ההתראה העדכנית להתקפות Click Fix בדגש על אתרי wordpress: לא להעתיק, לא להדביק, לא להריץ והעיקר לדווח.

מערך הסייבר הלאומי פרסם התרעה מפני מתקפות ClickFix, שבהן גולשים נחשפים להודעת תקלה, לבדיקת CAPTCHA מזויפת או לבקשת אימות, ומתבקשים לבצע סדרת פעולות שנראית לכאורה כמו פתרון טכני.

בין היתר, המשתמש עלול להתבקש להעתיק קוד, לפתוח את חלון Run באמצעות Windows + R, להדביק את התוכן וללחוץ Enter.

אין לבצע פעולות אלה.

לפי הודעת מערך הסייבר, לאחרונה דווח על אתרים שנפרצו, ובהם גם אתרי WordPress, אשר משמשים להפעלת מתווה ClickFix באתר.

המשמעות היא שלא תמיד מדובר באתר מתחזה או בדומיין חשוד. במקרים מסוימים, אתר מוכר ולגיטימי למראה עלול להציג לגולשים הוראות זדוניות לאחר שהושתל בו קוד תוקף.

המסר החשוב ביותר לעובדים הוא פשוט:
אתר אינטרנט, CAPTCHA או מסמך לגיטימי אינם אמורים לבקש מהמשתמש לפתוח כלי מערכת ולהריץ פקודה.

המסר החשוב ביותר למנהלי IT, מנהל אבטחת מידע וCISO הוא פשוט:
אתרי אינטרנט הם נכס הדורש תחזוקה, טיפול ועדכון וכאשר מדובר על אתרים המבוססים על "קוד פתוח" ותוספים, חשוב מאוד להקפיד על אבטחת מידע באתר וורדפרס.

מהי מתקפת ClickFix?

ClickFix היא שיטת הנדסה חברתית שמטרתה לגרום למשתמש להריץ בעצמו קוד זדוני.

במקום להסתמך רק על קובץ מצורף, תוכנה זדונית להורדה או ניצול אוטומטי של חולשה, התוקף מציג בעיה לכאורה ולאחר מכן מציע “תיקון” מהיר.

המשתמש עשוי לראות:

• הודעת CAPTCHA.
• בקשת אימות אנושי.
• שגיאה בדפדפן.
• מסמך שלא ניתן לפתוח.
• הודעה שלפיה חסר רכיב במחשב.
• דרישה לבצע עדכון.
• כפתור שמציג לכאורה פתרון לבעיה.

אלא שבמקום לתקן תקלה, ההוראות מובילות את המשתמש להעתיק תוכן ללוח, לפתוח את Run, את PowerShell או את Terminal, ולהדביק פקודה שאותה אינו בהכרח רואה או מבין.

ברגע שהפקודה מופעלת, עלולה להתבצע הורדה והרצה של נוזקה, גניבת מידע או פתיחת גישה מרחוק למחשב.

למה ClickFix מצליחה?

האפקטיביות של ClickFix נובעת מכך שהיא אינה נראית בהכרח כמו מתקפה קלאסית.

1. היא מציגה מצב מוכר

משתמשים רגילים להיתקל בתקלות, בהודעות שגיאה ובבקשות אימות. התוקף מנצל את ההיכרות הזאת כדי ליצור תחושה שמדובר בתהליך לגיטימי.

2. היא מציעה פתרון מיידי

המשתמש רוצה להמשיך לעבוד, לפתוח מסמך או לצפות באתר. כאשר מוצג לו פתרון קצר וברור, הוא עלול לפעול במהירות בלי לעצור ולבחון את ההוראות.

3. היא גורמת למשתמש לבצע את שלב ההרצה

במקום שהנוזקה תפעל באופן אוטומטי, המשתמש עצמו פותח כלי מערכת, מדביק תוכן ולוחץ Enter. הפעולה הידנית יוצרת תחושת שליטה, אף שבפועל המשתמש מבצע את שלב התקיפה עבור התוקף.

