דוא״ל מאומת עדיין יכול להיות פישינג: כך פועלות מתקפות ההסוואה החדשות

אימות טכני של הודעת דוא״ל אינו אומר בהכרח שהתוכן שלה בטוח. מבחן ההשוואה VBSpam של Virus Bulletin לרבעון השלישי של 2026, כפי שדווח, מתאר קמפייני פישינג שחיברו בין תשתיות שליחה שנראות לגיטימיות לבין הסוואת כתובות URL רב-שלבית ומודעת-דפדפן. כך, ההתנהגות הזדונית מופיעה רק אחרי הלחיצה — ולא בהכרח בבדיקת השולח או הקישור הראשוני. המבחן נמשך 16 ימים, נערך לפי תוכנית בדיקה של AMTSO, ובחן 103,969 הודעות, מהן 103,380 הודעות ספאם. 13

אימות תקין אינו אישור בטיחות

SPF, DKIM ו-DMARC בודקים היבטים במסלול השליחה של ההודעה ובהתאמת הדומיין. הם אינם קובעים שהתוכן אינו זדוני, שכל קישור בטוח או שדף הנחיתה שאליו מגיעים לאחר כמה הפניות הוא אמיתי.

לפי הדיווחים על המבחן, התוקפים ניצלו תשתיות מאומתות או כאלה שנראות אמינות, ודחו את הפעולה המזיקה לשלב הגלישה. האתר יכול לבחון את הדפדפן, אזור הזמן, המיקום או העיתוי לפני שהוא מציג יעד מסוים. 35

שלושה דפוסי פישינג שעלו בדיווח

1. דרישת תשלום באיחור שנשלחה דרך Amazon SES

קמפיין בגרמנית השתמש בנושא של תשלום בפיגור ונשלח דרך Amazon SES מדומיין התואם ל-DKIM. במקום קובץ מצורף, הודעת ה-HTML כללה, לפי הדיווח, רכיבי פיתיון, טקסט מוסתר, iframe בגודל אפס ו-JavaScript שעבר ערפול. 35

הקישור הפעיל מסלול שבחן את המבקר: הוא אסף טביעת אצבע של הדפדפן ומידע על אזור הזמן, שלח בקשת POST מוסתרת, והפנה מבקרים שעמדו בתנאים אל OpenSea. הרצף תואר ככזה העולה בקנה אחד עם הונאת קריפטו או NFT מוסווית, וקשה יותר לזיהוי בבדיקה פשוטה של ההודעה או של כתובת הקישור הראשונית. 35

2. חידושי מנוי מזויפים של McAfee ו-TotalAV

קמפיין בהולנדית התחזה ל-McAfee ול-TotalAV, הזהיר מפני „631 וירוסים מסוכנים” והציע חידוש מנוי בהנחה. הפיתיון נשען על הנדסה חברתית ב-HTML בלבד, ללא קובץ זדוני מצורף. 35

המאפיין החמקני המרכזי היה מסירה מותנית: היעד עשוי להשתנות לפי זמן, מיקום או פרופיל הנמען. לכן סורק אוטומטי עלול לקבל דף בלתי מזיק, שגיאה או מסלול הפניות שונה מזה שמוצג לקורבן המיועד. המטרה המדווחת הייתה הונאת מנויים. 35

3. התחזות ל-BCR S.A. סביב הסכמת PSD2

בהודעת פישינג ברומנית התחזו התוקפים ל-BCR S.A. וטענו שיש לחדש הסכמה ל-PSD2 — מסגרת אירופית לשירותי תשלום. לפי הדיווח, יעד הקישור הוסתר באמצעות כתובת IPv6 ממופה, שיטה העלולה להקשות על ניתוח כתובות URL ועל פעולת סורקים. 3

המסר שלפיו נדרש חידוש חובה של אישור בנקאי יוצר לחץ לפעול במהירות בתוך תהליך פיננסי מוכר, ולכן מתאים לניסיונות גניבת פרטי גישה. 3

