שרת האקרים חשוף מאשר פעילות הונאה נרחבת של כרטיסי מתנה ותוכניות נוספות

שרת חשוף מאשר פעילות הונאה נרחבת של כרטיסי מתנה

חוקרי Cybernews גילו בסוף יולי 2026 שרת של שחקן איום חשוף, שבו נשמרו קוד מקור, הערות פריצה, מסדי נתונים ותוצאות של מבצע הונאת כרטיסי מתנה נרחב. לפי הערכת הצוות, תוכנית זו פעלה לפחות ממרץ 2026.

התוקף התמקד בגניבת כרטיסי מתנה שהועלו לפלטפורמות מסחר P2P ובחילוץ נתוני הכרטיסים לפני השלמת עסקה רגילה. כרטיסי מתנה הם מטרה אטרקטיבית מכיוון שהם פועלים כמזומן דיגיטלי: ניתן להשתמש בהם במהירות, למכור אותם בקלות, ולהשיבם לאחר הגניבה קשה.

כיצד פעלה המבצע

שחקני האיום סרקו פלטפורמות מקוונות באופן אוטומטי. בעלי השרת זיהו 58 פלטפורמות מכירה של כרטיסי מתנה ו-3 בורסות קריפטו P2P שקיבלו כרטיסי מתנה כאמצעי תשלום. מקור ההכנסה העיקרי היה גניבת כרטיסי מתנה שהועלו זה עתה: הם השתמשו ב-10 סקריפטי Python ב-10 פלטפורמות וניטרו העלאות חדשות בחלון של 90 שניות.

התוקף ניצל storage buckets חשופים לציבור והגדרות שגויות, שאפשרו עקיפת דף הרשאה או גישה לנתוני כרטיסי מתנה. על השרת נשמרו 4,098 רשומות הזמנה, 3,690 חשיפות תמונה ו-3,998 תמונות כרטיסי מתנה גנובות הקשורות ל-Cardlumi. לפלטפורמה אחת, Cardtonic, הייתה הגדרת API שגויה שאפשרה לכל משתמש מאומת לבקש מידע מכירה, כולל קודי כרטיסי מתנה בטקסט גלוי וכתובות דוא"ל של משתמשים; עם זאת, הדבר נבדק רק ברמת הוכחת היתכנות.

נחשפו גם מבצעים נוספים

על השרת נמצא גם חומר נגד Trustonic ALPS, פלטפורמת ענן שמפעילי סלולר משתמשים בה לנעילה או פתיחה מרחוק של מכשירים. התוקף שילב אישורי הרשאה שנפגעו עם הגדרת API שגויה שאפשרה רק למשתמשים בעלי הרשאות קריאה לשנות מדיניות נעילת מכשיר. Trustonic מסרה כי חקירה פנימית גילתה שאישורי ההרשאה של חשבונות שנפגעו הושגו במכשירי משתמשים דרך נוזקת infostealer ולא דרך פריצה לפלטפורמה. החברה איפסה סיסמאות של חשבונות שנפגעו.

המבצע השני היה קשור ל-Octoplus Box, כלי שירות לטלפונים ניידים. התוקף יצר שירות GSM מזויף הדומה ל-API של Dhru Fusion ורכש שירותים באמצעות 10 חשבונות שנפגעו דרך בוט Telegram. על השרת נשמר מסד נתונים SQLite עם נתוני חשבונות משווקים שנפגעו, כולל שמות משתמש, סיסמאות בטקסט גלוי ו-341 רשומות עסקה.

תהליך עבודה שנתמך בינה מלאכותית

לדברי החוקרים, הונאת כרטיסי המתנה התנהלה בחלקה הקטן בתמיכת בינה מלאכותית, שבה Claude של Anthropic שימש כסוכן AI ראשי בתהליך הפריצה. בקבצים נמצאו כתובות דוא"ל אישיות שעשויות להשתייך לתוקף, וחשבונות שנכתבו בספרדית מצביעים על כך שהמפעיל דובר ספרדית.

כרונולוגיית החשיפה: הפירצה התגלתה ב-19 ביולי 2026; הודעה ראשונית ל-Cardtonic ול-Trustonic נשלחה ב-28 באוגוסט 2026; הודעה ראשונית ל-Cardlumi נשלחה ב-31 באוגוסט 2026; נרשם שהפירצה נסגרה ב-14 באוגוסט 2026.

מקורות: Cybernews