Spear Phishing

מתקפת Spear phishing היא פישינג המכוון אל יחיד, חברה או ענף ספציפיים, ולא נשלח באקראי. ל-MITRE ATT&CK אין טכניקה שנקראת כך. יש לה טכניקת האב בשם Phishing, שכל תת-הטכניקות שלה הן וריאנטים של Spear phishing, ועוד טכניקה נפרדת שמסווגת תחת תנועה רוחבית (Lateral Movement).

כל הסבר בתוצאות שנאספו פועל באותו אופן. הוא מסביר מהו פישינג רגיל, ואז אומר לכם שזה נבחר במיוחד, ונעצר שם. ההגדרה היא ניגוד, וזה אף פעם לא מגיע עם קו מפריד.

העדר קו כזה משאיר את השאלה שהגדרה מעשית חייבת לענות עליה: עד כמה ההודעה צריכה להיות נבחרת במיוחד? 200 נמענים? 20? שם אחד בברכת הפתיחה? שום דבר בעמוד הראשון של אף אחד משני מנועי החיפוש המרכזיים לא עונה על כך.

יש עוד דבר אחד ששווה לשים לב אליו לפני שמתחילים. התשובה של גוגל עצמה למונח הזה מגדירה אותו ומציעה לכתוב לכם הודעת דוגמה. היא גם תעבור איתכם על סימני האזהרה, הכול בלי שתעזבו את עמוד התוצאות. ההגדרה תפוסה, וכך גם הדוגמה. לכן העמוד הזה עושה את מה שהתשובה ההיא לא יכולה. הוא מצטט את ההגדרה האמיתית של המסגרת, ונוקב בשני אובייקטים שאף עמוד שנאסף לא מזכיר. הוא גם בוחן את מחקר ה-AI שאותן תוצאות מצטטות, ישירות מהמאמר ולא מהתקציר.

תסבירו לי כמו לילד בן 10

פישינג רגיל הוא רשת דיג. אותה הודעה מגיעה למיליון אנשים. רוב מהם מתעלמים ממנה, אבל זה לא משנה, כי מספיק שכמה לא יתעלמו.

מתקפת Spear phishing היא הודעה אחת, שנכתבה בשביל אדם אחד. לפני שהוא שולח את ההודעה, התוקף מברר עובדה אמיתית עליו. הוא בודק עם מי הוא עובד, באיזה פרויקט, ובאיזה ספק הוא משתמש. ואז ההודעה מזכירה את העובדה הזאת, וכל השאר נובע מזה.

הסיבה שזה עובד היא לא שמי שקיבל את ההודעה היה לא זהיר. זה כי ההודעה הייתה אמינה, ואמינה זה בדיוק מה שהודעה אמורה להיות.

אין טכניקה שנקראת Spear phishing

פתחו את MITRE ATT&CK וחפשו Spear phishing, ולא תמצאו טכניקה בשם הזה.

מה שתמצאו הוא T1566, Phishing, תחת טקטיקת גישה ראשונית (Initial Access). הטכניקה נמצאת בגרסה 2.7, ועודכנה לאחרונה ב-12 במאי 2026. הפלטפורמות שרשומות הן Identity Provider, Linux, Office Suite, SaaS, Windows ו-macOS. תחתיה נמצאות בדיוק ארבע תת-טכניקות.

קראו שוב את העמודה השנייה: כל ארבע תת-הטכניקות הן וריאנטים של Spear phishing. אין תת-טכניקה למקרה הכללי בכלל.

נסחו את זה בזהירות, כי קל להגזים כאן. ATT&CK יכולה בהחלט לתאר פישינג המוני: זה נכלל בטכניקת האב, וכך כתוב בתיאור שלה. מה שאין למסגרת הוא תת-טכניקה למקרה הכללי. המקרה הכללי נמצא בראש העץ, וכל הענף שמתחתיו שייך למקרה שבו נבחר יעד במיוחד.

הסדר הזה הופך על פיו את האופן שבו בדרך כלל מלמדים את הנושא. בגרסת ההדרכה הרגילה, פישינג הוא האירוע המרכזי, ו-Spear phishing הוא המקרה החריג שמגיע בסוף. במסגרת עצמה, המקרה שבו נבחר יעד במיוחד הוא המקרה היחיד עם אוצר מילים משלו.

