Callback Phishing (TOAD)

מתקפת Callback phishing (TOAD) היא מייל פישינג שכולל מספר טלפון במקום קישור, כך שהקורבן הוא המתקשר. למסגרת MITRE ATT&CK אין טכניקה בשם הזה, וה-FBI תיעדה קבוצה אחת שהסלימה מהשיחה עד לשליחת אדם לתוך הבניין.

כל עמוד בסריקה מלאה של שני מנועי החיפוש המובילים מתאר את אותו הדבר: מייל על בעיה דחופה, מספר לחיוג, ונוכל שממתין על הקו. המילה שמופיעה כמעט בכולם היא דחוף.

התיאור הממשלתי המפורט ביותר של המתקפה הזאת אומר את ההפך. הוא אומר שמשאירים את הסכומים המעורבים קטנים, בדיוק כי סכומים קטנים "פחות סביר שיעוררו חשד מיידי". אותה ההתראה היא הודעה פדרלית אמריקאית שמשתמשת במפורש במונח "callback phishing". אף תוצאה בעמוד הראשון של אף אחד משני מנועי החיפוש לא מקשרת אליה.

לכן העמוד הזה מדווח מה באמת יש למסגרת על המונח הזה (מעט מאוד, ולא בהנחה אלא אחרי בדיקה), ומה אומרת אותה ההתראה. הוא גם מסביר למה המייל הכי פחות מדאיג בתיבת הדואר שלכם הוא זה שנועד לגרום לכם לחייג.

תסבירו לי כמו לילד בן 10

רוב מיילי ההונאה רוצים שתלחצו על משהו. הרבה תוכנות בודקות את הקישורים האלה לפני שהם מגיעים אליכם.

למייל הזה אין קישור. יש בו מספר טלפון וחיוב קטן. אתם לא זוכרים שהסכמתם לחיוב הזה. אתם מתקשרים כדי לסדר את העניין. מי שעונה לשיחה הוא הנוכל. הוא מחכה לשיחה שלכם.

החלק הערמומי הוא שאתם התקשרתם אליהם. אנשים סומכים הרבה יותר על שיחה שהם התחילו בעצמם. וכלום במייל לא עורר חשד, כי לא היה בו שום דבר לתפוס.

מה יש למסגרת על Callback phishing

התחילו מהמסגרת. היא עונה על שאלה אחת ולא מתעכבת מעבר לכך.

חבילת הנתונים המלאה (Enterprise) של MITRE ATT&CK היא קובץ JSON גדול יחיד שמפרט את כל הטכניקות שהמסגרת מגדירה, והוא הורד ונבדק במלואו לצורך הכתבה הזו. הביטוי "callback phishing" מופיע בדיוק בתיאור אחד של טכניקה, בסוגריים, בתוך טכניקה שעוסקת בפישינג קולי: קורבנות "עשויים גם לקבל הודעות פישינג שמכוונות אותם להתקשר למספר טלפון ('callback phishing'), שבו התוקף מנסה לאסוף מידע חסוי."

התיעוד הזה הוא כל מה שיש, והטכניקה הראשית מתארת את אותה ההתנהגות בלי להשתמש במונח בכלל. שם קמפיין המקור שנדון בהמשך העמוד מופיע אפס פעמים בחבילה.

כלומר, אין טכניקת ATT&CK בשם callback phishing, וגם לא בשם TOAD.

ההיעדר הזה הוא עובדה על האופן שבו מסגרות מסווגות דברים, לא פסק דין על המתקפה עצמה. מסגרות מקטלגות טכניקות, ומתקפת Callback phishing היא תבנית מסירה שלוקחת זוג מהן ומחברת ביניהן דרך שיחת טלפון. הטכניקה הכי דומה לה, שבה התוקף מתקשר אל הקורבן, מתועדת ב-ערך נפרד בגלוסריון הזה ויש לה מזהי טכניקה משלה. כאן, לעומת זאת, הקורבן הוא זה שמתקשר, וזה כל ההבדל.

השיטה חשובה יותר מהתוצאה. הבדיקה הזו נעשתה מול הנתונים של המסגרת עצמה, לא מול מאמר שמתאר אותה. אלה שני דברים שונים, ורק אחד מהם הוא המקור הסמכותי.