4. היא משתמשת בכלים לגיטימיים

PowerShell, Windows Run ו־Terminal הם כלים חוקיים של מערכת ההפעלה. ארגונים משתמשים בהם לצורכי ניהול, תמיכה ואוטומציה. ClickFix מנצלת את הכלים האלה כדי לבצע פעולה זדונית בלי להציג בהכרח קובץ חשוד וברור.

5. היא יכולה להופיע באתר אמיתי

כאשר אתר לגיטימי נפרץ, כתובת האתר, העיצוב והתוכן עשויים להיראות מוכרים לחלוטין. לכן בדיקת שם הדומיין לבדה אינה תמיד מספיקה.

איך מתבצעת מתקפת ClickFix?

שרשרת התקיפה יכולה להתחיל בקישור בהודעת פישינג, בתוצאת חיפוש, בפרסומת זדונית, במסמך או באתר שנפרץ.

לאחר הכניסה לעמוד, המשתמש רואה הודעת תקלה או בדיקת אימות. הוא מתבקש ללחוץ על כפתור, להעתיק תוכן ולפתוח כלי מערכת.

במקרים רבים השלבים נראים כך:

1. המשתמש מגיע לעמוד זדוני או לאתר שנפרץ.
2. מוצגת הודעת שגיאה, CAPTCHA או בקשת אימות.
3. בלחיצה על כפתור מועתק תוכן ללוח.
4. המשתמש מתבקש לפתוח Run, PowerShell או Terminal.
5. התוכן מודבק ומורץ.
6. המחשב מוריד או מפעיל נוזקה.
7. התוקף עשוי לגנוב מידע או להמשיך למערכות נוספות.

הנוזקה הסופית יכולה לשמש לגניבת:

• סיסמאות שנשמרו בדפדפן.
• Cookies ו־Sessions פעילים.
• קבצים מקומיים.
• מידע עסקי.
• פרטי גישה למערכות ענן.
• פרטי התחברות לדואר.
• מידע פיננסי או אישי.

כאשר מדובר במחשב ארגוני, הנזק עלול להתרחב מעבר לעמדת הקצה ולאפשר גישה למערכות, לתיבות דואר ולשירותים נוספים.

מה הקשר של מתקפת ClickFix לאתרי WordPress?

חשוב להדגיש:
ClickFix אינה מתקפה המוגבלת ל-WordPress, ואתרי WordPress אינה הסיבה היחידה להופעתה.

עם זאת, מערך הסייבר מציין בהתרעה אתרי WordPress שנפרצו ושימשו להצגת הודעות ClickFix לגולשים מתוך האתרים עצמם.

WordPress היא פלטפורמת ניהול תוכן נפוצה מאוד, ולעיתים אתרים המבוססים עליה כוללים מספר רב של תוספים, תבניות, חשבונות ניהול וספקי תחזוקה.

כאשר רכיב אינו מעודכן, כאשר נעשה שימוש בתוסף פגיע או כאשר פרטי גישה נגנבים, תוקף עלול להשתיל באתר קוד שמציג את הודעת ClickFix.

מנקודת המבט של הגולש, זהו תרחיש מסוכן במיוחד:
הוא הגיע לאתר אמיתי, ייתכן דרך מנוע חיפוש או קישור מוכר, ולכן רמת החשד שלו נמוכה יותר.

מנקודת המבט של בעל האתר, מדובר באירוע אבטחה המחייב בדיקה:
לא רק האם האתר ממשיך לפעול, אלא האם הושתל בו קוד, האם נוספו חשבונות, האם בוצעו שינויים בתוספים והאם מבקרים נחשפו לתוכן זדוני.
חשוב להקפיד על אבטחת מידע באתרי וורדפרס, יצירת גיבויים, הקפדה על ניהול משתמשים והרשאות, עדכון תוספים וגרסאות ועוד.

