פרסומים

מבוא

בשנים האחרונות הושקעו מאמצים ניכרים בסיכול ניסיונות של גורמים מדינתיים סמכותניים להפיץ מידע שעבר מניפולציה, החותר תחת מוסדות דמוקרטיים־ליברליים ומשפיע על קהלים מקומיים. פעילויות אלה, המכונות לרוב מבצעי השפעה,^[1] הביאו את האיחוד האירופי להרחיק לכת ולקבוע כי "טנקים או טילים אינם עוד כלי הנשק העיקריים במתקפות על חברות דמוקרטיות. מניפולציה והתערבות זרה במידע (FIMI)^[2] הפכה לאחד האתגרים המגדירים של מדיניות הביטחון והחוץ בשנות ה־20 של המאה ה־21, לצד איומים היברידיים אחרים".^[3] בעוד שמרבית המחקר והספרות התמקדו בנרטיבים, בתכנים וברשתות המקוונות המרכיבים את מבצעי ההשפעה, תשומת לב מועטה הוקדשה לתשתית הסייבר העומדת בבסיסם ומאפשרת אותם – תשתית שפושעי סייבר מספקים לא אחת.

גופי מדינה וחברות פרטיות לאבטחת סייבר מכירים בכך שפעילות עבריינית במרחב הסייבר, ובייחוד כופרה, מהווה איום על הביטחון הלאומי. הסוכנות הלאומית למאבק בפשיעה בבריטניה (NCA) מציינת כי "הפעלת כופרה מוסיפה להיות האיום החמור ביותר של פשיעת סייבר מאורגנת בבריטניה, מאיימת על תשתיות לאומיות חיוניות ומסכנת את הביטחון הלאומי".^[4] ואולם רוב סוכנויות הביטחון הלאומי מותירות את הטיפול בפשיעת סייבר בידי גופי אכיפת החוק, והיא אינה נתפסת בעולם כאיום רב־ממדי על ביטחונן הלאומי של מדינות. חשוב מכול, פשיעת סייבר אינה נתפסת כגורם מאפשר מרכזי לפעילויות עוינות אחרות נגד מדינות המערב, ובראשן מתקפות סייבר על תשתיות חיוניות ומבצעי השפעה.

מאמר זה טוען כי מרכזיותן הגוברת של תשתיות פשיעת הסייבר במאמצי ההשפעה של גורמים מדינתיים סמכותניים ושילובן במאמצים אלה, שנועדו לערער דמוקרטיות ליברליות ולחתור תחתיהן, מציבים איום ממשי שאינו זוכה להערכה מספקת. לאורך המאמר משמש המונח 'מבצעי השפעה' כינוי מקוצר למבצעי השפעה גיאופוליטיים עוינים במרחב המקוון. מבצעים אלה מורכבים מפעילויות מקוונות מתואמות ולא־אותנטיות ברמה הטקטית, הנתמכות במבנים בירוקרטיים הקשורים למדינה או דומים לאלה של מדינה, אשר מקנים להן אופי שיטתי ומתמשך. מטרתם האסטרטגית היא להפעיל מניפולציה על קהלי יעד באופן השוחק את הביטחון הלאומי של המדינות המותקפות. במאמר זה פשיעת סייבר היא מכלול פעילויות המוּנעות בעיקר מרווח כספי בלתי חוקי ומרווח אישי. מכלול זה כולל פשיעה תלויית סייבר, כגון גישה בלתי חוקית למערכות, שיבוש נתונים או תפקודי מערכת או יירוטם והפצת כלים המשמשים לביצוע עבירות אלה; וכן פשיעה מבוססת סייבר, ובה זיוף, גניבה, הונאה והלבנת הון.^[5]

