Cotton Sandstorm: Hack-and-Leak, השפעה איראנית והגנת אמון ארגוני
רוב הארגונים חושבים על תקיפה איראנית במונחים של נוזקה, הצפנה או השבתה. Cotton Sandstorm מזכירה שהסיכון רחב יותר: שילוב של פריצה טכנית, גניבת מידע, התחזות תקשורתית, הדלפה מתוזמנת ולחץ פסיכולוגי. הקבוצה, שמוכרת גם בשם Emennet Pasargad ובכינויים NEPTUNIUM, Haywire Kitten, Holy Souls ו-MARNANBRIDGE, נקשרה על ידי Microsoft, רשויות אכיפה בארצות הברית ומאגרי מודיעין כמו Malpedia לפעילות איראנית ממוקדת השפעה.
במקום להסתפק בחדירה שקטה לרשת, Cotton Sandstorm מנסה להפוך את הגישה לנשק ציבורי: לגרום למנהלים, לקוחות, מצביעים או קהילות להאמין שהארגון איבד שליטה. לכן ההיערכות מול קבוצה כזו אינה מסתכמת ב-EDR או חומת אש. היא דורשת שילוב בין ניטור נכסים דיגיטליים, Threat Hunting, הקשחת זהויות, הגנה על מכשירי מובייל, ניהול משבר ותגובה תקשורתית.
עבור ארגונים בישראל, זהו בדיוק המקום שבו פתרונות Persist Security מתחברים לתמונה: Quantum – Cyber Threat Intelligence לזיהוי מוקדם של חשיפה ושיח עוין, Atlas – Mobile Threat Defense להגנת מכשירים ניידים ו-BYOD, Managed SentinelOne EDR + SOC 24/7 לזיהוי ותגובה בתחנות קצה, ושירותי Persist Security לניהול סיכוני סייבר, בדיקות חדירה, מוכנות לאירוע ו-Threat Hunting.
תקציר מהיר למנהלים
- Cotton Sandstorm היא קבוצת השפעה איראנית המחברת בין פריצה, הדלפה, התחזות ונרטיב ציבורי.
- הסיכון המרכזי אינו רק גניבת מידע, אלא שימוש במידע כדי לפגוע באמון לקוחות, הנהלה, עובדים וקהלים ציבוריים.
- ארגונים בישראל צריכים להגן גם על נכסים “שוליים”: אתרי שיווק, פורטלי לקוחות, חשבונות דיוור, רשתות חברתיות ודומיינים ישנים.
- ההיערכות הנכונה משלבת SOC/MDR, CTI, הגנת מובייל, ניהול זהויות, בדיקות חשיפה ותרגול תגובה לדליפה.
- Persist Security יכולה לסייע בבדיקת חשיפה, Threat Hunting, SOC 24/7, הגנת מכשירי מובייל, תרגול Hack-and-Leak ותגובה לאירוע.
מי היא Cotton Sandstorm ומה מייחד את דפוס הפעולה שלה
Cotton Sandstorm היא שחקן איראני שממוקד בשילוב בין סייבר למבצעי השפעה. Microsoft משתמשת בשם Cotton Sandstorm במסגרת טקסונומיית “Sandstorm” שלה לשחקנים איראניים, בעוד מקורות אחרים משתמשים בשם Emennet Pasargad, שם חברה איראנית שנקשרה בפומבי לפעילות. הרשויות בארצות הברית ייחסו לשני אזרחים איראניים קמפיין דיסאינפורמציה ואיומים סביב בחירות 2020, שכלל פריצה למערכות בחירות מדינתיות, שליחת הודעות מאיימות, יצירת סרטון מטעה וניסיון להפיץ מידע שקרי על חולשות במערכות הצבעה.
מה שמבדיל את Cotton Sandstorm מקבוצות ריגול קלאסיות הוא התוצר הסופי. קבוצת ריגול עשויה לשמור מסמכים בסתר; קבוצה הרסנית עשויה למחוק מערכות; Cotton Sandstorm מחפשת לעיתים אפקט ציבורי. היא יכולה להשתמש בגישה טכנית כדי לבנות נרטיב: “יש לנו מידע”, “המערכת פגיעה”, “הציבור אינו יכול לסמוך על המוסד”. לכן גם אירוע קטן לכאורה, כמו דף אינטרנט שהושחת או מאגר משני שנחשף, עלול להפוך למנוף השפעה אם אינו מטופל מהר, מדויק ושקוף.
