שבע דומיינים, שתי פלטפורמות התקיפה, אזהרה אסטרטגית אחת לצוותי ביטחון תשתיות קריטיות
ב-8 באוקטובר 2026, משרד הצדק של ארצות הברית וה-FBI הכריזו על השתלטות המחוזקת בידי בית-משפט על שבע דומיינים באינטרנט התומכים בשתי פלטפורמות התקיפה הקשורות לסין — המכונות MicroScan ו-FishHub — כפי שמתואר ב-BleepingComputer וב-מסמכי בית-משפט שסוכמו על ידי The Register. שתי הפלטפורמות מיוחסות לכאורה ל-Integrity Technology Group (Integrity Tech), חברה הנמצאת בסין עם קשרים מיוחסים לממשלת הסין; מכיוון שהייחוס הנוכחי מבוסס בעיקר על חשבון מקור יחיד של הגשות לבית-משפט ולא על הצהרות ציבוריות מאומתות באופן עצמאי, יש להתייחס אליו כאל טענה הממתינה לאישור נוסף. הפעולה, המדווחת על ידי Reuters, BleepingComputer, The Register, ITnews Australia, ו-NHK World, הזוקפה עם הודעה שהוציאו ה-FBI וסוכנויות שותפות מבריטניה, אוסטרליה, קנדה, יפן, ניו זילנד וספרד; מעורבות של CISA ו-NSA כסוכנויות מונפקות רשמיות לא אומתה באופן עצמאי על ידי מקורות הזמינים לפרסום זה. פירוט הדומיינים — דומיין MicroScan אחד, חמישה דומיינים משלוח של FishHub, ודומיין קשור ל-SoftEther VPN אחד — משקף את הארכיטקטורה הממולכדת והכפולה שגורמי איום משתמשים בה כדי לשמור על גישה ארוכת טווח. מקבץ הפעילות עובד באופן ציבורי בתור Flax Typhoon. כמה חוקרים דיווחו לכאורה על קישור פעילות זו לקבוצות שעובדות בתור Ethereal Panda ו-Red Juliett, אם כי הדבר לא אומת באופן עצמאי על ידי פרסום זה.
מה שמבחין בפעולה זו מפעולת אכיפת חוק טיפוסית הוא הרוחב והכוונה של הכיוונון. על פי הגשות לבית-משפט וההודעה המשותפת, היעדים המיוחסים כוללים חברת חשמל בדרום קרוליינה; שדות תעופה ביפן ובפולין; חברות גז טבעי וחשמל בטייוואן; וארגון NGO רב-לאומי, כפי שדווח על ידי The Register ואומת על ידי The Record. ביחס לאוניברסיטאות בטייוואן במיוחד, שני הכלים משקפים פעילות נבדלת: FishHub דווח כי היטה בערך 20 אוניברסיטאות בטייוואן, בעוד שפעילות MicroScan קושרה לשתי אוניברסיטאות בטייוואן, על פי דיווח משרד הצדק; שתי הנתונים לא צריכים להיות מחוברים לספירה אחת מאוחדת. אלו הן טענות הנשלפות ממסמכי בית-משפט וטענות הודעות, ולא ממצאים שנשפטו באופן עצמאי. ההודעה המשותפת מזהה בנוסף גופים ממשלתיים, ייצור קריטי, בריאות, אכיפת חוק, טכנולוגיית מידע, חינוך וארגונים דתיים כמגזרים בהיקף. זה אינו קמפיין ריגול צר להנמקה; נראה שמדובר בניסיון שיטתי להשיג נוכחות על פני טופולוגיה רחבה של ארגונים, שברובם משותף מאפיין אחד — הם מפעילים או תלויים בטכנולוגיה שאם תופרעה, מייצרת השלכות פיזיות או חברתיות. לצוותי GSOC התומכים בפעולות אנרגיה, תעופה, ייצור או טלקומוניקציה, רשימת הכיווונון היא פחות סקרנות ויותר אזהרה ברמת המגזר.