ההתראה של ה-FBI שמאחורי כל זה

ב-23 במאי 2025 פרסמה ה-FBI הודעה לתעשייה הפרטית (Private Industry Notification), שמספרה 20250523-001 ומסומנת TLP:CLEAR. לפי ה-FBI, ההודעה נכתבה בתיאום עם המשרד לביטחון המולדת (DHS) ועם CISA. כותרתה היא "Silent Ransom Group Targeting Law Firms".

המשפט הפותח של ההודעה מציין את שם הקבוצה ואת הכינויים שלה: קבוצת התקיפה Silent Ransom Group, "ידועה גם בתור Luna Moth, Chatty Spider ו-UNC3753". ההודעה גם מפרטת באופן מפורש במה הקבוצה ידועה: "SRG פועלת מאז 2022 וידועה בעיקר במיילי callback phishing, תוך התחזות לעסקים מוכרים שמציעים תוכניות מנוי."

רשות פדרלית משתמשת במונח המדויק הזה ונוקבת בשם קבוצה שמפעילה את הטכניקה במשך ארבע שנים. ההודעה הזו לא מופיעה בשום מקום בתוצאות שנאספו על המונח, באף אחד משני המנועים. הדבר הקרוב ביותר למקור ממשלתי בעמוד הראשון של כל אחד מהמנועים הוא פוסט בבלוג של ספק מ-2023, שמסכם אזהרה מוקדמת יותר ושונה של ה-FBI.

אל מי מכוונת הקבוצה, ולמה

ההודעה מפרטת את השינוי הזה בבירור. Silent Ransom Group "היסטורית פגעה בחברות במגזרים רבים", אך "החל מ-אביב 2023, הקבוצה כיוונה באופן עקבי למשרדי עורכי דין בארה"ב, ככל הנראה בשל הרגישות הגבוהה של נתוני התעשייה המשפטית."

המשפט הזה עוסק בערך הנתונים, לא ברכות המטרה. זה תיקון מועיל להנחה שהטכניקה הזו פונה אל אנשים שקל לרמות אותם. מאגר המסמכים של משרד עורכי דין שווה את המאמץ הכרוך בהפעלת מוקד שיחות.

למה החיוב קטן בכוונה

הנה התיקון, והוא עולה מהשוואה בין שני מקורות, זה לצד זה.

התיאור המקובל, בתקציר של מנוע החיפוש עצמו, הוא שמתקפת Callback phishing "דוחפת אתכם להתקשר למספר טלפון כדי לפתור בעיה דחופה ומזויפת." הדחיפות היא הרעיון המארגן של כמעט כל ההסברים באיסוף הזה.

עכשיו ההתראה: "בדרך כלל, מיילי הפישינג של SRG מתיימרים לחייב בסכומים קטנים של 'דמי מנוי', כי פחות סביר שיעוררו חשד מיידי."

המתקפה לא רוצה פאניקה. היא רוצה שיחת טלפון

חשבו מהי התוצאה בפועל של כל רגש.

אדם מפוחד מעביר את ההודעה לצוות ה-IT, מוחק אותה, או לא עושה איתה כלום, פשוט משאיר אותה בלי מענה. פחד גורם לאנשים לקפוא במקום או להסלים. שתי התוצאות חסרות תועלת לתוקף, כי כל התוכנית שלו תלויה בפעולה אחת ומסוימת שהקורבן עושה מרצונו.

עצבנות קלה גורמת לשיחת טלפון. מי שלכאורה חויבו בסכום צנוע בגין שירות שמעולם לא נרשמו אליו, לא נכנסים לפאניקה. הם מתקשרים למספר כדי לסדר את העניין, בקור רוח וביוזמתם. הם מגיעים לשיחה ברוח טובה יחסית כלפי מי שעומד לעזור להם לבטל אותו. נקודת הפתיחה הזאת טובה הרבה יותר מפחד, והתכנון משקף את זה.