מרכזיותן הגוברת של פעילויות עברייניות במרחב הסייבר במבצעי סייבר של מדינות לאום ניכרת זה שנים. בפברואר 2026 פרסם צוות מודיעין האיומים של גוגל מחקר שהראה כיצד שווקים עברייניים מקוונים משמשים מוקדים למכירת מידע מודלף, יומנים של גונבי נתונים, נוזקות, גישה ראשונית ושירותים בלתי חוקיים נוספים. שירותים אלה לא רק מאיימים ישירות על הביטחון הלאומי אלא גם מאפשרים לקבוצות תקיפה מדינתיות לקדם את האינטרסים שלהן, לרבות ריגול ורווח כספי.^[6] אף שהקשר בין פשיעת סייבר למבצעי סייבר גלוי לעין, מבצעי סייבר אינם השימוש היחידי שעושים גורמים מדינתיים סמכותניים במשאבי פשיעת סייבר לשם קידום האינטרסים הלאומיים שלהם. השימוש הגובר במבצעי השפעה מקוונים, לצד החפיפה ומיזוגם המבצעי עם מבצעי סייבר ופעולות קינטיות, הביאו יריבים סמכותניים להסתמך במידה רבה יותר על שירותים ומשאבים עברייניים לתמיכה במבצעי השפעה. זוהי התפתחות הגיונית מכמה טעמים.

ראשית, המחתרת של פשיעת סייבר מציעה יתרונות ייחודיים למבצעי השפעה, השואפים לפעול בחשאי ובה בעת מתנהלים באופן גלוי מאוד, ואשר חישוב הסיכונים שלהם בנוגע לייחוס ולחשיפה שונה מזה של מבצעי סייבר וריגול. חשיפה אינה בהכרח דבר שלילי, אולם כאשר היא אכן מזיקה, השימוש בתשתיות ובשירותים עברייניים יוצר שכבת הפרדה נוספת ומאפשר הכחשה סבירה.

שנית, מבצעי השפעה מקוונים מהווים עדיין חלק קטן יחסית מסך ההוצאות של מדינות ושל מערכות הביטחון שלהן, לפחות בהשוואה למבצעי סייבר או לדיסציפלינות מודיעיניות אחרות. המחתרת העבריינית, הקיימת באופן עצמאי מן המדינה ואינה תלויה בה, יכולה לספק שירותים חסכוניים שפיתוחם בדרך אחרת היה יקר או קשה. הדבר מועיל במיוחד בעידן של תחרות גיאופוליטית גוברת, שבו מדינות מבקשות לבצע פעילות עוינת בקנה מידה רחב.

למאמר זה כמה תרומות מקוריות. ראשית, הוא מפתח את המושג 'תשתיות פשיעת סייבר' ומגדיר אותו כמכלול רחב של כלים, תפקודים ושירותים בסיסיים. בתוך כך הוא מערער על הגישות והשיטות הנוכחיות להתמודדות עם מבצעי השפעה. שנית, באמצעות שילוב התפקיד המכריע שממלאים פושעי סייבר במערכות המורכבות של ביקוש, היצע ואפשור טכנולוגי של מבצעי השפעה, המאמר ממשיג מחדש את הבנת הדינמיקה המזינה מבצעים אלה. לבסוף מוצגת שורת המלצות מבצעיות התומכות בגישת שיבוש שוק להתמודדות עם מבצעי השפעה.

גישה זו מסיטה את המוקד מן הדינמיקה של רשתות חברתיות ומניתוח השיח וטוענת בתוקף בזכות אמצעים טכנולוגיים לבלימת תשתיות פשיעת הסייבר, המאפשרות הן מתקפות על תשתיות חיוניות והן מבצעי השפעה. דוגמאות מן העת האחרונה, כגון תפיסתם של 800 שרתים על ידי 'רשויות אכיפת הפשיעה הפיננסית' בהולנד במאי 2026, ממחישות פוטנציאל ניכר לשיבוש משמעותי של "עמוד השדרה של כמה ממבצעי ריגול הסייבר הפעילים ביותר של איראן”.^[7] המאמר קורא למעצבי מדיניות ולגופי אכיפת החוק לחרוג מפעולות נקודתיות מסוג זה ולאמץ מערכה שיטתית ומתמשכת, שתשתק את תשתיות פשיעת הסייבר שעליהן נשענות פעילויות אלה.