הסף, והמילה שהעמודים שנאספו מדלגים עליה

הנה ההגדרה עצמה, מתוך התיאור של טכניקת האב: "פישינג יכול להיות ממוקד, מה שנקרא spearphishing. ב-spearphishing, יחיד, חברה או ענף ספציפיים יהיו ממוקדים בידי התוקף. באופן כללי יותר, תוקפים יכולים לבצע פישינג לא ממוקד, כגון בקמפיינים המוניים של ספאם עם תוכנה זדונית."

ענף. כל עמוד בתוצאות שנאספו מלמד את המונח הזה כאילו מדובר באדם אחד או בקבוצה קטנה. הסף של המסגרת עצמה כולל ענף שלם. קמפיין שמכוון לכל בית חולים במדינה, או לכל אגודת אשראי אזורית, הוא Spear phishing לפי ההגדרה הזאת. ברוב מקרי השימוש הרגיל הוא היה מתואר כפישינג המוני.

ואז מגיע הפער, שהוא השאלה האמיתית של הקורא ואין לו תשובה: המסגרת מספקת הגדרה, ולא סף. אין ספירת נמענים, אין מבחן התאמה אישית, אין שום דבר מדיד. הקו הוא עניין של שיקול דעת, ואף מקור שאותר למאמר הזה לא מפרסם כלל לקביעתו.

התיאור של טכניקת האב מזכיר גם שלושה דברים שהתחום בדרך כלל מתייחס אליהם כנושאים נפרדים. חטיפת שרשור (thread hijacking) היא אחד מהם: התוקפים עשויים לכלול את "היעד המיועד כצד לשרשור אימייל קיים שכולל קבצים זדוניים או קישורים זדוניים". זיוף אימייל (email spoofing) הוא דבר נוסף, והמסגרת מציינת שהוא "יכול לשמש כדי להטעות גם את הנמען האנושי וגם כלי אבטחה אוטומטיים". הדבר השלישי הוא השימוש בכללי הסתרת אימייל בתיבת דואר פרוצה, כך שהבעלים האמיתי של החשבון אף פעם לא רואה את התגובות.

עוד דבר קטן כל עוד אנחנו כאן. ATT&CK כותבת את המונח כמילה אחת, spearphishing, בכל שם טכניקה שיש לה. כמעט אף אחד אחר לא כותב אותו כך.

הפיתיון לפעמים כולל הוראות עקיפה משלו

פרט אחד מתוך T1566.001, Spearphishing Attachment, גרסה 2.2, שווה להכיר, והוא לא מופיע באף עמוד שנאסף. המסגרת מציינת שהאימייל "בדרך כלל מנסה לתת סיבה אמינה לכך שיש לפתוח את הקובץ, ועשוי להסביר איך לעקוף הגנות מערכת כדי לעשות זאת", וגם ש"הוא עשוי לכלול הוראות לפענוח קובץ מצורף, כמו סיסמת zip, כדי לחמוק מהגנות הגבול של האימייל".

הפרט השני הזה לא פחות רמז לזיהוי מאשר טכניקת תקיפה. הודעה שמגיעה עם סיסמה לקובץ המצורף שלה הופכת את הקובץ, מעצם התכנון, לבלתי קריא לסורק שהיה אמור לבדוק אותו. ההודעה גם מסבירה לנמען איך להשלים את המשימה.

יש משפחה שנייה, למטרה אחרת

לצד משפחת הפישינג נמצאת T1598, Phishing for Information, תחת טקטיקת איסוף מידע (reconnaissance). לטכניקה הזאת יש ארבע תת-טכניקות משלה, ואותו משפט סף מופיע גם בתיאור שלה. הטכניקה הזאת קיימת כי חלק מהפישינג לא מנסה להריץ קוד על שום דבר. התכלית שלה היא איסוף מידע לשימוש מאוחר יותר.

אי-התאמה קטנה בין שתי המשפחות נראית לעין אם תקראו את שתי הרשימות זו לצד זו. התת-טכניקה השלישית של T1566 נקראת Spearphishing via Service, והתת-טכניקה הראשונה של T1598 נקראת Spearphishing Service. אותו רעיון, שני שמות, במסגרת אחת.

הוריאנט שמגיע למקום אחר לגמרי

העצה החוזרת ביותר בתוצאות שנאספו היא לבדוק את כתובת האימייל של השולח. קחו את ההנחיה הזאת ובחנו אותה מול T1566.003, Spearphishing via Service. הטכניקה נמצאת בגרסה 2.0, ועודכנה לאחרונה ב-24 באוקטובר 2025.

