קבוצת ההאקרים Andariel תוקפת ארגונים בארה"ב

קבוצת ההאקרים Andariel תוקפת ארגונים בארה"ב

זה מתחיל כמעט תמיד בשקט.

מייל שנראה לגיטימי, קובץ PDF תמים, או שרת ארגוני שלא קיבל עדכון בזמן. כמה קליקים אחר כך, התוקפים כבר בפנים. מבחינת ארגונים בארה"ב, השם Andariel הפך בשנים האחרונות לסימן אזהרה ברור: מדובר בקבוצת תקיפה מתוחכמת, עקשנית, ובמקרים מסוימים גם הרסנית מאוד.

בעולם הסייבר יש הרבה שחקנים, אבל לא כולם פועלים באותה רמה. Andariel בולטת משום שהיא לא מסתפקת בהפרעה נקודתית. לפי הדפוסים שיוחסו לה, היא יודעת לחדור, להתבסס, לאסוף מידע רגיש, ולעתים גם לשבש פעילות עסקית או לנסות להגיע למערכות קריטיות יותר.

זה בדיוק מה שמדאיג את קהילת האבטחה בארה"ב: לא רק עצם ההתקפות, אלא השילוב בין סבלנות, תחכום, וגישה שיטתית. אלה לא "מכות וסע". אלה קמפיינים שנראים כמו מבצעים לכל דבר.

מי זו Andariel, ולמה כולם מסתכלים עליה?

Andariel מזוהה בקהילת הסייבר והמודיעין כקבוצת האקרים שפועלת בזיקה לאיראן, לפי הטקסט המקורי שעליו מתבסס המאמר. פעילותה החלה, לפי הדיווחים, כבר בתחילת שנות ה-2010, אבל החשיפה הרחבה יותר הגיעה סביב 2017, כאשר יותר ויותר אירועים נקשרו לשיטות העבודה שלה.

מאז, הקבוצה ביססה לעצמה מוניטין בעייתי במיוחד. לא מדובר רק בגניבת מידע. במקרים רבים, המטרה היא גם ריגול תעשייתי, פגיעה בתפקוד הארגון, ולעתים ניסיון לערער אמון במערכות קריטיות.

הסיפור כאן רחב יותר מקבוצת תקיפה אחת. Andariel מייצגת מגמה הולכת ומתחזקת: קבוצות תקיפה מתקדמות שפועלות כמו צוותים מקצועיים, עם מיקוד, משמעת, ארסנל טכנולוגי, ולעתים גם סבלנות של חודשים.

במילים פשוטות: אם פעם ארגונים חששו בעיקר מווירוסים רועשים, היום הם חוששים מיריב שלא ממהר, לא מתבלבל, ולא משאיר הרבה רעש בדרך פנימה.

איך נראית מתקפה של Andariel?

דמיינו בוקר רגיל במשרד. תיבת המייל עמוסה, צוות ה-IT רץ בין משימות, מנהל המחלקה פותח מסמך שנשלח כביכול מספק מוכר. שום דבר לא נראה חריג. דווקא ברגעים כאלה, קבוצות כמו Andariel מחפשות את הסדק הקטן.

שיטות הפעולה שמיוחסות לקבוצה מגוונות, אבל הרעיון חוזר על עצמו: למצוא נקודת כניסה פשוטה יחסית, ואז לנוע פנימה לעומק המערכות.

פישינג שנראה אמיתי

אחת הטכניקות המרכזיות היא פישינג, אבל לא מהסוג השקוף והמביך של פעם. לא מדובר רק בהודעות עם עברית עילגת או בקשות מוזרות להעברת כסף. המיילים עשויים להיראות כאילו נשלחו מעמית לעבודה, מספק ותיק, או מגורם רשמי לחלוטין.

המטרה ברורה: לגרום למשתמש ללחוץ על קישור, להזין סיסמה, או להוריד קובץ שמתקין נוזקה. במקרים מתקדמים יותר, ההודעה מותאמת אישית על בסיס מידע שנאסף מראש, ולכן היא משכנעת הרבה יותר.

זה מה שהופך את השיטה ליעילה. היא לא תוקפת רק את הטכנולוגיה. היא תוקפת גם את תשומת הלב האנושית.

ניצול חולשות בתוכנות נפוצות

לצד פישינג, Andariel מחפשת גם חולשות אבטחה בתוכנות שארגונים משתמשים בהן כל יום. בטקסט המקורי הוזכרו בין היתר Microsoft Exchange ו-Adobe Acrobat, שתי דוגמאות למערכות מוכרות ונפוצות מאוד.

כאשר מתגלה חולשה כזו, היא יכולה להפוך לדלת אחורית. התוקף לא צריך לשכנע עובד לעשות טעות. מספיק שרת שלא תוקן בזמן, או יישום שלא עודכן, כדי לפתוח נתיב שקט לתוך הארגון.