8 סימני האזהרה שכל עובד צריך להכיר הקשורים למתקפת ClickFix

יש להתייחס כאל חשד מיידי לכל אתר, CAPTCHA או מסמך שמבקש:

1. לפתוח Windows + R.
2. לפתוח PowerShell או Command Prompt.
3. לפתוח Terminal.
4. להעתיק ולהדביק פקודת מערכת.
5. להריץ קוד לצורך אימות אנושי.
6. להתקין “תיקון” דרך הודעה בדפדפן.
7. לבטל או לעקוף מנגנון אבטחה.
8. לבצע פעולה טכנית שאינה מגיעה מצוות ה־IT.

העובד אינו צריך לדעת לנתח את הפקודה. עליו להכיר כלל התנהגותי פשוט:

אתר אינטרנט לגיטימי אינו דורש הרצת פקודת מערכת כדי להציג תוכן, לפתוח מסמך או להשלים CAPTCHA.

מה לעשות במקרה שנתקלים בהודעה חשודה?

אם הקוד עדיין לא הורץ

• אין להעתיק או להדביק דבר.
• אין לפתוח Run, PowerShell או Terminal.
• יש לסגור את העמוד.
• מומלץ לצלם את ההודעה ולתעד את כתובת האתר.
• יש לדווח לצוות ה־IT או אבטחת המידע.
• כאשר מדובר באתר מוכר, מומלץ לעדכן גם את בעל האתר.

אם הקוד כבר הורץ

• יש לנתק את המחשב מהרשת בהתאם לנוהל הארגוני.
• יש לדווח מיד לצוות אבטחת המידע.
• אין להמשיך להשתמש בתחנה.
• אין לנסות למחוק קבצים או לבצע “ניקוי” עצמאי.
• יש להעביר את התחנה לבדיקה מקצועית.
• יש לבחון איפוס סיסמאות וביטול Sessions פעילים.
• יש לבדוק לאילו מערכות היה למשתמש חיבור פעיל.

גם כאשר לא הופיעה הודעת שגיאה ולא נראה שינוי במחשב, אין להניח שלא קרה דבר. פעולות זדוניות רבות מתבצעות ברקע.

מה ארגונים צריכים לעשות בעקבות ההתראה?

1. לפרסם התראה ממוקדת לעובדים

אין צורך בהסבר טכני ארוך. המסר צריך להיות ברור:

אין לפתוח Run, PowerShell או Terminal ולהדביק פקודה לפי הוראה שמופיעה באתר.

רצוי להשתמש בהמחשה חזותית ולהראות לעובדים כיצד נראית הודעת CAPTCHA או תקלה מזויפת.

2. לעדכן את תוכנית המודעות

תרגולי פישינג מתמקדים לעיתים בשאלה האם ללחוץ על קישור. ClickFix מוכיחה שהסיכון ממשיך גם לאחר הלחיצה.

הדרכה אפקטיבית צריכה לעסוק גם בשאלות:

• מה האתר מבקש מהמשתמש לעשות?
• האם הפעולה מתאימה להקשר?
• האם אתר אמור להפעיל כלי מערכת?
• כיצד מדווחים כאשר משהו נראה חריג?

יש להדגיש שגם אתר מוכר יכול להיפרץ, ולכן מוניטין הדומיין אינו תחליף לבחינת ההתנהגות של העמוד.

3. לחזק את הניטור בתחנות הקצה

ארגונים צריכים לבחון האם הם מסוגלים לזהות הפעלה חריגה של PowerShell, Terminal או כלי Script, במיוחד כאשר היא מתרחשת בסמוך לגלישה בדפדפן.

פתרונות EDR, ניטור התנהגותי, הגבלת הרשאות והתראות על שרשראות פעולה חריגות יכולים לצמצם את הסיכון.

4. לבדוק הרשאות משתמשים

יש לבחון מי באמת זקוק להפעלת כלי שורת פקודה וסקריפטים.

לא בכל ארגון נכון לבצע חסימה גורפת, אך יש ליישם עקרון הרשאה מינימלית, לצמצם יכולות שאינן נדרשות ולנטר שימוש חריג.