הטכניקה מוגדרת לפי מה שהיא נמנעת ממנו: היא "משתמשת בשירותי צד שלישי במקום ישירות בערוצי אימייל ארגוניים". הסיבה: "סביר יותר שתהיה להם מדיניות אבטחה פחות מחמירה מזו של ארגון".

דוגמאות הביצוע הן המקום שבו ההגדרה הופכת למוחשית. יש מהן שש עשרה, ושני דפוסים חוזרים לאורך הרשימה.

הפיתיון הנפוץ ביותר הוא הצעת עבודה. Contagious Interview, FIN6, Lazarus Group, Moonstone Sleet והקמפיין ש-MITRE עוקבת אחריו בשם Operation Dream Job כולם השתמשו במודעות דרושים מזויפות או בהודעות גיוס, בעיקר ב-LinkedIn. הערוצים הנפוצים ביותר הם LinkedIn, WhatsApp, Facebook, Telegram ו-Microsoft Teams, כאשר Dark Caracal מתועדת כמי ש"ביצעה מתקפת spearphishing נגד קורבנות דרך Facebook ו-Whatsapp", ו-Storm-1811 השתמשה ב-Teams.

ושתיים מהן מגיעות דרך שירות אמיתי לגמרי. APT29 "השתמשה בשירות הדיוור הלגיטימי Constant Contact כדי לשלוח אימיילים של פישינג". EXOTIC LILY "השתמשה בתכונות ההתראה באימייל של שירותי שיתוף קבצים לגיטימיים". בשני המקרים דומיין השולח אמיתי, השירות אמיתי, וההודעה עוברת כל בדיקת אותנטיות כי היא אכן אותנטית. רק התוכן לא.

המשפט שמשנה את יחידת הניתוח

התיאור כולל קטע אחד שלא מופיע באף עמוד ספק מבין העמודים שנאספו, וזה הדבר השימושי ביותר במאמר הזה:

"דוגמה נפוצה היא ליצור קרבה עם היעד ברשתות חברתיות, ואז לשלוח תוכן לשירות webmail אישי שהיעד משתמש בו במחשב העבודה שלו. כך התוקף יכול לעקוף חלק מההגבלות על האימייל בחשבון העבודה, והיעד נוטה יותר לפתוח את הקובץ כי זה משהו שציפה לו. אם המטען לא פועל כמצופה, התוקף יכול להמשיך בתקשורת רגילה ולפתור תקלות עם היעד כדי להפעיל אותו."

קראו שוב את המשפט האחרון. התוקף נשאר בתוך השיחה, ועוזר לקורבן להפעיל את התוכנה הזדונית.

התכתובת הזאת היא לא הודעה. היא קשר. עצה שבנויה על בדיקת אימייל לא רלוונטית לתכתובת שנמשכת שבועיים, באפליקציה שצוות האבטחה לא מנהל, על משרה שהיעד באמת רוצה. שני אמצעי ההפחתה ש-MITRE מפרטת כאן הם תוכנת אנטי-וירוס וביקורת של "אינטראקציות עם שירותי הודעות של צד שלישי או עם פלטפורמות שיתוף פעולה", ושניהם מניחים נראות לתוך שירות שאינו בבעלות הארגון.

ה-Spear phishing שאינה גישה ראשונית

הנה האובייקט שהתחום מתעלם ממנו לגמרי. T1534, Internal Spearphishing, אין לה תת-טכניקות, גרסה 1.4. הטכניקה נוצרה ב-4 בספטמבר 2019, עודכנה לאחרונה ב-12 במאי 2026, ומרכז מודיעין האיומים של Microsoft נמנה עם התורמים לה.

הטקטיקה שלה היא תנועה רוחבית.

התיאור מסביר למה. "לאחר שכבר יש להם גישה לחשבונות או למערכות בתוך הסביבה, תוקפים עשויים להשתמש ב-internal spearphishing כדי להשיג גישה למידע נוסף או לפרוץ למשתמשים אחרים באותו הארגון." קודם נפרץ חשבון לגיטימי. אחר כך התוקף משתמש בו, "כדי לנצל את החשבון הפנימי המהימן ולהגדיל את הסיכוי לרמות עוד קורבנות", כולל דרך "אפליקציות צ'אט פנימיות, כמו Microsoft Teams".

החילו על זה את העצה הסטנדרטית. בדקו את כתובת השולח ואת הדומיין: זו כתובת העמית שלכם, וזה הדומיין שלכם. בדקו אם שם התצוגה תואם לכתובת האמיתית: הוא תואם. כל בדיקה שהתחום מלמד מחזירה תוצאה נקייה, כי שום דבר בשולח לא מזויף. החשבון אמיתי, אבל האדם שמפעיל אותו לא.

