VBSpam Q3 2026: הפישינג עובר מהדוא״ל אל הדפדפן

פישינג כבר לא זקוק לקובץ מצורף זדוני או לשולח שנראה חשוד בעליל כדי לגרום נזק. המבחן ההשוואתי VBSpam של Virus Bulletin לרבעון השלישי של 2026 הדגיש קמפיינים שהשתמשו בתשתיות משלוח שנראות לגיטימיות ובהודעות HTML תמימות לכאורה — ואז העבירו את שלב ההונאה המכריע לשרשראות הפניה ולקוד שפועל בדפדפן. מוצרי האבטחה הארגוניים המובילים הציגו ביצועים חזקים, אך המבחן ממחיש מדוע שער דוא״ל אינו יכול להיות שכבת ההגנה היחידה מפני פישינג. 2021

הממצא המרכזי: הדוא״ל הוא רק השלב הראשון

המבחן הציבורי נמשך 16 ימים ובחן 11 מוצרי אבטחת דוא״ל מול 103,969 הודעות, מהן 103,380 הודעות ספאם. לפי הדיווחים על המבחן, שערים ארגוניים מובילים הגיעו לשיעורי זיהוי פישינג הקרובים ל־100%. ‏Net at Work NoSpamProxy דורג כמוביל, עם ציון סופי של 99.995, זיהוי של 100% מנוזקות, זיהוי פישינג של 99.990% וללא חיוביים שגויים. 2021

אין פירוש הדבר שסינון ארגוני הפסיק לעבוד — להפך. הוא מצביע על כך שתוקפים מתאימים את שיטות ההפצה שלהם. במקום להכניס את הרכיב הזדוני הברור ביותר ישירות לתוך ההודעה, אפשר לשלוח מייל ללא קובץ מצורף, דרך נתיב שנראה אמין, ובו קישור שמשנה את התנהגותו רק לאחר שהנמען לוחץ.

VBSpam היא תוכנית השוואה המיועדת למוצרי אבטחת דוא״ל עסקיים. היא מודדת הגנה מפני ספאם, פישינג ונוזקות, ובוחנת גם חיוביים שגויים — כלומר, הודעות לגיטימיות שנחסמו בטעות. הבדיקות נועדו להעריך איומים עדכניים וחיים בדוא״ל, ולא מאגר סטטי של דוגמאות ישנות. 61213

שלושה קמפיינים שממחישים את המעבר

פיתיון גרמני של דרישת תשלום דרך Amazon SES

קמפיין בגרמנית שהתחזה ל־„Mahnschreiben” — מכתב התראה על חוב או תשלום בפיגור — השתמש לפי הדיווח ב־Amazon SES ובדומיין moolaah[.]com עם התאמת DKIM. להודעה לא צורף קובץ. הקישור הוביל תחילה לעמוד שנבנה כדי להיראות פחות חשוד בבדיקה אוטומטית: סימון דמה, טקסט מוסתר, iframe בגודל אפס ו־JavaScript מעורפל.

לפי הדיווח, העמוד אסף נתוני דפדפן ואזור זמן, ולאחר מכן השתמש בבקשת POST נסתרת כדי להפנות את המבקר אל opensea[.]io. ההערכה הייתה שמדובר בנתיב מוסווה להונאת מטבעות קריפטוגרפיים או NFT — ולא בהפצת נוזקה שאומתה. ההבחנה חשובה: לוגיקת ההונאה עשויה להישמר עד שהמבקר ייראה כמטרה אמיתית ומתאימה לפרופיל שהוגדר. 20

הונאת חידוש אנטי־וירוס בהולנדית עם יעד משתנה

מייל בהולנדית שהתחזה ל־McAfee ול־TotalAV הציג הצעת חידוש מבוססת HTML בלבד: נטען בו כי לנמען יש „631 וירוסים מסוכנים”, איום בסגירת החשבון והנחה של 90%.

במקום להסתמך על דף פישינג אחד וקבוע, הקמפיין השתמש בנתיבי מעקב, הסרה מרשימת דיוור וקריאה לפעולה, שעברו דרך תשתית הפניות. נתיבים כאלה יכולים להחליף יעד, לפוג או להציג תוכן שונה לפי זמן או מיקום. לכן, בדיקה חד־פעמית של כתובת URL בשער הדוא״ל עשויה להיות פחות יעילה מניתוח שמתבצע ברגע שבו המשתמש לוחץ בפועל. היעד שהוערך היה הונאת חידוש או שותפים עסקיים, ואולי גניבת פרטי תשלום — לא הורדת נוזקה מאומתת. 20