המאמר מחולק לארבעה חלקים. החלק הראשון בוחן את נקודות העיוורון במסגרות הנוכחיות להתמודדות עם מבצעי השפעה וממשיג מחדש מבצעי השפעה כשוק של היצע וביקוש, שבו תשתיות פשיעת סייבר ממלאות תפקיד מאפשר ומכונן. החלק השני מציג טקסונומיה טכנית של תשתיות אלה בשלוש קטגוריות: תשתיות אינטרנט, תשתיות פיננסיות ותשתיות מבצעיות. החלק השלישי מפרט את ההשלכות האסטרטגיות והמדיניות של מסגרת זו ומבסס את הטיעון בזכות גישת שיבוש שוק להתמודדות עם מבצעי השפעה. בחלק הרביעי מובאות המלצות למדיניות.

חלק ראשון: נקודות עיוורון בגישות הנוכחיות להתמודדות עם מבצעי השפעה

מסגרות מושגיות מרכזיות להתמודדות עם מבצעי השפעה זרים ועוינים התגבשו בסוף העשור השני ובראשית העשור השלישי של המאה ה־21. בשנת 2020 מצא המרכז למעורבות גלובלית (GEC) של מחלקת המדינה האמריקאית כי "אין פלטפורמת מדיה יחידה שבה מופצים תעמולה ודיסאינפורמציה".^[8] קביעה זו הייתה נכונה בעיקרה וחדשנית בעת פרסומה. בדומה לכך, בשנת 2018 פרסמו יוחאי בנקלר ועמיתיו מחקר חלוצי שתיאר את הפצת המידע שעבר מניפולציה כ"תעמולת רשת". הם מצאו כי ההשפעה הכוללת על אמונות ועמדות נוצרת מתוך יחסי הגומלין בין מגוון רחב של מקורות נפרדים – שרק חלקם נשלטים בידי התועמלן – החוזרים על גרסאות שונות של נרטיב ברחבי האקוסיסטם של מידע.^[9]

בתגובה לממצאים אלה, ההתמודדות עם מבצעי השפעה בסוף העשור השני ובראשית העשור השלישי של המאה ה־21 התמקדה באיתור, בחשיפה ובניטור של מידע שעבר מניפולציה (נרטיבים); בהפרכת הנרטיבים ובבדיקת עובדות; בהצגת חשיפה מוקדמת של דיסאינפורמציה אפשרית והפרכתה בפועל (pre-bunking) ובהדרכת אוריינות תקשורתית, שנועדו לצמצם את התפוצה של נרטיבים שעברו מניפולציה.^[10] מאמצים אלה היו בעיקר תגובתיים: הם ביקשו להתמודד עם נרטיבים זדוניים ועם רשתות של טרולים ובוטים, לצמצם את הנראות של תוכן שעבר מניפולציה ולהטיל סנקציות על גורמים שהשתתפו במניפולציה של מידע ובהפצת מידע כוזב.^[11] בשנים האחרונות מתמודדים אנשי מקצוע בתחום עם מגבלותיה של גישה זו ומבקשים להסיט את המוקד מן הנראה לעין אל מה שניתן לשבש.

תשומת הלב עוברת בהדרגה לממדים הטכנולוגיים של מבצעי השפעה, מעבר לניתוח נרטיבים ורשתות. מאז 2018 נקטה ממשלת ארצות הברית צעדי שיבוש, ובהם פעולות של פיקוד הסייבר של ארצות הברית ושל ה־FBI לניתוק הגישה לאינטרנט של חוות טרולים רוסיות ולתפיסת דומיינים שתמכו במבצעי השפעה במהלך הבחירות לנשיאות ב־2024. ואולם פעולות אלה תוכננו בעיקר כמענה קצר טווח לאיומים על הבחירות, ולא כרכיבים במסגרת מתמשכת.^[12]

לעומת זאת, מדינות אחרות היו חלוצות בפיתוח גישות רחבות וארוכות טווח במידה רבה יותר. טאיוואן ביקשה להתמודד עם הלוחמה הקוגניטיבית הסינית באמצעות בדיקת עובדות מהירה וחשיפה ציבורית נרחבת, במסגרת מודל חוסן כלל־חברתי. פינלנד שילבה אוריינות תקשורתית במערכת החינוך הלאומית שלה כבר מגיל צעיר, ואילו שוודיה הקימה בשנת 2024 את הסוכנות להגנה פסיכולוגית כדי להתמודד עם לוחמה פסיכולוגית.^[13] למרות מאמצים משולבים אלה, בשלוש המדינות הללו חלה עלייה ניכרת בהיקף, בתחכום ובתוקפנות של מבצעי השפעה זרים.^[14]