הקמפיין המקורי, שתועד ארבע שנים לפני ההתראה הזאת, השתמש באותו סגנון. גלי הקמפיין עסקו בנושאים כמו שירותי עריכת תמונות, אתרי בישול ומתכונים, תוכניות כושר ורישיונות תוכנה. בכל הגלים האלה הם טענו שתקופת ניסיון עמדה להסתיים, או שכרטיס עמד להיות מחויב. שגרתי בכוונה, באופן עקבי, בשני מקורות בלתי תלויים ולאורך ארבע שנים.

כל זה הופך את שיעור המודעות על הראש. המייל שכדאי לחשוד בו הוא לא המייל המפחיד, אלא המייל המשעמם עם מספר טלפון ובלי קישור.

מה קורה אחרי השיחה

הסיקור שנאסף נעצר כשהקורבן מחייג. ההתראה לא נעצרת שם, והשאר הוא החצי השימושי.

ההתראה מתארת את השלב המיידי בפשטות: כדי לבטל את המנוי הפיקטיבי, "הקורבן קיבל הוראה להתקשר לתוקף, ששולח לו קישור במייל שמוריד תוכנת גישה מרחוק ונותן לתוקף גישה למכשיר שלו או למערכת שלו". השיחה היא לא המקום שבו הנתונים נגנבים. השיחה היא המקום שבו הקורבן משוכנע להתקין את הדבר שגונב אותם.

משם: "לאחר שהתוקף ביסס גישה מתמשכת, התוקפים ינסו לזהות מידע בעל ערך להוצאה, לפני שליחת דרישת כופר". אחר כך מגיעה הסחיטה, עם איום "למכור את הנתונים או לפרסם אותם באינטרנט".

ואז הטלפון מצלצל שוב. ההתראה מציינת שקבוצת התקיפה Silent Ransom Group "תתקשר גם אל עובדים בחברה הנפגעת כדי ללחוץ עליהם להיכנס למשא ומתן על הכופר". הטלפון משמש פעמיים במתקפה הזו: פעם אחת כדי להיכנס, ופעם אחת כדי לגבות.

ההסלמה במשפט הפתיחה של ההתראה

המשפט הפותח של ההתראה מכיל משהו שאף עמוד מהתוצאות שנאספו לא מזכיר. הקבוצה כעת "שולחת אדם שמתחזה לעובד בצוות ה-IT ומגיע פיזית למשרד, ולאחר מכן הוא מחבר התקן אחסון למחשב כדי לגנוב נתונים רגישים".

אדם. נכנס לבניין. טכניקת פישינג שפיתחה שלב של מסירה פיזית, וזה לא משפט שמצפים לכתוב על הונאת אימייל.

הערת היקף אחת, כי ההתראה זהירה וגם העמוד הזה צריך להיות כזה. ההתראה מתארת את ההסלמה כתופעה שנצפתה לאחרונה, וטוענת ש"הייתה יעילה מאוד והובילה למספר פריצות", אבל לא נותנת מספר. מה שהעדות תומכת בו הוא תיעוד ואפקטיביות. נפוץ - זה לא, ושום דבר כאן לא אמור להתפרש כך.

מאיפה הגיעה הטכניקה

שורשי הטכניקה מגיעים הרבה יותר אחורה ממה שהסיקור שנאסף מרמז. ביולי 2021 Microsoft תיעדה קמפיין שנבנה בדיוק על אותה תבנית. האימיילים בקמפיין הזה "כללו מספרי טלפון שהנמענים הוטעו להתקשר אליהם" במקום קישורים זדוניים. המתקשרים "התחברו עם בני אדם ממשיים בצד השני של הקו" שהדריכו אותם להתקין נוזקה.

ההדגשה על ממשיים היא של Microsoft עצמה, וזה העיקר. הטכניקה הזאת מחייבת את התוקף לאייש משהו.

מה שהופך אותה לגרסה היחידה שחייבת להיות מאוישת

עצרו לרגע וחשבו על זה, כי זה מה שמבדיל את הטכניקה הזאת משאר בני משפחת הפישינג.

קמפיין אימייל גדל באמצעות שליחת עוד אימיילים. קמפיין מסרונים גדל באמצעות שליחת עוד מסרונים. הטכניקה הזאת גדלה באמצעות איוש. מישהו חייב להיות זמין על הקו כשהקורבן מתקשר, מסוגל לנהל שיחת תמיכה אמינה, בשעה שהקורבן בוחר להתקשר.

