FBI ו-CISA פרסמו ב-16 באוקטובר 2026 אזהרה על איומי סייבר נגד אנשי בחירות וקמפיינים בארצות הברית, ובהם הודעות דיוג שהשימוש ב-AI עשוי להפוך למשכנעות יותר. המסר המעשי הוא שהודעה כתובה היטב, ואפילו קול מוכר, אינם מספיקים כדי לאשר מסירת מידע או כניסה לחשבון. בקשה רגישה צריכה לעבור בדיקה בערוץ נפרד.
האזהרה מתפרסמת לקראת בחירות האמצע בארצות הברית, אך אינה הודעה על פריצה חדשה למערכת הצבעה. היא גם אינה מציגה הוכחה לשינוי תוצאות בחירות. ההבחנה חשובה: גניבת חשבון של איש קמפיין, חשיפה של מסמך פנימי ופגיעה בתשתית בחירות הם אירועים שונים, עם השלכות שונות ודרישות ראייתיות שונות.
מה הרשויות מזהירות שעלול לקרות
לפי ההודעה המשותפת, גורמים זדוניים עלולים להשתמש בדיוג בדואר ובמסרונים כדי להשיג פרטי כניסה ומידע רגיש. אנשי בחירות, מועמדים וארגונים פוליטיים מעניינים אותם בגלל הגישה למידע ולבעלי תפקידים. הרשויות מתארות גם שימוש בתוכן קולי וחזותי מזויף לחיזוק התחזות, וממליצות על אימות רב-שלבי עמיד לדיוג ועל בדיקת בקשות בערוץ נוסף.
המסמך אינו מספק שיעור הצלחה של הודעות שנכתבו ב-AI לעומת הודעות רגילות, ואינו מזהה בו קמפיין תקיפה מסוים שעליו מבוססת השוואה כזאת. לכן אי אפשר להמיר את האזהרה למספר על היקף הנזק או להסיק שכל הודעה חשודה נוצרה באמצעות מודל. ההמלצה להגן על חשבונות תקפה גם כאשר לא יודעים באיזה כלי השתמש השולח.
הפרסום משתמש במונח SI, שמשמעותו המילולית היא אינטליגנציה-על, לתיאור יכולות יצירה ואוטומציה. המונח אינו מלווה בהדגמה לכך שמערכת כזאת קיימת או מעורבת באירוע. כדי להבין את הסיכון אין צורך להניח יכולת יוצאת דופן: די בהודעה שנראית אמינה ומבקשת מהנמען לעשות פעולה שלא היה מאשר אחרת.
למה ניסוח טוב כבר אינו מבחן אמינות
כשבודקים הודעה, קל להתעכב על האיות ועל הנימה. אלה סימנים נוחים, אבל ההחלטה החשובה היא אחרת: מה מבקשים ממני, מי מוסמך לבקש זאת, והאם הדרך שבה הגיעה הבקשה תואמת את הנוהל. משפט חלק אינו תשובה לאף אחת מהשאלות האלה. גם שם מוכר בשורת השולח אינו מחליף בדיקת זהות.
למשל, בקשה דחופה לעיין במסמך יכולה להיות חלק מעבודה רגילה. אם היא מחייבת כניסה דרך קישור חדש, עדיף לפתוח את השירות מהסימנייה הרגילה ולחפש את המסמך שם. אם המסמך אינו מופיע, אפשר לברר עם האדם הרלוונטי באמצעות מספר או ערוץ שכבר מוכרים. זו דוגמת התנהלות מומלצת, לא תיאור של תקיפה שזוהתה בהודעה.
אותו עיקרון מתאים לשיחה שבה מישהו נשמע כמו עמית ומבקש להעביר קובץ. אין צורך להכריע בזמן אמת אם הקול נוצר במחשב. אפשר לעצור את הפעולה ולבקש אישור בערוץ העבודה המוסכם. כך ההחלטה נשענת על תהליך שניתן לבדוק, ולא על תחושת ביטחון שנוצרת מהיכרות עם הקול או עם סגנון הכתיבה.