מבחינת צוותי הגנה, זו בעיה אמיתית. ארגונים גדולים מנהלים לעתים מאות ואף אלפי מערכות, וכל אחת מהן היא יעד פוטנציאלי אם לא מטפלים בה בזמן.

כופר כאמצעי לחץ

במקרים מסוימים, Andariel נקשרת גם למתקפות כופר. כאן התסריט דרמטי במיוחד: קבצים קריטיים מוצפנים, מערכות משותקות, ועל המסך מופיעה דרישה לתשלום.

הנזק לא נגמר בכסף. גם אם סכום הכופר "רק" מאות אלפי דולרים, הפגיעה בפעילות העסקית, במוניטין, באמון הלקוחות וביכולת לחזור לשגרה עלולה להיות גדולה בהרבה.

חברת טכנולוגיה שננעלת מחוץ לקבצי הפיתוח שלה, או ארגון רפואי שמתקשה לגשת למערכות מידע, לא חווה רק תקלה. הוא חווה שיבוש עמוק בליבה התפעולית שלו.

כלי תקיפה מותאמים אישית

עוד נקודה שמקשה על המתגוננים היא השימוש בכלים מותאמים. במקום להישען רק על נוזקות "מהמדף", קבוצות מהסוג הזה מפתחות לעתים כלים ייעודיים, או לפחות משנות את טביעות האצבע שלהם כך שמערכות הגנה סטנדרטיות יתקשו לזהות אותן.

למה זה חשוב? כי מערכות אבטחה רבות נשענות על חתימות, דפוסים מוכרים והתנהגויות שראו בעבר. כשכלי התקיפה משתנה, רמת הוודאות של ההגנה יורדת.

תקיפות שרשרת אספקה

לא תמיד תוקפים את היעד הראשי ישירות. לפעמים הרבה יותר קל להיכנס דרך ספק, שותף עסקי, או גוף חיצוני שמחובר למערכות הארגון.

זו בדיוק הסיבה שתקיפות שרשרת אספקה הפכו לאחד האיומים המדוברים בסייבר. ספק קטן עם הגנה חלשה יותר עשוי להפוך לנתיב גישה אל חברה גדולה ומבוססת. מבחינת התוקף, זו דרך חכמה לעקוף את החומות הגבוהות ולהיכנס דרך שער צדדי.

המספרים שמבהירים את התמונה

לפי הנתונים שהוצגו בטקסט המקורי, בשנתיים האחרונות בלבד Andariel הצליחה לחדור ליותר מ-25 ארגונים שונים בארה"ב. זה נתון משמעותי, בעיקר כשמביאים בחשבון שלא כל אירוע נחשף לציבור, ולא כל ארגון ממהר לדווח.

גם הנזק הכספי מטריד. ההערכה היא שמדובר במיליוני דולרים בממוצע לכל אירוע, כאשר העלויות כוללות הרבה יותר מתשלום ישיר: חקירה, שיקום, עצירת פעילות, ייעוץ משפטי, רגולציה, ופגיעה במוניטין.

לצד זאת, מרכזי ניתוח איומי סייבר דיווחו לפי המקור על עלייה של כ-40% בהתקפות מצד קבוצות מתקדמות כמו Andariel במהלך השנה האחרונה. גם אם המספר המדויק משתנה בין דו"חות, המגמה ברורה: האיום לא נחלש. הוא מתרחב.

המשמעות פשוטה. ארגונים כבר לא יכולים להתייחס למתקפת סייבר כאירוע נדיר. עבור רבים, זו שאלה של מתי, לא של אם.

שלוש תקריות שממחישות את רמת האיום

הדרך הכי טובה להבין קבוצת תקיפה היא להסתכל על דפוסי הפגיעה שלה בשטח. בטקסט המקורי הובאו שלוש דוגמאות שמשרטטות היטב את רוחב היריעה.

2023: חדירה לחברת בריאות גדולה

במקרה הזה, Andariel הצליחה לפי הדיווח לחדור למערכות מידע של אחת מחברות הבריאות הגדולות בארה"ב. התוצאה הייתה גניבה של מידע רפואי אישי רגיש של מאות אלפי מטופלים.

כשמדברים על "מידע רפואי", צריך להבין את העומק: היסטוריה רפואית, פרטי ביטוח, ומידע אישי מזהה. זה חומר רגיש במיוחד, כזה שאי אפשר באמת "להחליף" כמו סיסמה שנחשפה.

מנקודת מבט ארגונית, זו אחת הסיטואציות הקשות ביותר. מעבר לעלויות השיקום, החברה נאלצת להתמודד עם פגיעה באמון, אחריות משפטית, ולעתים גם לחץ רגולטורי כבד.