הקבוצה גם פועלת דרך פרסונות. הכינוי Holy Souls נקשר לפעילות נגד Charlie Hebdo, בעוד שמבצעי בחירות השתמשו בזהויות מטעות שנועדו להיראות כאילו הן מגיעות מקבוצות מקומיות. זהו דפוס מוכר במבצעי תודעה: התוקף לא רק מסתיר את מקורו, אלא מנסה לבחור “מסכה” שתייצר מקסימום פילוג, פחד או תהודה תקשורתית. בישראל, שבה סביבת המידע רגישה במיוחד, היכולת לזהות את המסכה בזמן חשובה כמעט כמו זיהוי כתובת ה-IP.
מה מלמדים מבצעי הבחירות, Charlie Hebdo והזירה הישראלית
הקמפיין סביב בחירות 2020 בארצות הברית הוא דוגמה קלאסית לחיבור בין גישה טכנית להשפעה. לפי הודעת Department of Justice, התוקפים השיגו מידע על בוחרים מאתר בחירות מדינתי אחד לפחות, שלחו הודעות דואר אלקטרוני מאיימות שנועדו להיראות כאילו הגיעו מקבוצה קיצונית, והפיקו סרטון שטען באופן מטעה כי ניתן לנצל חולשות במערכות הבחירות. גם אם הנזק הטכני היה מוגבל, המטרה הייתה לערער אמון בתהליך דמוקרטי.
במקרה של Charlie Hebdo, Malpedia ומקורות נוספים מציינים פעילות Hack-and-Leak וחשיפה של מידע אישי בהיקף של יותר מ-200,000 לקוחות. הבחירה ביעד אינה מקרית: ארגון תקשורת טעון, קהל עולמי, רגישות פוליטית ויכולת ליצור רעש מעבר להיקף הפריצה עצמה. כאן שוב רואים את אותו עיקרון: מידע גנוב אינו רק נכס מודיעיני; הוא חומר גלם ליצירת לחץ, מבוכה ופחד.
Microsoft דיווחה ב-2024 כי Cotton Sandstorm נערכה להשפעה סביב מערכת הבחירות בארצות הברית, בין היתר באמצעות תשתיות ופעילות איסוף. הדוח הרחב יותר על שחקנים איראניים מצביע על כך שאיראן משתמשת בסייבר ככלי להגדלת השפעה אסטרטגית, לא רק ככלי פריצה נקודתי. לכן ארגונים בישראל צריכים להניח שגם מתקפה על חברה עסקית יכולה להיות חלק מסיפור רחב יותר: פגיעה באמון ציבורי, ניסיון להציג חוסר יציבות, או יצירת לחץ בזמן עימות אזורי.
הסיכון הישראלי מתחדד כאשר משלבים ספקים, מערכות לקוחות ונכסים פומביים. אתר שיווקי, פורטל לקוחות, מערכת CRM, דומיין נטוש או חשבון רשת חברתית ישן עשויים להיות נקודת פתיחה. אם התוקף מצליח להשיג מידע אישי, מסמכים פנימיים או גישה לחשבון תקשורת, הוא יכול לבנות קמפיין שנראה אמין גם בלי להשתלט על מערכות ליבה. לכן ההגנה צריכה לכלול לא רק שרתים קריטיים, אלא גם נכסים “שוליים” שמחזיקים אמון ציבורי.
שרשרת תקיפה אפשרית: מהאיסוף הראשוני ועד קמפיין ההשפעה
בשלב הראשון, Cotton Sandstorm ושחקנים דומים ממפים נכסים חשופים: אתרים, מערכות ניהול תוכן, שרתי דואר, שירותי VPN, מאגרי מידע פתוחים, חשבונות ענן ופרופילים ציבוריים של עובדים. המטרה אינה תמיד פריצה מיידית. לעיתים האיסוף נועד להבין מי מקבל החלטות, אילו ספקים מחוברים לארגון, היכן נמצאים מאגרי משתמשים, ואילו נושאים יכולים לייצר תהודה ציבורית.
