בינה מלאכותית הפכה את הנייד לזירת התקיפה המרכזית של הארגון
מתקפות דיוג חכמות, נוזקות משכתבות את עצמן ושימוש בלתי מפוקח בכלי בינה מלאכותית מציבים את המכשיר הנייד כחוליה החלשה – וארגונים עדיין ללא נראות או הגנה
Photo by freestocks on Unsplash
דו״ח האיומים הגלובלי של זימפריום לשנת 2026 חושף מציאות מדאיגה: הבינה המלאכותית לא רק מאיצה את מתקפות הסייבר על הסביבה הניידת, אלא הופכת אותן למתוחכמות, אוטומטיות וקשות לאיתור מאי פעם. בזמן שארגונים השקיעו בהגנה על התשתיות המסורתיות, המכשיר הנייד – שמשמש כיום רכזת זהות ואימות עבור כמעט מחצית מעובדי השטח בארה״ב – נותר נקודה עיוורת.
צוות המחקר zLabs של זימפריום תיעד יותר מ-2.5 מיליון מתקפות דיוג על מכשירי עובדים בשנה האחרונה. אירועי הדיוג שזוהו במכשירים ניידים זינקו ב-380% מתחילת 2025, ומספר המכשירים שבהם לחצו עובדים על קישור זדוני גדל ב-110% לעומת השנה הקודמת.
על פי הדו״ח, 86% ממתקפות הדיוג מכילות מרכיבים שנוצרו על ידי AI, והתוכן המיוצר מוערך כמשכנע פי 4.5 מתוכן שנכתב בידי אדם. גם הערוצים השתנו: הודעות SMS (סמישינג) אחראיות ל-70% ממתקפות הדיוג הניידות, והתחזות למותגים מוכרים כמו וואטסאפ, טלגרם וספקיות תקשורת זינקה במאות אחוזים. החוקרים מדגישים כי בעוד שבעבר אימון עובדים התמקד בזיהוי שגיאות כתיב וסימנים מחשידים, הרי שהיום פיתיונות ה-AI מוחקים את ההבחנה הזו לחלוטין.
הנוזקות לנייד אינן רק מגוונות – הן גם כותבות את עצמן מחדש. מהדו״ח עולה כי תוכנות ריגול מותקנות על כמעט אחד מכל עשרה מכשירים – עלייה של פי ארבעה לעומת השנה שעברה, ורושעות (Riskware) נמצאות על יותר מרבע מהמכשירים. במקביל, 34 משפחות נוזקה פעילות תוקפות מעל 1,200 מותגים פיננסיים ב-90 מדינות, תוך שהן עוקפות כל שכבת הגנה מסורתית: אימות רב-שלבי, הצפנה ומערכות ניהול הונאה – כולן נפרצות על ידי כלים דוגמת חטיפת קודים חד-פעמיים, שליטה מרחוק על המכשיר ורישום הקשות.
דו״ח הפריצות של ורייזון לשנת 2026, בשיתוף אנתרופיק, חושף כי שחקני איום משתמשים ב-AI בעשרות טכניקות תקיפה שונות, וכבר תועדה נוזקה (VoidLink) שנבנתה כולה על ידי סוכן AI תוך שישה ימים, ללא מגע יד אדם.
תופעה נוספת שמטרידה את החוקרים היא ״צל הבינה המלאכותית״ (Shadow AI) – עובדים שמזינים נתונים ארגוניים רגישים לכלי GenAI לא מאושרים, לעיתים דרך אפליקציות אישיות באותו המכשיר. לפי ורייזון, 45% מהעובדים כבר משתמשים ב-AI במכשיר הארגוני, ו-67% עושים זאת דרך חשבונות לא ארגוניים – בלי שהארגון יודע לאן המידע זורם. בדיקות זימפריום גילו כי 63% מאפליקציות העסקים באנדרואיד ו-52% ב-iOS מעבירות מידע ללא הצפנה נאותה, ושיעור ניכר מהן מתקשר עם שרתים במדינות תחת סנקציות.
אימוץ ה-AI בתוך אפליקציות גדל פי 14 באנדרואיד ופי 7 ב-iOS, אך תהליכי האישור הארגוניים לא עודכנו בהתאם. זימפריום מזהירה כי גם קוד שנכתב בסיוע AI, במה שמכונה Vibe Coding, מגביר את שיעור הפגיעויות: 45% מדגימות הקוד שנוצרו ב-AI נכשלו במבחני אבטחה בסיסיים.
על רקע זה, רגולטורים בעולם מתחילים לפעול. ממשלת ארה״ב (באמצעות DISA), צרפת ובריטניה פרסמו בשנה האחרונה הנחיות ואף דרישות מחייבות לאבטחת מכשירים ניידים ולזיהוי הונאות בזמן אמת – תוך שהם מצביעים על השימוש הגובר של תוקפים ב-AI. המסקנה המרכזית של הדו״ח ברורה: המכשיר הנייד הוא משטח התקיפה הגדול והחשוף ביותר בארגון, והפער בין יכולות ההתקפה לבין הנראות והממשל הארגוני מעולם לא היה עמוק יותר.