2024: מתקפת כופר על חברת טכנולוגיה

במקרה אחר, הקבוצה שיגרה מתקפת כופר ממוקדת נגד חברת טכנולוגיה. קבצים קריטיים ששימשו לפיתוח מוצרים חדשים הוצפנו, והדרישה הכספית חצתה את רף 500 אלף הדולר.

זו לא רק מכה כספית. כשקבצי פיתוח ננעלים, קווי זמן נדחים, השקות נפגעות, לקוחות ממתינים, ומתחרים מקבלים יתרון. גם אם יש גיבויים, תהליך השחזור עצמו עלול לקחת זמן יקר.

במילים אחרות, מתקפת כופר מוצלחת יכולה להפוך בתוך שעות מאירוע טכני למשבר עסקי מלא.

2025: ניסיון חדירה לתשתית אנרגיה

האירוע השלישי כבר מעלה את רף הדאגה לרמה לאומית. לפי הטקסט, נחשף ניסיון של Andariel לחדור למערכות בקרה של תשתית אנרגיה חיונית בארה"ב.

הניסיון סוכל בזמן, וזה כמובן החלק המעודד. אבל עצם העובדה שמערכת כזו סומנה כמטרה מבהירה שהשאיפות של הקבוצה אינן מוגבלות רק לגניבת מידע או לסחיטה כספית.

ברגע שתוקף מתעניין במערכות בקרה תעשייתיות, התמונה משתנה. כאן כבר מדברים על פוטנציאל לפגיעה ברציפות תפקודית, בביטחון הציבור, ובמקרים קיצוניים גם בביטחון לאומי.

למה קשה כל כך לעצור קבוצות כאלה?

כי הן עובדות בכמה שכבות במקביל.

מצד אחד, הן מנצלות חולשות טכניות אמיתיות: שרתים לא מעודכנים, הרשאות מיותרות, ציוד ישן, מערכות ללא הפרדה מספקת. מצד שני, הן יודעות לנצל את הנקודה הכי רגישה בכל ארגון: בני אדם.

עובד עייף לוחץ על קישור. מנהל משתמש באותה סיסמה בכמה מערכות. ספק חיצוני מקבל גישה רחבה מדי. כל פרט כזה נראה קטן בפני עצמו, אבל יחד הם בונים מסלול תקיפה שלם.

בנוסף, קבוצות כמו Andariel לא תמיד ממהרות. הן עשויות לשהות בתוך המערכת זמן ממושך, ללמוד את הסביבה, לזהות שרתים חשובים, לאתר גיבויים, ורק אז לפעול. מבחינת צוותי אבטחה, זו משימה מורכבת: לזהות תנועה חריגה בתוך עומס עצום של פעילות לגיטימית.

מה ארגונים צריכים לעשות עכשיו?

התגובה הנכונה לאיום כזה לא מתחילה בפאניקה. היא מתחילה במשמעת.

קודם כול, עדכונים ותיקוני אבטחה. זה נשמע בסיסי, אבל שוב ושוב מתברר שזה אחד הפערים הקריטיים ביותר. כל מערכת שלא עודכנה בזמן היא הזמנה פתוחה כמעט לכל קבוצת תקיפה רצינית.

אחר כך מגיע הגורם האנושי. הדרכות עובדים כבר מזמן אינן "תוספת נחמדה". הן חלק מקו ההגנה הראשון. עובדים צריכים לזהות מייל חשוד, להבין למה לא פותחים קבצים לא צפויים, ולדעת למי מדווחים כשמשהו נראה לא תקין.

השלב הבא הוא נראות. ארגון שלא רואה מה קורה אצלו ברשת, פשוט לא יגלה בזמן תוקף מתוחכם. כאן נכנסות מערכות כמו SIEM ו-EDR, שמנטרות פעילות, מזהות חריגות, ומסייעות להגיב מהר יותר.

במילים פשוטות, SIEM מרכזת אירועים מיומנים ומערכות שונות כדי לזהות דפוסים חשודים, ו-EDR מתמקדת בזיהוי ותגובה על תחנות קצה כמו מחשבים ושרתים. עבור קוראים שאינם אנשי פיתוח, אפשר לחשוב על זה כמו מצלמות, חיישנים ומוקד אבטחה דיגיטלי שפועלים יחד.

גם בדיקות חוסן תקופתיות הן חובה. מבדקי חדירה חיצוניים מאפשרים לארגון לראות את עצמו דרך עיני התוקף. לעתים זו הדרך היחידה לחשוף נקודות תורפה שמנהלי המערכת כבר התרגלו אליהן.