בשלב השני מגיעה חדירה או השגת מידע. היא יכולה להתבסס על חולשות מוכרות, סיסמאות שדלפו, פישינג ממוקד, ניצול חשבון צד שלישי או מערכת שלא עודכנה. CISA התריעה בעבר על שחקנים איראניים שניצלו חולשות Microsoft Exchange ו-Fortinet, והדגישה צורך בעדכון מהיר, MFA וסיסמאות ייחודיות. גם אם אותה התרעה אינה ייחודית רק ל-Cotton Sandstorm, היא משקפת דפוס איראני רחב: ניצול מהיר של חשיפה קיימת לפני שהארגון סוגר אותה.
בשלב השלישי התוקף בוחר כיצד להפוך את הגישה להשפעה. אפשרות אחת היא הדלפה פומבית של מידע. אפשרות שנייה היא התחזות לדמות מקומית ושליחת הודעות מאיימות או מפלגות. אפשרות שלישית היא פרסום “הוכחות” חלקיות, כמו צילומי מסך או קבצים בודדים, כדי לגרום לקורבנות ולתקשורת להניח שהנזק גדול יותר. זו נקודה קריטית: גם מידע אמיתי בהיקף קטן יכול להיראות כמו אירוע ענק אם אין לארגון תמונת מצב מסודרת.
בשלב הרביעי מתחיל קרב האמון. אם הארגון מגיב באיחור, מפרסם הודעה עמומה או אינו מסוגל לומר אילו מערכות נפגעו, התוקף מרוויח. אם הארגון יודע לזהות את מקור הדליפה, לחסום גישה, לבדוק שלמות מידע, לעדכן לקוחות ולנהל מסרים אחידים, הוא מצמצם את אפקט ההשפעה גם לפני שהחקירה הטכנית הושלמה. מול Cotton Sandstorm, זמן התגובה הציבורי הוא חלק מבקרת האבטחה.
איפה Persist Security משתלבת בהגנה מול Hack-and-Leak
הגנה מול קמפיין Hack-and-Leak דורשת ראייה רחבה יותר ממוצר נקודתי. Persist Security יכולה לסייע בכמה שכבות משלימות, בלי להבטיח “חסינות מוחלטת” אלא במטרה לצמצם חשיפה, לקצר זמן גילוי, לשפר תגובה ולהקטין נזק תודעתי.
Quantum: מודיעין מוקדם וניטור נרטיבים עוינים
Quantum מיועד לזיהוי מוקדם של חשיפות ושיח עוין במקורות גלויים, Dark Web, ערוצי Telegram, פורומים וקבוצות דלף. מול Cotton Sandstorm, היכולת לזהות אזכור של שם הארגון, דומיין, מנהל בכיר, ספק או מאגר לקוחות יכולה לתת לארגון חלון תגובה קריטי לפני שהסיפור מתפוצץ. זה חשוב במיוחד כאשר התוקף בונה קמפיין סביב “הוכחות” חלקיות או מסמכים שנגנבו בעבר.
SOC/MDR ו-SentinelOne: גילוי מוקדם ותגובה מהירה
שירותי Managed SentinelOne EDR + SOC 24/7 מסייעים בזיהוי התנהגות חריגה בתחנות קצה, ניסיון גניבת מידע, הרצת כלים חשודים, תנועה לשרתים חיצוניים וניסיונות התמדה. כאשר משלבים EDR עם צוות SOC שמנטר, מתעדף ומסלים אירועים בזמן אמת, הארגון מקבל סיכוי טוב יותר לזהות את שלב החדירה או האקספילטרציה לפני שהוא הופך להדלפה ציבורית.
Atlas: אבטחת מובייל למנהלים, עובדים ו-BYOD
במבצעי השפעה, מכשיר מובייל של מנהל, דובר, איש שיווק או בעל הרשאות לחשבונות רשת חברתית יכול להיות נקודת כניסה משמעותית. Atlas מספק הגנת Mobile Threat Defense מבוססת Check Point Harmony Mobile, עם ניטור 24/7 על ידי SOC, נגד פישינג ב-SMS, WhatsApp ודפדפן, אפליקציות זדוניות, רוגלות ורשתות WiFi עוינות. עבור ארגונים עם BYOD או צוותים בכירים, זו שכבת הגנה קריטית על הערוץ שבו מתקפות התחזות מתחילות לעיתים קרובות.