האיוש הזה כופה אילוצים שאין לשום טכניקה אחרת במשפחת הפישינג: יום עבודה, מצבת כוח אדם, בעיית הכשרה משל התוקף עצמו, ועלות שעולה עם ההיקף, במקום לרדת. זה גם מסביר את בחירת המטרות. אם כל שיחה דורשת עבודה ממשית, רשימת היעדים חייבת להצדיק את העבודה הזאת. וזה מה שההתראה הפדרלית מתכוונת אליו: קבוצה בחרה במשרדי עורכי דין בגלל רגישות הנתונים.

מה זה הניב להם

התוצאה המתועדת של אותו קמפיין הייתה מהירה. מתקפות שנבעו ממנו "יכלו לנוע במהירות בתוך הרשת, לבצע הוצאת נתונים נרחבת וגניבת פרטי הזדהות, ולהפיץ תוכנת כופר תוך 48 שעות מרגע הפריצה הראשונית", כאשר מטענים של Ryuk או Conti נפרסו דרך חשבונות עם הרשאות גבוהות שנפרצו. זו התנהגות מתועדת של קמפיין אחד, לא קצב כללי, אבל היא מבססת כמה שווה הייתה השיחה למי שביצע אותה.

מה ה-FBI אומרת שכדאי לשים לב אליו

לפני הרשימה, הסייג, כי הסוכנות שמה אותו שם בעצמה: מומלץ למגינים להתייחס אליה כאל "אינדיקציות פוטנציאליות, אך לא סופיות" לפעילות הקבוצה הזאת.

ההתראה מציינת חמישה מוצרים ספציפיים בשורה הראשונה, ושניים בשלישית. האתר הזה מכסה את ניצול לרעה של תוכנת ניהול מרחוק בערך משלו.

וגם להעברת קבצים לשירותים חיצוניים יש ערך משלו, וזה מה שהשורה השלישית מתארת.

גם לשלב הסחיטה שבא אחרי הגניבה יש ערך נפרד משלו. העניין כאן הוא לא מה שהכלים האלה עושים, אלא שכל אחד מהם הוא תוכנה לגיטימית.

שני חצאי המתקפה חשאיים מאותה סיבה

ההתראה מסבירה את בעיית נקודת הקצה במשפט אחד: "קמפיינים של SRG משאירים מעט עקבות על מכשירים שנפרצו. הם גם לא צפויים להיות מסומנים בידי מוצרי אנטי-וירוס מסורתיים, כי SRG משתמשת בדרך כלל בכלי ניהול מערכות או כלי גישה מרחוק לגיטימיים כדי לבצע את המתקפות."

הסקירה של Microsoft מ-2021 מסבירה את בעיית המייל במשפט אחד: "היעדר אלמנטים זדוניים ברורים בשיטות המסירה עלול להפוך דרכים טיפוסיות לזיהוי מיילי ספאם ופישינג ללא יעילות."

יחד, שני המשפטים האלה מתארים תכונה אחת עקבית. שום דבר בשני חצאי המתקפה אינו בלתי לגיטימי על פניו. המייל לא מכיל תוכן זדוני. התוכנה שמותקנת לאחר מכן היא תוכנה שצוות תמיכה עשוי להשתמש בה באמת. מה ששגוי הוא ההקשר. ההקשר הוא לא משהו שסורק מעריך.

העובדה הזו הופכת את השאלה השימושית היחידה לשאלה שמחברת בין שני אירועים, ולא לשאלה שמסננת ביניהם: האם מישהו ישים לב לכלי גישה מרחוק שמותקן זמן קצר אחרי שמשתמש ביצע שיחת טלפון יוצאת? אף אחד מהאירועים לא יוצא דופן. יחד הם כן.

מונח שמלמדים יותר משמחפשים אותו

תצפית אחת, שרק נתוני החיפוש עצמם יכולים לתמוך בה, מוצגת כאן כקריאה נגזרת ולא כמדידה.