אימות עמיד לדיוג אינו רק עוד קוד
לפי הנחיות הזהות הדיגיטלית של NIST, קודים שהמשתמש מקליד ידנית אינם נחשבים אימות עמיד לדיוג. הסיבה היא שהקוד אינו קשור בהכרח לחיבור המסוים או לשירות שאליו המשתמש התכוון להתחבר. לעומת זאת, WebAuthn, המשמש את FIDO2, יכול לקשור את האימות לשם השירות. ההבדל הוא במנגנון, לא במספר השלבים שהמשתמש רואה.
מכאן נובעת שאלה שימושית למנהל מערכת: איזו שיטת אימות מופעלת בפועל בחשבונות הרגישים? סימון כללי של אימות רב-שלבי ברשימת משימות אינו עונה עליה. כדאי לבדוק עם ספק השירות אילו אפשרויות עמידות לדיוג זמינות, לאילו משתמשים הן הופעלו, ומה קורה כאשר עובד מאבד את המכשיר או מבקש לשחזר גישה.
גם פריסה של אמצעי אימות חזק מחייבת תכנון אנושי. עובד זמני צריך לדעת איך להיכנס בבטחה ביום הראשון, ולמי לפנות אם משהו אינו עובד. אם מסלול הגישה הרשמי מסורבל או לא ברור, נוצר לחץ למצוא קיצור דרך. לכן רצוי לבדוק מראש גם את תהליך ההרשמה ואת מסלול התמיכה, ולא רק את מסך הכניסה הרגיל.
מה צוות קטן יכול לשנות השבוע
הצעד הראשון המומלץ הוא להגדיר אילו בקשות לעולם אינן מאושרות על סמך הודעה אחת. למשל, שינוי הרשאות, העברת רשימת אנשי קשר או איפוס גישה לחשבון ניהולי. לכל פעולה כזאת כדאי להצמיד מאשר מזוהה וערוץ בדיקה ידוע. ההגדרה צריכה להיות קצרה מספיק כדי שעובד עסוק יוכל לזכור אותה בזמן לחץ.
הצעד הבא הוא לבדוק אם קיימת דרך פשוטה לדווח על הודעה חשודה. כתובת או כפתור דיווח מועילים רק אם מישהו מטפל בפניות ומחזיר תשובה. כדאי להסביר לעובדים מה לעשות בזמן ההמתנה, למשל להימנע מפתיחת קובץ נוסף או ממסירת פרטים, בלי להפסיק את כל העבודה ובלי להפיץ את ההודעה לקבוצות נוספות.
כדאי גם לתרגל תרחיש קצר: בקשה דחופה שמגיעה לכאורה ממנהל, בזמן שהאדם שמאשר בדרך כלל אינו זמין. מטרת התרגיל אינה לתפוס עובד שטעה, אלא לבדוק אם יש חלופה בטוחה שהצוות באמת מכיר. תהליך שמתפקד רק כאשר כולם זמינים ובטוחים בעצמם אינו נותן מענה לשעה שבה הבקשה החריגה מגיעה.
מה לעשות אם כבר נמסרו פרטים
אם עובד הזין סיסמה או אישר בקשה חשודה, ההמלצה המעשית היא לפנות מיד לאחראי האבטחה או לתמיכה דרך הערוץ המוכר, ולתאר במדויק מה קרה. חשוב להבחין בין פתיחת הודעה, הורדת קובץ, הזנת סיסמה ואישור כניסה. אלה פרטים שמסייעים למטפל להחליט מה לבדוק, בלי שהעובד יצטרך לאבחן את האירוע בעצמו.
רצוי לשמור את ההודעה ואת שעת האירוע ולפעול לפי הנחיות הצוות המטפל לגבי שינוי פרטי גישה ובדיקת פעילות החשבון. אין צורך להמשיך בשיחה עם השולח כדי לנסות להוכיח שהוא מתחזה. לעובד צריך להיות ברור שדיווח מהיר עדיף על המתנה עד שידע בוודאות שנגרם נזק, ושעצם הטעות אינה סיבה להסתיר אותה.
עבור ארגון ישראלי, האזהרה האמריקאית היא סיבה לבחון את נוהלי העבודה, לא ראיה שהוא עצמו הותקף או שנמצא תחת אותו איום ממוקד. השאלה המועילה היא האם בקשה שנראית אמינה יכולה לעקוף את הכללים. אם התשובה חיובית, אפשר להתחיל מתיקון קטן ומדיד: בקשה רגישה אחת, ערוץ אימות אחד ואחראי ברור שמוודא שההליך אכן עובד.