שמונה רשומות, ושתיים מהן מכוונות אל פונקציית האבטחה

שמונה רשומות מתועדות תחת הטכניקה הזאת: שש קבוצות תקיפה בעלות שם, קמפיין אחד ונוזקה אחת. שתיים מהן בולטות בגלל היעד שבחרו: HEXANE "ביצעה מתקפות internal spearphishing נגד מנהלים בכירים, אנשי HR ואנשי IT", ו-APT-C-36 "השתמשה בחשבון פרוץ כדי לשלוח אימייל פישינג לכתובת שכנראה משמשת ומנוטרת בידי צוות ה-IT באותו הארגון הממוקד". הפונקציה שחוקרת את דיווח הפישינג היא בעצמה יעד. קבוצת Gamaredon מתועדת כמי שהשתמשה במודול Outlook במערכות נגועות כדי לשלוח את ההודעות, ונוזקה בשם SameCoin פשוט שולחת את עצמה הלאה לכתובות נוספות בתוך אותו הארגון.

מה המסגרת מציעה נגדה

פרק המיטיגציות של הטכניקה הזאת כולל משפט אחד בלבד, והנה הוא במלואו:

"אי אפשר לצמצם את סוג ההתקפה הזה בקלות באמצעות בקרות מונעות, מכיוון שהוא מבוסס על ניצול לרעה של תכונות מערכת."

המשפט הזה הוא כל התשובה בתחום המניעה. כל השאר עובר לתחום הזיהוי, ושם המסגרת מפורטת יותר מהרגיל. אסטרטגיית הזיהוי DET0054 כוללת חמישה כללי זיהוי, והראשון שבהם מתאר איך זה נראה: "רצף של אימייל פנימי שנשלח מחשבון משתמש שנפרץ לאחרונה (שקדמה לו כניסה חריגה או פעילות התקן), עם קבצים מצורפים או קישורים שמובילים להרצה או לאיסוף פרטי הזדהות", שמזוהה כ"מסירת דואר פנימי לעמיתים עם קבצים מצורפים ברמת אקראיות גבוהה, ולאחריה אירועי לחיצה, הפעלת תהליך או בקשות פרטי הזדהות".

היחידה שמזוהה היא הרצף, לא ההודעה. כניסה חריגה, ואחריה דואר פנימי, ואחריו לחיצה ובקשת פרטי הזדהות. כלל זיהוי נוסף מכסה את אותו הדפוס באפליקציות SaaS ונוקב בשמות Slack, Teams ו-Gmail; כללים אחרים מכסים את Outlook, Apple Mail, Thunderbird ו-Evolution. אף אחד מהם לא מבקש ממישהו להסתכל על אימייל ולחשוד בו.

מה מחקר ה-AI מצא בפועל

הטענה שמסתובבת קלה לניסוח. ה-AI Overview של Google, במענה לחיפוש AI spear phishing, מדווח שתוקפים "משיגים שיעור הקלקות מעל 50%", בהפניה לספק אבטחה ולפוסט סיכום. הוא מציג את זה כמה שהבינה המלאכותית עשתה למתקפה הזאת.

העבודה שביסוד הטענה היא מאמר ב-arXiv, מאת פרד היידינג (Fred Heiding), סיימון לרמן (Simon Lermen), אנדרו קאו (Andrew Kao), ברוס שנייר (Bruce Schneier) וארון וישוואנת' (Arun Vishwanath). המאמר הוגש ב-30 בנובמבר 2024, בשם Evaluating Large Language Models' Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects. זהו טרום-פרסום (preprint), ושווה לומר זאת בפירוש.

מבנה המחקר חשוב יותר מהכותרת שלו. המחקר כלל ארבע קבוצות ו-101 משתתפים בסך הכל, כלומר כ-25 איש בכל קבוצה. מול המדגם הזה: בקבוצת ביקורת עם הודעות פישינג אקראיות, לחצו עליהן ב-12%, ובהודעות שכתבו מומחים אנושיים, לחצו עליהן ב-54%. בהודעות מקמפיין שה-AI הפעיל לבדו, לחצו עליהן ב-54%, ובהודעות מקמפיין AI שכלל מעורבות אנושית, לחצו עליהן ב-56%.