בדיקות חדירה, חשיפה חיצונית ותרגול משבר
שירותי Persist Security כוללים גם בדיקות חדירה, בדיקות חשיפה וניהול מוכנות לאירוע. מול Cotton Sandstorm, בדיקה טובה צריכה לשאול לא רק “האם אפשר לפרוץ?”, אלא “איזה נכס אפשר להפוך לכותרת?”. פורטל לקוחות ישן, WordPress לא מעודכן, דומיין נשכח, חשבון דיוור לא מוגן או הרשאת ענן מיותרת יכולים לייצר נזק ציבורי גם אם מערכות הליבה נשארו תקינות.
איך ארגונים בישראל צריכים להיערך מול Hack-and-Leak
ההכנה מתחילה במיפוי נכסים דיגיטליים ציבוריים. יש להחזיק רשימה עדכנית של דומיינים, תתי-דומיינים, אתרים ישנים, מערכות SaaS, חשבונות רשת חברתית, פורטלי לקוחות, ספקי דיוור ומאגרי מידע שמחזיקים פרטים אישיים. נכס שאינו מנוהל הוא נכס שאפשר להפוך לכותרת. מומלץ לבצע סריקות חשיפה חיצוניות קבועות, לבדוק תעודות SSL, הרשאות DNS, גרסאות CMS ותוספים, ולסגור סביבות בדיקה שנשארו פתוחות.
השלב הבא הוא הקשחת זהויות. MFA חייב להיות מופעל לחשבונות דואר, ענן, רשתות חברתיות, מערכות דיוור וניהול אתרים. יש להפריד בין חשבונות אישיים לחשבונות שירות, לבטל הרשאות עובדים שעזבו, ולנטר כניסות ממדינות, מכשירים ושעות חריגות. במבצעי השפעה, חשבון דואר של מנהל שיווק או דוברות יכול להיות מסוכן כמעט כמו חשבון מנהל מערכת.
בנוסף, צריך לבנות תהליך תגובה לדליפה. התהליך צריך לכלול צוות טכני, ייעוץ משפטי, הנהלה, דוברות ושירות לקוחות. מראש יש להכין תבניות הודעה בעברית ובאנגלית, להגדיר מי מאשר פרסום, כיצד מאמתים מסמכים שהודלפו, ומתי מודיעים לרשות להגנת הפרטיות או ללקוחות. ארגון שמתחיל לחשוב על זה אחרי שהמידע כבר בטלגרם נמצא בפיגור.
בצד הטכני, מומלץ לבצע Threat Hunting סביב גישה לא מורשית למערכות Web, הורדות חריגות ממאגרי לקוחות, יצירת משתמשים חדשים, שינויי DNS, כללי Forwarding בדואר, התחברות לסביבות דיוור, ושימוש בכלי יצוא נתונים. חשוב במיוחד לבדוק לוגים היסטוריים של 90 עד 180 יום, כי קמפיין השפעה יכול להתבסס על מידע שנגנב הרבה לפני הפרסום.
לבסוף, יש לתרגל. תרגיל טוב צריך להתחיל בהודעה פומבית של תוקף שטוען כי פרץ לארגון, להמשיך בבדיקת אמיתות המסמכים, ולבחון האם הצוות יודע להבדיל בין דליפה אמיתית, מידע ממוחזר והטעיה מכוונת. המטרה אינה רק לסגור פרצה, אלא לשמור על אמון לקוחות בזמן לחץ.
מה חסר בעמודים המובילים ומה כדאי לעשות כבר השבוע
חמשת עמודי הייחוס המרכזיים סביב Cotton Sandstorm נותנים תמונה חשובה אך לא מלאה לקורא הישראלי. Microsoft מספקת את ההקשר העדכני ביותר על פעילות סביב בחירות 2024 והחיבור בין איראן להשפעה דיגיטלית, אך מתמקדת בזירה האמריקאית. Department of Justice מפרט את האישומים סביב קמפיין 2020, אך מטבעו הוא מסמך משפטי ולא מדריך הגנה. Malpedia מרכז שמות, כינויים והקשר ל-Hack-and-Leak, אך קצר ואינדקסי. CISA מספקת בקרות בסיסיות נגד ניצול חולשות איראניות, אך אינה ממוקדת בקמפיינים תודעתיים. פרסומי Rewards for Justice ו-FBI מסייעים להבין את הייחוס והמעורבים, אך פחות מסבירים איך ארגון עסקי בישראל צריך להתכונן.
