אל תסרקו את זה - אחד מכל 9 מיילי פישינג כבר כולל קוד QR

חברת אבטחת המידע והסייבר ESET מפרסמת את דוח האיומים למחצית הראשונה של 2026, המסכם את מגמות הסייבר המרכזיות שנצפו בעולם בין דצמבר 2025 למאי 2026. מהדוח עולה כי תוקפי סייבר ממשיכים להתאים שיטות מוכרות להרגלים הדיגיטליים החדשים של המשתמשים, ומנצלים קודי QR, הודעות תקלה מזויפות, שירותי ענן וכלי בינה מלאכותית כדי להפוך את המתקפות למשכנעות וקשות יותר לזיהוי.

לדברי אלכס שטיינברג, מנהל מוצרי ESET בקומסקיור: "הדוח ממחיש את העובדה שתוקפי הסייבר לא חייבים להמציא בכל פעם שיטות חדשות כדי להצליח, אלא פשוט מתאימים את עצמם להרגלים הדיגיטליים שלנו. אם בעבר היה קל יחסית לחשוד בקישור או בקובץ לא מוכר, היום מתקפה יכולה להתחיל בסריקת קוד QR, בהודעת שגיאה שנראית לגיטימית או בשימוש בכלי AI. דווקא משום שהפעולות האלה הפכו לחלק משגרת החיים והעבודה, חשוב לעצור לרגע ולבדוק מי מבקש מאיתנו לבצע אותן ולאן הן מובילות".

אחד הנתונים הבולטים בדוח הוא העלייה בפישינג באמצעות קודי QR, תופעה המכונה Quishing. לפי ESET, כ-11% מכלל הודעות הפישינג שזוהו במחצית הראשונה של השנה השתמשו בקוד QR, ובממוצע נרשמו כ-100 אלף זיהויים בחודש. במקום לשלוח קישור רגיל, התוקפים מנסים לגרום למשתמש לסרוק את הקוד בטלפון הנייד ולעבור לאתר מתחזה, שבו הוא מתבקש להזין פרטי התחברות, מידע אישי או פרטי תשלום. עבור משתמשים בישראל, שרגילים לסרוק קודים במסעדות, בחניונים, באירועים, במשלוחים ובשירותים שונים, מדובר בפעולה שעלולה להיראות שגרתית ובטוחה לחלוטין.

במקום קישור חשוד: "פתרון לתקלה"

מגמה נוספת שמדגיש הדוח היא התרחבות של מתקפות ClickFix, שיטת הונאה שבה מוצגת למשתמש הודעת שגיאה, בדיקת CAPTCHA או תקלה מזויפת, לצד הנחיות כיצד "לתקן" אותה. בפועל, המשתמש מתבקש לבצע פעולה שמפעילה קוד זדוני או מעניקה לתוקף גישה למחשב או לחשבון. לפי ESET, הזיהויים של הודעות CAPTCHA מזויפות מהסוג הזה זינקו ב-108% לעומת המחצית השנייה של 2025.

השיטה אינה מוגבלת עוד למסכי אימות מזויפים. התוקפים משלבים אותה גם בעמודי עזרה שמתחזים לשירותי AI, בתוספי דפדפן ובתהליכי התחברות לשירותי ענן. בחלק מהמקרים, המשתמש אינו מוסר סיסמה כלל, אלא מאשר תהליך התחברות או הרשאה שנראה לגיטימי, וכך מאפשר לתוקף לקבל גישה לחשבון ענן או למידע רגיש.

הסיכון החדש שמגיע עם סוכני AI

הדוח מצביע גם על סיכון חדש סביב סוכני AI, מערכות שאינן מסתפקות במענה לשאלות, אלא מסוגלות לבצע משימות, להתחבר לשירותים ולהפעיל כלים בשם המשתמש. כדי לבצע את הפעולות האלה, הסוכנים נעזרים ברכיבים המכונים "כישורי AI", שמגדירים לאיזה מידע ניתן לגשת, באילו שירותים להשתמש ואילו פעולות לבצע.

בין מרץ למאי 2026 ניתחו חוקרי ESET כמעט 900 אלף כישורי AI ממאגרים פופולריים. כ-25 אלף מהם סווגו כחשודים ולמעלה מ-3,000 כזדוניים. חלקם כללו יכולת להשתמש בכלי תקיפה מוכרים, ליצור גישה מתמשכת למערכת או לשנות את אופן הפעולה של הסוכן. ככל שסוכני AI מקבלים יותר הרשאות וגישה למידע ארגוני, כך גם רכיב קטן ולא בטוח עלול להפוך לנקודת כניסה משמעותית עבור תוקפים.

בנוסף, חוקרי החברה זיהו את PromptSpy, נוזקת האנדרואיד הראשונה המוכרת שמשתמשת בבינה מלאכותית בזמן הפעולה שלה. בניגוד לנוזקה שפועלת רק לפי קוד קבוע מראש, השילוב של AI עשוי לאפשר לה בעתיד להפוך לגמישה יותר ולהתאים את עצמה לסביבה שבה היא פועלת. ב-ESET מציינים כי מאז גילויה עדיין לא נצפו נוזקות אנדרואיד נוספות שפועלות בדרך דומה, אך עצם הופעתה מסמנת כיוון חדש בעולם איומי המובייל.

הכופרות ממשיכות לגדול, אבל פחות קורבנות משלמים

גם מתקפות הכופרה המשיכו לגדול במחצית הראשונה של 2026, אך שיעור הקורבנות שמסכימים לשלם ירד לרמות נמוכות במיוחד. מחקרים שנסקרו בדוח מצביעים על כך שרק 14% עד 28% מהקורבנות שילמו בפועל לתוקפים.

במקביל, התוקפים משקיעים יותר בכלים שנועדו להשבית או "לעוור" תוכנות אבטחה לפני הפעלת הכופרה. בחברה מיפו יותר מ-100 כלים שונים מהסוג הזה, שנועדו להחליש את יכולת הזיהוי והתגובה של הארגון עוד לפני שלב ההצפנה והסחיטה.

ב-ESET מסכמים כי המחצית הראשונה של 2026 מדגישה מעבר מתקיפה ישירה של מערכות לניצול של תהליכים לגיטימיים ושל אמון המשתמשים. ככל שקודי QR, שירותי ענן, דפדפנים, מכשירי מובייל וסוכני AI הופכים לחלק מרכזי יותר משגרת העבודה והחיים, כך הם הופכים גם ליעדים ולערוצי תקיפה עבור ההאקרים.