כתב אישום נגד ההאקר מאשקלון: ביצע שורת מתקפות סייבר על חברות

פרקליטות המדינה הגישה היום (ה') לבית משפט השלום בראשון לציון כתב אישום נגד מיכאל בר (43) מאשקלון, שנאשם שביצע מתקפות סייבר רחבות היקף נגד שורה ארוכה של חברות בישראל ונגד אנשים פרטיים, וקצר מהם מידע עסקי ופרטי. הוא נעצר לפני קצת פחות מחודש, וכמה ימים לאחר מכן פורסם בלעדית באנשים ומחשבים כי הוא היה עובד IT ומומחה סייבר. הווה אומר, מקצוען אבטחת מידע ביום – והאקר בלילה.

על פי כתב האישום, שהוגש על ידי עורכי הדין אלעד דיין וחווי לרנר ממחלקת הסייבר בפרקליטות המדינה, "החל מ-2019 ועד למעצרו, לפני כשלושה שבועות, בר פעל באופן שיטתי להפצה ולהפעלה של נוזקות, ששימשו אותו ככלי סייבר התקפיים. הוא פיתח אותן בעזרת כלי בינה מלאכותית. הנוזקה הראשונה היא WINDOWSAUDIT.EXE, והשנייה היא WESERCH".

באמצעות הנוזקות, בר חדר מרחוק למחשבים של 26 חברות במשק הישראלי, ששמותיהן לא צוינו, וכן למחשבים של אנשים פרטיים, ושאב מהם מידע.

לפי התביעה, בר, ששימש באותה עת כמנהל אבטחת מידע בחברה המאגדת כמה חברות בתחום הבנייה ועיצוב הבית, השתמש בנוזקות "באופן שאפשר לו שליטה מתמשכת ומרחוק במחשבים המותקפים, וכן אפשרות לבצע מגוון רחב של פעולות בכל מחשב, בעת מתן פקודה יזומה על ידו. בדרך זו הוא הצליח לפגוע במערכות ההגנה של המחשבים המותקפים, לאסוף מידע רגיש ומוגן, כגון קבצים, סיסמאות ופרטי גישה לחשבונות שונים, להשתלט על מחשביהם של המשתמשים, להפעיל את מצלמותיהם בלא ידיעתם, לצפות בזמן אמת בפעולות שהם מבצעים במחשב, לתעד אותם ולעקוב אחריהם. הנוזקות שהותקנו במחשבים המשיכו לפעול גם לאחר כיבוי שלהם".

עוד באישום: צילום תמונות אינטימיות של נשים וקטינות

כתב האישום מציין בנוסף כי בר צילם באמצעות מצלמות המחשבים שפרץ אליהם תמונות אינטימיות של נשים שהועסקו באותן חברות, בעת שהיו בביתן או בבית מלון, וכן של בנותיהן הקטינות. את המידע שאגר, כולל סיסמאות וקובצי מדיה רגישים, הוא מיין וסידר בתיקיות ייעודיות לפי זהות הנפגעות.

מעשיו של בר התגלו רק באפריל 2026, בעקבות חקירה שהתבצעה באחת מהחברות שהותקפו. זו חשדה כי נפלה קורבן למתקפת סייבר. במסגרת החקירה עלה חשש שלא מדובר באירוע נקודתי, אלא במתקפת סייבר נרחבת על המשק הישראלי.

על פי האישום, גם החברה שבה בר עבד נפלה קורבן למתקפה שלו עצמו. נציגי מערך הסייבר הלאומי פנו אליו, במסגרת תפקידו כמנהל אבטחת המידע בחברה, ועדכנו אותו בחשד הזה. בר הסתיר מנציגי המערך כי הוא הגורם העומד מאחורי התקיפה ולא חדל מביצוע העבירות גם במהלך השיחות הרבות שקיים איתם. "יתירה מכך, הוא המשיך ופיתח נוזקה נוספת, מתוחכמת יותר, והחדיר אותה לחברות נוספות", ציינו בפרקליטות.

שורה ארוכה של עבירות

כתב האישום מייחס לבר שורה ארוכה של עבירות, בהן חדירה לחומר מחשב שלא כדין כדי לעבור עבירה אחרת, פעולות אסורות בתוכנה, החדרת נגיף למחשב, פגיעה בפרטיות וגניבה.

הפרקליטות הגישה בקשה לעצור את בר עד לתום ההליכים המשפטיים נגדו. לדבריה, "בר הוא בעל כישורים ויכולות טכנולוגיות מתקדמות בתחום הסייבר, שאפשרו לו להתאים את הנוזקות שיצר ולבצע באמצעותן מגוון רחב של פעולות התקפיות. מעבר למתקפה, בר החדיר את הנוזקות גם למחשביהם האישיים של עובדים בחברות המותקפות. במשך שנים הוא העביר למחשבים האישיים הללו פקודות, ואסף מידע ותיעוד אישי ורגיש על המשתמשים".

מי אתה, מיכאל בר?

בסוף אוגוסט חשפנו בלעדית באנשים ומחשבים כי בר, ששמו היה אז אסור לפרסום, ושנעצר בחשד לפריצה למאות חברות ישראליות ובהחדרת נוזקה לאיסוף מידע רגיש, הוא מומחה מחשבים שעבד כאיש אבטחת מידע בחברת אינטגרציה ישראלית גדולה. באוגוסט עצרו חוקרי יחידת הסייבר בלהב 433 את ההאקר, נטול עבר פלילי שפעל עצמאית.

תחילתה של הפרשה לפני כחמישה חודשים. למרכז התגובה לאירועי סייבר של פרופרו הישראלית הגיעה בסוף אפריל השנה קריאה דחופה מצד לקוח ארגוני שלה לבדוק קובץ חשוד. מומחי אבטחת המידע של פרופרו פתחו בחקירה, ואז גילו כי מדובר בנוזקה לא מוכרת, שאינה סטנדרטית, מתקדמת, שנכתבה בסיוע AI וכלי וייב קודינג.

פרופרו מסייעת לחברות ולארגונים להיחלץ ממתקפות סייבר, ובראשה עומד עמרי שגב מויאל, המנכ"ל. לדבריו, "לא הכרנו את הנוזקה ולרגעים אף חשדנו שהיא פרי פיתוח איראני. התחלנו בחקירה מעמיקה. הצלחנו לשרטט את נתיב ההפצה של הנוזקה והדרך בה הקורבנות הודבקו בה: באמצעות רכיב הגנת קצה (EDR) של חד קרן, ענקית סייבר ישראלית בינלאומית. הבנו כי מפתח הנוזקה אינו בקיא טכנולוגית ולכן נעזר ב-AI… הבנו שיש פה משהו חמור יותר ממה שחשבנו תחילה. גילינו כי הודבקו עשרות רבות של חברות ישראליות, וייתכן שמדובר במאות. אז פנינו למערך הסייבר הלאומי ולמשטרת ישראל".

בעזרת עבודת נמלים, איסוף נתונים והצלבה שלהם, חוקרי פרופרו הצליחו להגיע לזיהוי חלקי של ההאקר ולזיהוי של חלק מהקורבנות.