התחזות רומנית ל־BCR בנושא הסכמת PSD2

קמפיין נוסף התחזה ל־BCR S.A. והשתמש בנושא של הסכמה לפי PSD2 כדי ליצור דחיפות. PSD2 היא רגולציה אירופית בתחום שירותי התשלום, ולכן בקשת „אישור” יכולה להישמע אמינה לנמען. לפי הדיווח, היעד קודד באמצעות ייצוג של כתובת ממופת IPv6 — טכניקת הסוואה העלולה לעקוף ניתוח פשטני של כתובות URL או בדיקות מוניטין. ההערכה הייתה שמדובר בניסיון לגניבת פרטי התחברות, אך הדיווח שסופק אינו מאשר דף נחיתה סופי או ייחוס מדויק יותר. 20

מה תוצאות הזיהוי כן אומרות — ומה לא

הדיווח לרבעון השלישי מצביע על פער משמעותי בין שערי האבטחה הארגוניים המובילים לבין פריסת Rspamd בקוד פתוח שנבחנה בפומבי. לפי אחד הדיווחים, שיעור תפיסת הפישינג של Rspamd עמד על 62.550%, נמוך בהרבה מתוצאות המוצרים הארגוניים המובילים. 21

אין להכליל את הנתון הזה לכל התקנת Rspamd או לכלי קוד פתוח בכלל: תצורה, מקורות מודיעין איומים, כוונון ושכבות הגנה נוספות משפיעים על הביצועים בעולם האמיתי. עם זאת, הוא מחזק נקודה מעשית: תשתיות הפניה שמשתנות במהירות וזרימות פישינג המודעות לדפדפן עלולות להיות קשות לסיווג בידי שכבת דוא״ל ברירת מחדל או שכבה שמוגדרת באופן מצומצם.

לשם הקשר, בסקירת VBSpam הנפרדת לרבעון השני של 2026 דווח על שיעור זיהוי פישינג של 54.810% עבור Rspamd באותו מבחן. מדובר בתקופות מבחן שונות, ולכן אין להתייחס לאחוזים כאל מדד יחיד ובר־החלפה. 5

סדרי העדיפויות להגנה: מעבר לשער הדוא״ל

הלקח התפעולי החשוב ביותר מהמבחן הוא להרחיב את הניתוח מזמן המסירה לזמן הלחיצה.

• ראו באימות זהות אות, לא פסק דין בטיחותי. התאמת SPF או DKIM ושימוש בשירות מסירה מוכר יכולים לסייע להבין כיצד ההודעה נשלחה; הם אינם מוכיחים שהטענה המסחרית שבה או היעד שלה לגיטימיים.
• עקבו באופן רקורסיבי אחר שרשראות הפניה. יש לבדוק כל תחנה בדרך, ולהעריך מחדש את הכתובות בעת לחיצה, משום שהיעד והמוניטין שלו עשויים להשתנות לאחר המסירה.
• השתמשו בהרצה מבוקרת שמסוגלת לדמות דפדפן. ניתוח יעיל צריך להריץ JavaScript ולאתר טפסים מוסתרים, פעילות iframe, טביעת אצבע של הדפדפן והפניות מותנות — ולא רק לסרוק את גוף ההודעה או כתובת גלויה.
• נרמלו צורות URL חריגות. כלי האבטחה צריכים לפרש בבטחה כתובות מקודדות וייצוגים ממופים של IPv6 לפני החלת כללי מוניטין וחסימה.
• עקבו אחר שינויי תשתית. חשוב לנטר שינויי DNS, דומיינים חדשים, הפניות HTTP ומוניטין של יעדים לאורך זמן.
• צמצמו את הנזק של לחיצה מוצלחת. אימות עמיד לפישינג והגנות בתחנות הקצה יכולים להגביל השתלטות על חשבונות גם אם דף לגניבת סיסמאות הגיע אל הנמען.

גם המשתמשים נותרו קו הגנה חשוב. דרישות תשלום, בקשות להסכמה בנקאית ואזהרות על חידוש מנוי יש לאמת דרך האתר, האפליקציה או ערוץ התמיכה המוכר של הארגון — ולא באמצעות הקישור שבהודעה.

השורה התחתונה

VBSpam ברבעון השלישי של 2026 לא הראה שאבטחת דוא״ל קונבנציונלית נכשלה באופן גורף. המוצרים הארגוניים המובילים המשיכו להציג תוצאות מבחן גבוהות במיוחד. 2021 הוא הראה דבר ממוקד יותר: מפעילי פישינג מעבירים את ההתנהגות המטעה ביותר שלהם לשלבים מותאמים אישית ומתווכי־דפדפן, ששער דוא״ל רגיל עשוי שלא לראות במלואם בזמן המסירה.

המענה העמיד הוא הגנה בשכבות: סינון דוא״ל חזק לצד ניתוח הפניות, בדיקה מודעת־דפדפן והגנות חשבון שמקטינות את התועלת של סיסמה שנגנבה.