, הנתון הזה יכול להתיישב עם השתלטות על הטלפון.

אם תוקף מפעיל מרחוק את אפליקציית הבנק בטלפון של הקורבן, הבקשה לבנק יוצאת מחיבור האינטרנט של אותו טלפון. התוקף עשוי לשבת במדינה אחרת, אבל הבנק רואה את כתובת המקור של המכשיר שממנו נשלחה הפעולה.

מחקרי אבטחה מתארים גם שימוש במכשיר נגוע כמתווך לתקשורת, וגם ביצוע פעולות ישירות מתוך מכשיר הקורבן.

כתובת IP מוכרת אינה מזהה את האדם שהפעיל את המכשיר, ואינה מוכיחה לבדה שבעל החשבון הסכים להעברה.

באותה מידה, היא גם אינה מוכיחה שהייתה השתלטות. כדי להבין מה קרה צריך לבדוק את זיהוי המכשיר, אופן הכניסה, שיטת אישור ההעברה, הוספת המוטב וציר הזמן.

אין בידינו את תשובת הבנק בכתב או את נתוני הפעולה. שאלת הזכאות להחזר מחייבת בירור נפרד; ההסבר כאן הוא טכני ואינו ייעוץ משפטי.

הפירמוט החזיר את הטלפון לשימוש — אבל הקשה על הבדיקה

איפוס מלא יכול למחוק את האפליקציה שהותקנה, לצד נתונים מקומיים שהיו עשויים לעזור להבין את האירוע.

הוא גם אינו מחזיר אוטומטית את השליטה בחשבון Google, מבטל גישה ממכשירים אחרים או משיב כסף שהועבר.

במקרה הזה, הבדיקה שנותרה תלויה במידה רבה בראיות שמחוץ לטלפון: המודעה וקישור ההורדה, עותק של קובץ ההתקנה אם נשמר, הודעות האבטחה של Google ונתוני הבנק.

לכן, באירוע דומה, צריך לפעול במהירות לעצירת הנזק, ובמקביל לשמור ככל האפשר תיעוד לפני מחיקה ואיפוס.

מה עושים אם זה קורה?

אם לאחר התקנת אפליקציה מופיעות פעולות לא מוכרות, חסימה של המכשיר או התראות על שינוי סיסמה:

• פונים מיד לבנק ממכשיר אחר, מדווחים על החשד ומבקשים לעצור פעולות נוספות ולבדוק אפשרות לעצירת ההעברה.
• מנתקים את המכשיר החשוד מהרשת, ככל שניתן, ונמנעים מהזנת סיסמאות חדשות בו.
• מאבטחים את החשבונות ממכשיר נקי, כולל בדיקת חיבורים פעילים, אמצעי שחזור והרשאות.
• שומרים ראיות: כתובות קישורים, צילומי מסך, שעות, התראות ואסמכתאות.
• מדווחים למשטרה ולמוקד 119 של מערך הסייבר הלאומי. המוקד פועל מסביב לשעון ומספק סיוע ראשוני.

המקרה הזה התחיל בהבטחה לחיסכון והסתיים, לפי עדות הפונה, באובדן כסף וגישה לחשבונות.

החשש המרכזי שעולה ממנו הוא שתוקף יכול לנצל את הטלפון שאנחנו כבר סומכים עליו — ואת ההרשאות שאישרנו כדי לקבל שירות — כדי לפעול מתוכו. מבחוץ, הפעולה עשויה להיראות כאילו הגיעה מהמכשיר הרגיל שלנו. השאלה שנותרת היא מי שלט בו באותו רגע.