הבינה המלאכותית לא ניצחה את המומחים. היא סיימה בתיקו איתם

התיקו הזה הוא הממצא, וזה לא הסיפור שמספרים עליו. התקציר של המחברים עצמם קובע ש"מתקפות ה-AI האוטומטיות פעלו ברמה זהה למומחים אנושיים, וטובות ב-350% מקבוצת הביקורת."

ההשוואה שבאמת חשובה היא לא בין AI לפישינג רגיל, אלא בין AI לתוקף אנושי מיומן, ושם התוצאה היא תיקו. מה שהשתנה הוא המשתנה האחר שהמחברים מדדו: הקמפיינים "מגדילים את הרווחיות עד פי 50 לקהלים גדולים יותר."

איכות ההודעה לא השתנתה. המחיר של הפקתה כן. זהו מודל איום שונה, ומועיל יותר. היכולת לבחור יעדים ברמת מומחה הייתה מוגבלת בעבר למספר השעות שהיו לתוקף מיומן. אם היום זה עולה כמו קמפיין המוני, השינוי הוא במי שיכול להרשות לעצמו לבחור בכם כיעד, לא במה שמגיע כשזה קורה. ארגון שהניח שהוא קטן מכדי שמישהו ישקיע בו זמן הוא זה שההנחות שלו השתנו.

שני נתוני AI נוספים מופיעים באותה קבוצת תוצאות חיפוש, והעמוד הזה נמנע מלחזור על אף אחד מהם: טענה שזמן ההכנה ירד מ-16 שעות ועד פחות מ-5 דקות, וטענה שהונאות AI גדלו ב-1,210% בתוך שנה. אין לאף אחת מהן שיטה, מאגר נתונים או קו בסיס שפורסמו. הן מוזכרות כאן כפער, לא כראיה.

מה מרכז לאומי לאבטחת סייבר אומר על העצה הזאת

כל עמוד שנאסף מסתיים ברשימה של דברים לחפש. המרכז הלאומי לאבטחת סייבר של בריטניה (National Cyber Security Centre) מפרסם הנחיה באותו נושא, שמאורגנת באופן שונה לגמרי. ההנחיה הזאת לא מופיעה בתוצאות האורגניות של אף אחד משני מנועי החיפוש.

ההנחיה שלו, שפורסמה ב-5 בפברואר 2018 ונסקרה ב-13 בפברואר 2024, מציגה ארבע שכבות הגנה:

1. הקשו על תוקפים להגיע למשתמשים שלכם
2. עזרו למשתמשים לזהות ולדווח על אימיילי פישינג חשודים
3. הגנו על הארגון שלכם מההשלכות של אימיילי פישינג שלא זוהו
4. הגיבו במהירות לאירועים

שימו לב איפה נמצאת רשימת סימני האזהרה. זיהוי מצד המשתמשים הוא השכבה השנייה מתוך ארבע, והשכבה השלישית קיימת כי מצפים שהשכבה הראשונה והשנייה ייכשלו. כל המבנה בנוי סביב הודעות שעוברות.

ההנחיה ישירה באופן חריג לגבי הסיבה לכך. "אף חבילת הדרכה, כולל סימולציות פישינג, לא יכולה ללמד משתמשים לזהות כל ניסיון פישינג." על הנושא הספציפי של המאמר הזה: "לזהות כל אימייל פישינג קשה, ומתקפות spear phishing קשות אף יותר לזיהוי." והסתייגות מעשית שאף עמוד אחר שנאסף לא מעלה: "לבקש מהמשתמשים לבחון לעומק כל אימייל שהם מקבלים לא ישאיר מספיק שעות ביום למשימות העבודה."

המשפט האחרון הזה מתמחר את העצה. בדיקה יסודית של כל הודעה אינה בחינם, והמחיר משולם בשעות העבודה.

אם אתם קוראים את זה כי לחצתם על משהו

עוד משפט אחד מאותה הנחיה שייך כאן, וזה משפט שלהם, לא שלנו: "האשמת המשתמשים בלחיצה על קישורים לא עובדת." ההנחיה מוסיפה כי "איום על מישהו בעונש לא משנה את הגורמים האלה".

המשפטים האלה מגיעים ממרכז לאומי לאבטחת סייבר, בהנחיה מפורסמת. זו לא הרגעה שהעמוד הזה המציא לרגע הזה.

למען הדיוק לגבי מה ש-NCSC אומר ומה שהוא לא אומר: הוא לא אומר שההדרכה חסרת תועלת. השכבה השנייה קיימת, ודיווח הוא חצי מהתכלית שלה. הוא אומר שההדרכה לא יכולה להיות הגבול, וזו טענה שונה, ומבוססת הרבה יותר.