5. לעדכן את מוקד התמיכה

עובד שנתקל ב-ClickFix עשוי לומר ש“האתר ביקש תיקון” או ש“ה-CAPTCHA לא עבד”. אנשי התמיכה צריכים לזהות את התיאור ולהפעיל נוהל תגובה מתאים.

חשוב גם ליצור תרבות דיווח שאינה מאשימה את המשתמש.

ככל שהדיווח מהיר יותר, כך גדל הסיכוי לבודד את התחנה לפני שהנזק מתרחב.

6. לבחון אתרי WordPress שבאחריות הארגון

ארגונים המפעילים אתרי WordPress צריכים לוודא:

• שליבת המערכת מעודכנת.
• שהתוספים והתבניות מעודכנים.
• שאין רכיבים שאינם בשימוש.
• שכל חשבונות המנהל מוכרים.
• שמופעל אימות רב־שלבי.
• שקיימים ניטור שינויים וגיבויים תקינים.
• שספק התחזוקה מחויב לעדכן על אירועים.
• שהאתר נבדק גם ממכשירים ודפדפנים שונים.

עדכון תוסף אינו מספיק כאשר האתר כבר נפרץ.
במקרה כזה נדרשת חקירה של קובצי האתר, חשבונות הניהול, סביבת האחסון והשינויים שבוצעו.

עוד על אבטחת אתרי וורדפרס

ClickFix, חוק הגנת הפרטיות ותיקון 13

ClickFix היא מתקפת סייבר, אך היא עלולה להפוך גם לאירוע פרטיות.

אם הנוזקה גונבת מידע מהדפדפן, מהדואר, מקבצים או ממערכות עסקיות, ייתכן שנחשף מידע אישי על לקוחות, עובדים, ספקים או משתמשים.

אם אתר WordPress שנפרץ כולל טפסים, חשבונות משתמשים, פרטי פניות או מידע על לקוחות, ייתכן שגם המידע הנשמר באתר עצמו נחשף.

בהתאם לחוק הגנת הפרטיות, לתקנות הגנת הפרטיות ולתיקון 13, הארגון נדרש לבחון:

• איזה מידע אישי היה נגיש.
• האם מדובר במידע בעל רגישות מיוחדת.
• כמה אנשים עלולים להיות מושפעים.
• האם נגנבו פרטי הזדהות או Sessions.
• האם קיימת חובת דיווח.
• כיצד יש לתעד את הטיפול ואת ההחלטות.

הבדיקה אינה צריכה להתבצע רק על ידי צוותי IT ואבטחת מידע.
כאשר קיים חשש לחשיפת מידע אישי, יש לשלב גם את הגורמים המשפטיים, ממונה הגנת הפרטיות וההנהלה.

תפקיד ה-DPO באירוע מסוג ClickFix

ממונה הגנת הפרטיות, DPO, אינו מבצע את החקירה הטכנולוגית, אך עליו להשתלב בתהליך כאשר קיים חשש שמידע אישי נחשף.

בין היתר, ה-DPO צריך לסייע ב:

• זיהוי סוגי המידע שעלולים להיות מושפעים.
• בחינת ההשלכות על נושאי המידע.
• הערכת חובות דיווח.
• תיעוד ההחלטות ושיקול הדעת.
• בחינת מעורבותם של ספקים.
• שילוב הלקחים בתהליכים ובנהלים.

ClickFix ממחישה מדוע DPO ולא רק ה-CISO צריך להיות חלק ממנגנון התגובה לאירועים ולא גורם שמקבל עדכון רק לאחר סיום החקירה.

הקשר ל-ISO/IEC 27001

תקן ISO/IEC 27001 מספק רגולציה ניהולית להתמודדות עם איומים כמו ClickFix באמצעות שילוב של אנשים, תהליכים וטכנולוגיה.

התקן רלוונטי במיוחד לנושאים הבאים:

• הערכת סיכונים.
• הדרכת עובדים.
• ניהול הרשאות.
• אבטחת תחנות קצה.
• ניהול חולשות ועדכונים.
• ניהול ספקים.
• ניטור ורישום.
• תגובה לאירועים.
• הפקת לקחים ושיפור מתמשך.