בשנת 2026 הכיר האיחוד האירופי ב"הסלמה המתמשכת" ועודד את שותפיו "ליזום ולהוביל פעולה אקטיבית במהלך המסמן מעבר מגישה תגובתית ברובה לגישה יוזמת וצופה פני עתיד".^[15] האיחוד אימץ את המושג הצבאי 'שרשרת הקטל' (kill chain) לצורך מיפוי מבצעי השפעה עוינים לאורך שלביהם השונים, מתכנון ומימון ועד ייצור והגברה.^[16] הוא קרא לשבש את "עמוד השדרה הטכני של קמפיינים להפצת דיסאינפורמציה ככיוון מרכזי לפיתוח הפעילות להתמודדות עם השפעה זרה".^[17]

מסגרת שרשרת הקטל של האיחוד האירופי היא צעד חשוב לעבר גישה יוזמת יותר. בה בעת היא חושפת נקודת עיוורון מבנית הפוגעת ביעילותה ומצביעה על מגבלה יסודית, המשותפת לרבים מן המענים של דמוקרטיות ליברליות למבצעי השפעה. המסגרת אינה מכירה באופן עקבי בדינמיקה הרחבה של היצע, ביקוש ותשתיות מאפשרות, שבתוכה פועלים גורמים מדינתיים ולא־מדינתיים כאחד. הן הצעדים היזומים של פיקוד הסייבר של ארצות הברית והן שרשרת הקטל של האיחוד האירופי מתמקדים, למשל, ברשת הנכסים בצד ההיצע, כלומר בגורמים המפיצים ומגבירים מידע שעבר מניפולציה באופן מתואם ולא־אותנטי. במקרה של האיחוד האירופי החיסרון נובע מחוסר דיוק טרמינולוגי: תשתית FIMI משמשת כתווית חדשה ורופפת לאקוסיסטם של גורמי האיום שבנקלר ועמיתיו כבר תיארו ב־2018. חשיבה כזו מניחה כי הגורמים המקיימים את האקוסיסטם המזין מבצעי השפעה רבים ניתנים לזיהוי, מוּנעים פוליטית וחשופים לצעדים משפטיים או לפגיעה תדמיתית. תשתיות פשיעת הסייבר המעורבות במבצעי השפעה אינן עומדות באף אחד מן התנאים הללו אלא פועלות במודל של פשיעת סייבר כשֵירות (Cybercrime-as-a-Service – CaaS) ונשארות מתחת למכ"ם של מי שמנסים לאכוף אמצעי נגד. המחקר של האיחוד עצמו ממחיש את האתגר: לא ניתן היה לייחס 65 אחוזים מפעילות ה־FIMI שאותרה.^[18]

פושעי סייבר פועלים כקבלנים המרחיקים את עצמם במכוון מן המדינות נותנות החסות. כך הם מעניקים ללקוחותיהם יכולת הכחשה סבירה, ובה בעת נשארים ברובם בלתי נראים לתהליכי הייחוס שעליהם נשענים הסנקציות ואכיפת החוק. חשוב מכך, הם גם גמישים וניתנים להחלפה: שיבוש חוליה אחת בשרשרת אספקה מסחרית – כפי שעשה פיקוד הסייבר של ארצות הברית – אינו קוטע את השרשרת אם ניתן פשוט לרכוש מחדש את השירות הבסיסי מספק אחר. מודל שרשרת הקטל, שמושאל מהיגיון צבאי של שלבים עוקבים ותלויים זה בזה, אינו מתאים למבנה דמוי שוק שבו כל חוליה ניתנת להחלפה. איום הבנוי כשוק מחייב היגיון של שיבוש שוק, ולא רשימה סדרתית של פעולות.