הפער המרכזי הוא חיבור בין אבטחת מידע לניהול אמון. לכן ההמלצה לשבוע הקרוב היא מעשית: למפות את כל הנכסים הציבוריים, להפעיל MFA בכל ערוצי התקשורת והפרסום, לבדוק אם קיימים מאגרי לקוחות חשופים או ישנים, להכין Playbook לדליפה, ולבצע Hunting ממוקד סביב יצוא מידע וכניסות חריגות. במקביל, כדאי לבדוק האם הארגון יודע מי מוסמך לפרסם תגובה במקרה שהודעת תוקף מופיעה ברשתות.
שאלות נפוצות
האם Cotton Sandstorm היא קבוצת ריגול או קבוצת השפעה?
Cotton Sandstorm מחברת בין יכולות סייבר לבין מבצעי השפעה. במקרים שונים היא נקשרה לגניבת מידע, התחזות, דיסאינפורמציה והדלפות. לכן נכון להתייחס אליה כשחקן שמשתמש בפריצה טכנית כדי לייצר אפקט ציבורי ותודעתי.
למה Hack-and-Leak מסוכן גם אם המידע שנגנב מוגבל?
כי המידע משמש כחומר גלם לנרטיב. גם קובץ אמיתי אחד, צילום מסך או מאגר חלקי יכולים לגרום ללקוחות ולעיתונות להניח שהאירוע גדול יותר, במיוחד אם הארגון מגיב באיחור או אינו מסוגל להסביר מה באמת קרה.
איך Quantum יכול לעזור מול קמפיין השפעה?
Quantum יכול לסייע בזיהוי מוקדם של אזכורי ארגון, דומיין, עובדים, דליפות או שיח עוין במקורות מודיעין שונים. המטרה היא לאפשר לארגון להבין מוקדם יותר שיש סביבו פעילות, ולא לחכות שהאירוע יגיע לתקשורת.
למה אבטחת מובייל רלוונטית ל-Cotton Sandstorm?
מבצעי השפעה משתמשים לעיתים בפישינג, התחזות וחשבונות תקשורת. מכשיר מובייל של מנהל, דובר או עובד עם גישה לחשבונות רשת חברתית יכול להיות נקודת כניסה. Atlas מספק שכבת Mobile Threat Defense שמסייעת לצמצם את הסיכון הזה.
מקורות מרכזיים
- Microsoft: Iran targeting 2024 US election
- Microsoft: Iran steps into US election 2024 with cyber-enabled influence operations
- Department of Justice: Two Iranian nationals charged in cyber-enabled disinformation and threat campaign
- Malpedia: Emennet Pasargad / Cotton Sandstorm
- CISA: Iranian government-sponsored APT cyber actors exploiting Microsoft Exchange and Fortinet vulnerabilities
סיכום: לא רק להגן על השרת — להגן על אמון הציבור
מול Cotton Sandstorm, השאלה אינה רק האם התוקף הצליח להיכנס לרשת. השאלה היא האם הוא יכול להפוך את הכניסה לסיפור ציבורי שפוגע באמון. ארגון שמנהל נכסים דיגיטליים, לקוחות, מערך דיוור או מותג ציבורי חייב לדעת לזהות חשיפה מוקדם, להגיב מהר, לאמת מידע שדלף ולתקשר בצורה אמינה.
צוות Persist Security יכול לסייע בבדיקת חשיפה, Threat Hunting, SOC/MDR, אבטחת מובייל עם Atlas, מודיעין עם Quantum, וניהול מוכנות לאירוע Hack-and-Leak. מול שחקנים כמו Cotton Sandstorm, מי שמגן רק על השרת עלול להפסיד את אמון הציבור.
—
כותב: Paz Shwartz, CEO of Persist Security — מומחה סייבר, CISO, בודק חדירות וחוקר איומים.
LinkedIn: https://www.linkedin.com/in/pazshwartz/
תאריך פרסום: 2026-07-29
עודכן לאחרונה: 2026-07-29