ספירת התוצאות שדווחה לביטוי הזה היא הקטנה ביותר שמילון המונחים הזה תיעד לכל מונח אבטחה. אשכול השאלות המצורף אליו מגיע לארבע שאלות. וארבעה מתוך שמונת החיפושים הקשורים מנוסחים כפריטי מבחן ולא כשאלות שאדם היה שואל, כולל אחד שמסתיים במילים "select all that apply".

הרכב התוצאות נובע מזה. חלק ניכר מהעמוד הראשון עוסק בהדמיה של המתקפה הזו ולא במתקפה עצמה. תיעוד מוצר של פלטפורמת הדרכה לבניית קמפיינים של callback phishing מדורג באופן אורגני (תוצאה לא ממומנת) בשני המנועים, ומצוטט ראשון בתשובה של אחד המנועים עצמו.

מה זה אומר לכם ומה לא

שום דבר מזה לא אומר כלום על השאלה אם המתקפה אמיתית. ההתראה הפדרלית מיישבת את השאלה הזו. מה שההתראה מסבירה הוא למה הסיקור כל כך אחיד, ולמה כמעט כולו נעצר בשיחת הטלפון: לחומר שנכתב לתמיכה במודול הדרכה אין סיבה להמשיך מעבר לרגע שהמתלמד אמור לזהות.

מה העמוד הזה לא יכול להגיד לכם

לא קיים נתון נפח שאפשר לאמת לטכניקה הזו. שני נתונים מסתובבים בהרחבה: מספר ניסיונות TOAD בשנה אחת, ואחוז העסקים שנאמר שנפגעו באותה שנה. שניהם מיוחסים למחקר של ספק אחד, ושני ניסיונות להגיע למקור ראשוני שכולל אחד משני הנתונים יחד עם השיטה שמאחוריו נכשלו. האחוז בפרט נראה יותר כמו סקר מבוסס דיווח עצמי, ולא כמו נתוני טלמטריה. אף עמוד בתוצאות שנאספו לא אומר איזה מהם זה. אף אחד משני הנתונים לא מופיע למעלה.

האינדיקטורים של ההתראה אינם זיהוי. ה-FBI מדרגת אותם בעצמה, כפי שצוטט למעלה, ולא קיימת הערכה של עד כמה אמין הם תופסים את הפעילות הזו.

להסלמה הפיזית אין מספר שפורסם. היא מתוארת כנצפית לאחרונה ויעילה מאוד, וזה כל מה שהראיות תומכות בו.

וההתראה אינה הצהרת שכיחות. היא מתארת קבוצת תקיפה אחת, שמכוונת אל מגזר אחד, במדינה אחת, מתאריך מסוים. ההתראה היא התיעוד הציבורי הטוב ביותר של הטכניקה הזו שקיים, והיא אינה מדידה של כמה פעמים גורמים אחרים משתמשים בה.

הגרסה הקצרה

מתקפת Callback phishing, או TOAD, מחליפה את הקישור הזדוני במספר טלפון, כך שהקורבן יוזם את הקשר. אין טכניקת ATT&CK בשם הזה, וזה אומת מול הנתונים של המסגרת עצמה ולא הונח מראש. ההיעדר הזה מתאר איך מסגרות מסווגות דברים, לא כמה רצינית המתקפה.

ה-FBI תיעדה קבוצה שמפעילה את הטכניקה הזו מאז 2022, וההתראה סותרת את התיאור הסטנדרטי בדרך חשובה אחת: החיוב המזויף קטן בכוונה, כי חיובים קטנים לא מעוררים חשד. המייל לא מנסה להפחיד אתכם כדי שתתקשרו. הוא מנסה להרגיז אתכם קלות כדי שתתקשרו, וזה עובד טוב יותר.

אחרי השיחה מגיעה תוכנת גישה מרחוק, אחר כך גניבה, אחר כך סחיטה, אחר כך שיחת טלפון שנייה כדי לקדם את המשא ומתן. ובמקרים אחרונים, אדם שמגיע למשרד ומתחזה לצוות ה-IT.

הדבר האחד לבדוק אחרי קריאת זה: האם מישהו ישים לב לכלי גישה מרחוק שמותקן זמן קצר אחרי שמשתמש ביצע שיחת טלפון יוצאת? אף אחד מהמקרים האלה לא נראה כמו אירוע. הצמד שלהם הוא כל המתקפה.