ארגון שמנהל אבטחת מידע בהתאם לגישה מבוססת סיכון אינו מסתפק בהפצת התראה חד־פעמית. הוא בודק האם האיום נכלל בתרחישי הסיכון, האם העובדים יודעים לדווח, האם הבקרות מסוגלות לזהות את האירוע והאם תהליך התגובה עובד בזמן אמת.

הקשר ל־ISO/IEC 27001 ול־ISO/IEC 27701

מתקפת ClickFix ממחישה את הצורך בחיבור בין ניהול אבטחת מידע לבין ניהול הגנת הפרטיות. ISO/IEC 27001 מספק מסגרת לניהול סיכוני סייבר, מודעות עובדים, הרשאות, ניטור ותגובה לאירועים. כאשר האירוע עלול לערב מידע אישי, ISO 27701 מוסיף את שכבת ניהול הפרטיות:
מיפוי מידע אישי, הגדרת אחריות, מעורבות ה־DPO, ניהול ספקים, הערכת ההשפעה על נושאי המידע ותיעוד ההחלטות.

בהקשר של חוק הגנת הפרטיות ותיקון 13, השילוב בין שני התקנים מסייע לארגון לנהל הן את האירוע הטכנולוגי והן את השלכות הפרטיות והציות שלו.

הגורם האנושי אינו החוליה החלשה – הוא שכבת הגנה

קל לתאר ClickFix כטעות של משתמש. בפועל, התוקפים בונים תרחיש שמטרתו להיראות אמין: הם מציגים תקלה, יוצרים תחושת דחיפות ומציעים פתרון קצר.

לכן המענה אינו להאשים את העובד, אלא לתת לו כלים, הדרכה וכלל ברור ולבנות סביבו שכבות הגנה.

עובד שמזהה את ההודעה ומדווח יכול לעצור את התקיפה. עובד שכבר ביצע את הפעולה אך מדווח מיד יכול לאפשר לארגון לבודד את התחנה, לבטל חיבורים ולצמצם את הנזק.

הדרכה, ניטור טכנולוגי ונוהל תגובה הם חלקים של אותו מנגנון הגנה.

כאשר הגורם האנושי הוא יעד התקיפה ומהייוה את החולייה החלשה של שרשרת אבטחת המידע – הדרכות מודעות עובדים לאבטחת מידע הוא כלי בסיסי לשיפור החוסן ויצירת סביבה בטוחה יותר בארגון.

איך אינפוגארד מסייעת לארגונים?

אינפוגארד מסייעת לארגונים לתרגם התרעות סייבר לפעולות ישימות, תוך חיבור בין מודעות עובדים, ניהול סיכונים, פרטיות ותגובה לאירועים.

הליווי יכול לכלול:

• הדרכות מודעות עובדים.
• סימולציות פישינג והנדסה חברתית.
• סקרי סיכונים וסקרי פערים.
• סקירת נוהלי Incident Response.
• תרגילי הנהלה ותרגילי שולחן.
• בחינת הרשאות והקשחת תהליכים.
• ליווי בהתאם לחוק הגנת הפרטיות ולתיקון 13.
• שירותי DPO.
• ליווי ליישום ISO/IEC 27001.

ClickFix ממחישה כי טכנולוגיה לבדה אינה מספיקה, אך גם הדרכה לבדה אינה מספיקה. ההגנה האפקטיבית נוצרת כאשר העובדים יודעים לזהות ולדווח, המערכות מנוטרות והארגון מסוגל להגיב במהירות.

רוצים ליצור סביבה בטוחה יותר השומרת על הארגון?

דברו איתנו על הגברת החוסן הארגוני בעזרת הקשחת אבטחת מידע באתרים והדרכות מודעות עובדים לאבטחת מידע והגנת הפרטיות ליצירת סביבה ארגונית בטוחה יותר.

צרו קשר עם מומחי אבטחת המידע שלנו

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו בא להחליף ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).