למה סריקה סטטית כבר אינה מספיקה

הדוגמאות מצביעות על שינוי במיקום של לוגיקת הפישינג. ההודעה הראשונית יכולה להגיע משולח שעבר אימות, והקישור עשוי שלא לחשוף מיד את מטרתו. ההכרעה מתרחשת בהמשך, בדפדפן:

• HTML ו-JavaScript מסתירים את המבנה הראשוני של ההודעה.
• שרשראות הפניה מפרידות בין הכתובת שנמסרה לנמען לבין היעד הסופי.
• בדיקות של דפדפן, אזור זמן, מיקום ועיתוי עשויות להבחין בין קורבן פוטנציאלי למערכת אוטומטית.
• תגובות מותנות יכולות להרחיק את התוכן המזיק ביותר מארגזי חול ומבדיקות מוניטין בסיסיות. 35

המסקנה אינה שיש לוותר על אימות דוא״ל. להפך: SPF, DKIM ו-DMARC הם רכיבים חשובים בהיגיינת אבטחה — אך הם צריכים להיות אות אחד מתוך הערכה רחבה יותר של תוכן ההודעה, מוניטין השולח, התנהגות הקישור והסיכון ביעד הסופי. 35

מה כדאי לצוותי אבטחה לבדוק

גישה חזקה יותר לאבטחת דוא״ל צריכה לבחון את כל המסלול, ולא רק את הסימן הראשון:

1. לנרמל כתובות URL מעורפלות. לפענח ולאחד צורות כתובת חריגות לפני בדיקות מוניטין או אכיפת מדיניות.
2. לעקוב אחר שרשרת ההפניות המלאה. לבדוק כל תחנה בדרך ואת דף הנחיתה הסופי, לא רק את הקישור המקורי.
3. לנתח התנהגות בדפדפן. לזהות הפניות מותנות, טביעת אצבע של הדפדפן, בקשות מוסתרות ופעולות שמופיעות רק לאחר הרצת הדף.
4. להציב אימות בהקשר הנכון. SPF, DKIM ו-DMARC יכולים לתמוך בהחלטת אמון, אך אינם אמורים לגבור על סימנים לתוכן זדוני או ליעד מסוכן.
5. למדוד גם חיוביים שגויים. מוצר שחוסם איומים אך משבש דואר לגיטימי מייצר סיכון תפעולי מסוג אחר. 35

פער גדול בין תוצאות המוצרים שנבדקו

לפי התוצאות המשוקללות שדווחו, המוצרים המובילים השיגו שיעורי זיהוי כלליים גבוהים מאוד, אך הביצועים לא היו אחידים. Net at Work NoSpamProxy קיבל ציון סופי של 99.995 וללא חיוביים שגויים; Bitdefender GravityZone Premium קיבל 99.994; ו-SEPPmail.cloudfilter קיבל 99.985. ל-Rspamd דווח ציון של 62.5%. 35

אלה תוצאות של מבחן השוואתי מסוים, ולא הבטחה גורפת לביצועי מוצר בסביבת ארגון כלשהי. ובכל זאת, הפער מחזק את הלקח המעשי: טיפול בשולחים מאומתים, בכתובות URL מוסוות ובזרימות דפדפן מותנות דורש בדיקה רב-שכבתית, ולא הסתמכות על מנגנון יחיד. 135

השורה התחתונה

הדיווח על VBSpam ברבעון השלישי של 2026 מתאר מודל פישינג המבוסס על יתרון פשוט לתוקפים: אפשר לגרום להודעה להיראות תקינה בעת המסירה, ואז לחשוף את ההונאה רק כשהדפדפן של הנמען עומד בתנאים שנבחרו. אימות השולח נותר חיוני — אבל החלטת האבטחה צריכה להימשך לאורך כל שרשרת ההפניות ועד לחוויית הגלישה בדף הסופי. 35