ב-3 בנובמבר 2026 פרסמה יחידת המחקר של חברת האבטחה Cato Networks ממצאים על קמפיין פישינג שמכוון לעסקים ולארגונים בישראל ומתחזה לרשות המסים. לפי החוקרים, המיילים נשלחים לפחות מספטמבר 2026, והם מיועדים בעיקר למי שעוסק בכספים, בהנהלת חשבונות ובמינהלה. אלה בדיוק האנשים שפותחים כל יום מסמכים שקשורים למס, וזה מה שהתוקפים מנצלים.
רשות המסים עצמה לא פרסמה אזהרה. ברשימת ההודעות של הרשות מאותו שבוע אין התייחסות לקמפיין.
המסלול מהמייל ועד הקובץ
ההודעה נראית כמו התראה רשמית של רשות המסים ומזמינה את הנמען להיכנס ל"אזור האישי". הקישור לא מוביל לאתר הממשלה. הוא מוביל לאתר מתחזה, באחת מכמה כתובות שנרשמו כדי להיראות ממשלתיות: doc-taxes-govil.org, document-govil.com, doc26-govil.org ו-document-govil.online.
באתר מופיע שלב "אימות" שמזכיר בדיקת CAPTCHA: תיבת סימון, כפתור "המשך" וסיסמה קבועה, 123123. השלב הזה לא בודק כלום. תפקידו לגרום לתהליך להיראות כמו מסירה מאובטחת של מסמך. בסופו יורד למחשב קובץ ZIP, בשם כמו Israel_Tax_Authority.zip או document.zip, ובתוכו קובץ הפעלה בשם "רשות המסים בישראל.exe" או document.exe.
אחרי לחיצה כפולה על הקובץ
הקובץ מתקין את SimpleHelp, תוכנה חוקית לתמיכה טכנית מרחוק, בגרסה ישנה (5.4.5). ההתקנה מוגדרת מראש להתחבר לשרת של התוקפים. מאותו רגע יש להם שליטה מלאה במחשב, ומשם הם יכולים להמשיך לשאר המחשבים ברשת של העסק.
התוקפים לא פרצו לתוכנה עצמה. החוקרים דיווחו על הקמפיין ל-SimpleHelp ב-20 באוקטובר, והחברה מסרה שלא ראתה ניצול של פרצה אצלה. התוקפים פשוט משתמשים בכלי לגיטימי למטרה זדונית, ומה שמותקן על המחשב הוא תוכנת תמיכה מוכרת.
החוקרים חושדים שמאחורי הקמפיין עומדת MuddyWater, קבוצת תקיפה שמזוהה עם משרד המודיעין של איראן. הם מבססים את החשד על השילוב של מטרות ישראליות, התחזות לגוף ישראלי והתקנת תוכנת שליטה מרחוק דרך פישינג, דפוס שתועד אצל הקבוצה בעבר. הייחוס עדיין לא אושר.
סימנים שהמייל לא הגיע מהרשות
כתובת של אתר ממשלתי מסתיימת ב-gov.il. כתובת כמו document-govil.com היא דומיין אחר לגמרי, שמישהו רשם בתשלום. האותיות "govil" בתוך השם לא הופכות אותו לממשלתי.
מסמך מס הוא קובץ PDF או טופס באזור האישי. קובץ שמסתיים ב-.exe הוא תוכנה, גם אם קוראים לו "רשות המסים בישראל". אותו דבר לגבי קובץ ZIP שנפתח בסיסמה שמופיעה באתר עצמו.
מי שקיבל מייל כזה ורוצה לבדוק אם באמת מחכה לו משהו ברשות, צריך להקליד בעצמו את כתובת האתר של רשות המסים בדפדפן ולהיכנס משם לאזור האישי, בלי ללחוץ על הקישור שבמייל.
בעסק עם עובדים, כדאי להעביר את התיאור הזה למי שפותח את הדואר של הנהלת החשבונות. במשרד קטן זה לרוב בעל העסק עצמו או מנהלת החשבונות החיצונית, והם בדיוק קהל היעד של הקמפיין.
אם הקובץ כבר הופעל
מחשב שהריצו בו קובץ כזה צריך לצאת מהרשת מיד: לנתק את הכבל או לכבות את ה-Wi-Fi. אחר כך בודקים ברשימת התוכנות המותקנות אם מופיעה SimpleHelp, תוכנה שאף אחד בעסק לא התקין. אם היא שם, התוקף כנראה נכנס.
את הסיסמאות לבנק, לדואר, לתוכנת החשבונות ולאזור האישי ברשות המסים מחליפים ממכשיר אחר, לא מהמחשב שנפגע. עסק שעובד עם איש מחשבים או חברת תמיכה צריך לערב אותם עוד באותו יום, כי מי שקיבל גישה למחשב אחד יכול לנסות להגיע גם לשרת ולגיבויים.