איפה באמת עובר הגבול

חברו בין שני האובייקטים של המסגרת, ולעצה הסטנדרטית שלושה דפוסים מתועדים שהיא לא יכולה לטפל בהם.

• הודעה בפלטפורמה שאין בה כתובת ארגונית לבדיקה, כלומר T1566.003.
• הודעה משירות אמיתי, חתומה נכון ונשלחת נכון, כמו במקרים של Constant Contact ושיתוף הקבצים.
• הודעה מחשבון אמיתי של עמית אמיתי, כלומר T1534, והמסגרת אומרת שבקרות מניעתיות לא יכולות לעצור אותה בקלות.

כל זה הופך לשאלת ההיקף, וזו השאלה שכדאי לצאת איתה, אז הנה היא: האם בקרות הפישינג של הארגון שלכם משתרעות מעבר לשער הדואר הארגוני (mail gateway)? עד פלטפורמת שיתוף הפעולה, ועד הדואר הפנימי שעובר בין עמיתים. עד זיהוי הרצף ש-internal spearphishing דורש בפועל, שבו האות הוא כניסה חריגה, ואחריה דואר פנימי, ואחריו לחיצה. MITRE מציינת את הפלטפורמות בכללי הזיהוי שלה עצמה. השאלה היא אם מישהו עוקב אחריהן.

שני גבולות, כל אחד בשורה אחת, כי הם שייכים לעמודים משלהם ולא לעמוד הזה. מתקפת Whaling ומתקפת business email compromise הן שני וריאנטים על ציר בחירת היעד, שנבדלים לפי מי שמתחזים אליו ומה מתבקש. וערוצי הקול, הטקסט וקוד ה-QR מקבלים כל אחד ערך משלו במילון המונחים הזה.

מה העמוד הזה לא יכול להגיד לכם

אף מאגר נתונים שאותר לא מודד Spear phishing בנפרד מפישינג. מאגרי הנתונים הגדולים של תגובה לאירועים שהאתר הזה קרא מדווחים על וקטור פישינג או email-phishing יחיד. הקטגוריה נלמדת כדבר נפרד, וככל שהמחקר הזה הצליח לקבוע, אף פעם לא נספרת בנפרד.

אין סף. ATT&CK נותנת הגדרה, בלי מבחן. אם אתם צריכים לסווג אירוע כמקרה של בחירת יעד או לא, אתם מפעילים שיקול דעת, ושום דבר שאותר לא יעשה זאת בשבילכם.

מחקר ה-AI הוא טרום-פרסום עם 101 משתתפים בארבע קבוצות. זו הראיה הטובה ביותר שקיימת בנושא, מחקר יחיד של כעשרים וחמישה אנשים בכל קבוצה. אסור להכליל אותו לטענה על העולם.

העמוד הזה דחה שני נתוני AI שמסתובבים, כי לא פורסמה שיטה, מאגר נתונים או קו בסיס לאף אחד מהם.

הגרסה הקצרה

מתקפת Spear phishing היא פישינג שמכוון ליחיד, לחברה או לענף ספציפיים, וזה הניסוח של המסגרת עצמה, והוא רחב יותר מההגדרה שבשימוש הכללי. ל-ATT&CK אין טכניקה שנקראת כך: יש לה טכניקת האב בשם Phishing, ארבע תת-טכניקות שכולן וריאנטים של spearphishing, ואין תת-טכניקה למקרה הכללי בכלל.

שניים מהדפוסים האלה מנצחים את העצה שכולם נותנים. T1566.003 מגיעה בשירות שאין בו כתובת ארגונית לבדיקה, לפעמים דרך ספק אמיתי. T1534 מגיעה מחשבון אמיתי של עמית אמיתי, ו-MITRE אומרת שבקרות מניעתיות לא יכולות לעצור אותה בקלות.

מחקר ה-AI שכולם מצטטים מצא תיקו מול מומחים אנושיים, לא ניצחון, על 101 משתתפים. מה שהשתנה הוא העלות, וזה משנה מי יכול להרשות לעצמו לבחור אתכם כיעד.

הדבר האחד שכדאי לעשות אחרי קריאת העמוד הזה: בדקו אם בקרות הפישינג שלכם נעצרות בשער הדואר הארגוני. אם כן, שניים משלושת הדפוסים המתועדים שמופיעים למעלה מגיעים למקום שאף אחד לא בודק.