השיטות הטכניות המתועדות בהודעה ראויות להבנה במונחים תפעוליים, לא רק ככשימור IT. גורמים השתמשו בסריקת פגיעויות אוטומטית דרך MicroScan, דיוג, תשתיות VPN, מכשירים מחובים לאינטרנט שנפגעו שורוצו לבוטנטים, וטכניקות living-off-the-land — כלומר, השימוש בכלים מערכתיים לגיטימיים כדי להתנוע לרוחב באופן שפעילות מתערבבת עם תנועה מנהלית רגילה. שילוב זה קשה במיוחד לגילוי בתרחישי חדירה לרשת OT, שבהם מערכות מדור קדום עלולות להיות חסרות דיוק רישום הזמין בסביבות IT של החברה. משמעותי, פקידי ארה"ב העריכו שגורמים מקושרים לסין במקרים מסוימים מיצבו את עצמם בתוך רשתות תשתיות קריטיות בדרכים שיכולות לאפשר הפרעה עתידית, גם כאשר לא התרחשה עדיין פעולה מפרעת. ההודעה לא טוענת שכל סביבה שנפגעה הוכנסה למצב הקדם לשבתות, אך ההבחנה בין גישה פסיבית ליכולת מצופה קדימה היא שאלה שמפעילים בודדים עדיין לא יכולים לענות עליה מבחוץ. למנהלי ביטחון תאגידיים, עמימות זו היא עצמה הסיכון: היעדר תקרית גלויה לא מאשר את היעדר בעיה.
ממד סיכון סייבר באסיה-פסיפיק רלוונטי במיוחד לארגונים בעלי טביעות רגל תפעוליות, תלות שרשרת אספקה, או זרימות נתונים הנוגעות לטייוואן, יפן או האזור הרחב. חברות חשמל וגז טבעי בטייוואן מופיעות בין היעדים המיוחסים, וההודעה הממשלתית הרב-תאומה משקפת הערכה מתואמת — לא טענה חד-צדדית של ארה"ב — שפעילות זו מתמשכת ומפוזרת גיאוגרפית. ארגונים התומכים בתוכניות ה-duty-of-care של NGO או המפעילים לוגיסטיקה הומניטרית באזור צריכים גם לשים לב שארגון NGO רב-לאומי זוהה כיעד מיוחס, עקבי עם דפוס שבו גופי ללא מטרות רווח וחברה אזרחית יחשבו כהזדמנויות איסוף מודיעין ולא כצדדים נייטרליים. צוותי GSOC המנהלים חשיפה בסיפור איסיה-פסיפיק צריכים להתייחס להתנהגות מכשיר קצה שלא הוסברה, דפוסי אימות VPN חריגים והגשת גישה לא מורשה לקבצים הנדסיים או תפעוליים כאל מחוונים הקוראים לערכת הערכה של תוצאה פיזית, ולא רק הסלמה של IT. בנפרד, על פי הודעה משותפת של FBI ו-Secret Service מ-6 באוקטובר 2026, קמפיין FortiBleed ניצל פגיעות Fortinet המשפיעה על דיווח 86,644 מכשירים ברחבי 194 מדינות, כפי שפורט על ידי Security Affairs. זה מעיד כי התקופה הנוכחית מייצגת לחץ מוגבר ובו-זמנית על פני תשתיות היקף. צוותים המשתמשים במוצרי Fortinet או דומים צריכים להפנות הפנייה הצולבת להודעה זו כאל אות סיכון בו-זמנית.
התמונה הממודיעינית הרחבה יותר מצביעה על מצב מבני, לא על אירוע יחיד. השתלטויות דומיין משמעותיות ייחוסים ציבוריים הם אותות חשובים, אך הם אינם מסירים גישה קדומה מקדימה מרשתות שכבר נפגעו לפני התפילה. ארגונים המפעילים תשתיות קריטיות במדינות הנקובות בהודעה — או מחוברים לרשתות אלו דרך יחסי ספקי או פלטפורמות משותפות — צריכים לסקור באופן פעיל רישומים מחודשים שקדמו ל-8 באוקטובר, ולא רק לעקוב אחר חדירות חדשות. לנושאי ביטחון שמופקדים בתקשורת סיכון להנהלה גבוהה, ההקשר הרלוונטי הוא המשכיות: אילו פונקציות, כולל פעולות פיזיות, היו מושפעות אם גישה שנמצאת כרגע בלתי גלויה הייתה מופעלת? פלטפורמות גיאו-אינטליגנציה וOSINT המצטברות נתוני תשתיות גורמי איום, הודעות הנושא של ממשלה, ומחוונים קוד-פתוח סמוכים לרשת יכולות לעזור לאנליסטי GSOC לתאמת אזהרות נגד טביעת הרגל הנכסים הספציפיים שלהם לפני שהודעה הופכת להיות תקרית.
מקורות
[Reuters