עוד עיקרון חשוב הוא Zero Trust, או "אפס אמון". במקום להניח שכל מי שכבר בתוך הרשת הוא בסדר, בודקים כל משתמש, כל התקן, וכל בקשת גישה. הגישה הזו מקשה מאוד על תוקף לנוע בחופשיות גם אם כבר הצליח להיכנס.

וכמובן, חייבת להיות תוכנית תגובה. לא מסמך שנשמר בתיקייה נשכחת, אלא תהליך מעשי: מי מקבל החלטות, מי מנתק מערכות, מי מתקשר ללקוחות, מי עובד מול רגולטורים, ואיך משחזרים פעילות. בזמן אירוע, כל דקה קובעת.

לבסוף, יש גם ערך גדול לשיתוף מידע. כשארגונים בתעשייה מסוימת חולקים זה עם זה אינדיקציות תקיפה, דפוסי פעולה וכלי זיהוי, כולם משתפרים. בעולם שבו התוקפים לומדים מהר, גם המגינים חייבים ללמוד מהר.

טבלה מסכמת: עיקרי התמונה

נושא	עיקרי הדברים
זהות הקבוצה	Andariel היא קבוצת תקיפה מתוחכמת, שלפי הטקסט המקורי מזוהה בזיקה לאיראן ופועלת לפחות מתחילת שנות ה-2010.
מטרות עיקריות	ארגונים בארה"ב, כולל בריאות, טכנולוגיה ותשתיות, תוך מיקוד בגניבת מידע, ריגול תעשייתי, שיבוש פעילות ולעתים כופר.
שיטות תקיפה	פישינג ממוקד, ניצול חולשות בתוכנות כמו Exchange ו-Acrobat, כלי תקיפה מותאמים אישית, מתקפות כופר ותקיפות שרשרת אספקה.
היקף הפגיעה	לפי המקור, יותר מ-25 ארגונים בארה"ב נפגעו בשנתיים האחרונות, עם נזק של מיליוני דולרים בממוצע לכל אירוע.
מגמת האיום	דווח על עלייה של כ-40% בהתקפות מצד קבוצות מתקדמות דומות בשנה האחרונה, מה שמצביע על התעצמות האיום.
מקרים בולטים	2023: תקיפה על חברת בריאות וגניבת מידע רפואי; 2024: כופר נגד חברת טכנולוגיה; 2025: ניסיון חדירה לתשתית אנרגיה.
צעדי הגנה מרכזיים	עדכוני אבטחה, הדרכות עובדים, SIEM ו-EDR, מבדקי חדירה, Zero Trust, תוכנית תגובה לאירועים ושיתוף מידע בין ארגונים.

5 שאלות שכל ארגון וכל קורא צריכים לשאול את עצמם

• האם המערכות הקריטיות אצלנו מעודכנות באופן שוטף, או שיש שרתים ויישומים שנשארו מאחור?
• האם העובדים שלנו באמת יודעים לזהות פישינג ממוקד, או שאנחנו רק מניחים שהם יודעים?
• אם תוקף נכנס היום דרך ספק חיצוני או חשבון משתמש אחד, האם הוא יוכל לנוע בקלות בתוך הרשת?
• האם יש לנו יכולת גילוי בזמן אמת באמצעות SIEM, EDR וניטור רציף, או שנגלה אירוע רק אחרי שנגרם נזק?
• אם תתרחש מתקפת כופר מחר בבוקר, האם יש לנו תוכנית תגובה ושחזור שנבדקה בפועל, לא רק על הנייר?

השורה התחתונה

Andariel היא לא עוד שם ברשימת איומים. היא מייצגת סוג של יריב דיגיטלי שארגונים כבר לא יכולים להרשות לעצמם לזלזל בו.

הסכנה כאן כפולה. מצד אחד, יש יכולת טכנית מרשימה: חדירה דרך חולשות, פיתוח כלים מותאמים, ושימוש בכופר או בגניבת מידע. מצד שני, יש בחירת מטרות שממחישה שאיומי סייבר כבר מזמן לא נעצרים בשרת המשרד. הם יכולים לגעת בבריאות, בפיתוח טכנולוגי, ואפילו בתשתיות חיוניות.

לכן המסר המרכזי ברור: אבטחת מידע היא לא פרויקט חד-פעמי, ולא סעיף שמטפלים בו רק אחרי אירוע. היא תהליך מתמשך של תחזוקה, תרגול, בקרה, ושיפור.

מי שישקיע עכשיו בעדכונים, בהקשחת מערכות, בהדרכת עובדים וביכולות תגובה, יקטין משמעותית את הסיכון. מי שימשיך לדחות, עלול לגלות את המחיר בדרך הקשה.

ובעולם שבו קבוצות כמו Andariel ממשיכות להשתכלל, דחייה היא כבר לא נוחות תפעולית. היא הימור.