חשיבה מחדש על מבצעי השפעה כמרחב של היצע, ביקוש ואפשור

שילוב תשתיות פשיעת הסייבר במסגרת האנליטית ממשיג מחדש את הדינמיקה שבתוכה פועלים מבצעי השפעה. הוא מסיט את המוקד מפעילות מוכוונת מדינה למבנה שוק שבו ביקוש, היצע ותשתיות מאפשרות פועלים כשכבות התלויות זו בזו אך גם עצמאיות למחצה, ומחוברות באמצעות תמריצים והזדמנויות ולא באמצעות פיקוד ושליטה.

בצד הביקוש, ארבע קטגוריות מובחנות של גורמים זרים ומקומיים יוצרות את התנאים שבהם מבצעי השפעה נעשים מעשיים ומקיימים את עצמם. הקטגוריה הראשונה כוללת את מזמיני הפעולה מטעם מדינות זרות – משרדי ממשלה, סוכנויות ביטחון ומודיעין, דוברים ואחרים – הקובעים יעדים אסטרטגיים ומתרגמים מטרות פוליטיות לתמריצי שוק, באמצעות הזמנת ייצור של נרטיבים והפעלת רשתות נכסים הזמינות למבצעי השפעה. הקטגוריה השנייה כוללת מנהיגים פופוליסטים מקומיים, שממלאים תפקיד שונה מבחינה מבנית אך חשוב לא פחות: במסגרת יחסים סימביוטיים עם גורמי השפעה זרים הם נהנים מתוכן המעניק לגיטימיות לטענותיהם הפוליטיות, ובמקביל ממקמים נרטיבים זרים באמצעות אריזתם מחדש בקולות לאומיים אמינים. בכך הם מלבינים למעשה את הסימנים להתערבות זרה, שאחרת היו עשויים להתריע בפני הקהל. הקטגוריה השלישית כוללת קהלים מקומיים בעלי זיקה אידיאולוגית. קהלים אלה, המעוצבים בידי אמונות וסביבות מידע קיימות, יוצרים את תנאי הקליטה ההופכים מבצעי השפעה למעשיים. הם מקנים לגורמים מדינתיים זרים ביטחון להשקיע, ולמנהיגים פופוליסטים מקומיים תמריץ להשתתף בהפצת השפעה זדונית ובהתערבות פוליטית עוינת. הקטגוריה הרביעית כוללת מפעילי פלטפורמות מן המגזר הפרטי. אלה מוּנעים מהכנסות המבוססות על מעורבות משתמשים ולא מכוונה פוליטית, ויוצרים תנאי ביקוש מבניים באמצעות הקמה ותחזוקה של סביבות אלגוריתמיות שבהן תוכן שעבר מניפולציה יכול להתרחב בעלות נמוכה יחסית.

גם צד ההיצע והאפשור של השוק בנוי בשכבות. ראשית, בדרגים נמוכים יותר בסולם הבירוקרטי, גורמי עבודה מטעם מדינות זרות מייצרים את הארכיטקטורה של מבצעי ההשפעה. עימם נמנים מחלקות ממשלתיות פנימיות וקבלנים מסחריים במדינות זרות, המתרגמים את הנחיותיהם הפוליטיות של המזמינים לאקוסיסטם של תוכן המשלב נרטיבים, חומרים חזותיים, שמע, דיפ־פייק ונכסי הפצה הדרושים להפצתם, ובהם רשתות בוטים, פרופילים מזויפים, כלי תקשורת המשמשים כשלוחים וארגוני תקשורת במימון מדינתי. עם הדוגמאות הבולטות ביותר נמנות 'הסוכנות לעיצוב חברתי' הרוסית וחברת יחסי הציבור הסינית Haixun, שנשכרו בידי הקרמלין והמשרד הסיני לביטחון הציבור (MPS), בהתאמה, למימוש מבצעי השפעה.^[19]

מתחת לשכבת הייצור הגלויה נמצאת תשתית אפשור עבריינית: ספקי תשתיות אינטרנט המציעים אחסון, שרתים "חסיני אכיפה", רישום דומיינים ושירותי VPN; תשתיות פיננסיות, ובהן מעבדי תשלומים, ערוצי מטבעות קריפטוגרפיים ומערכות פרסום טכנולוגיות להפקת הכנסות; ותשתיות מבצעיות, ובהן חוות כרטיסי SIM, דפדפני אנטי-דיטקט ושירותי גניבת פרטי הזדהות, המספקים את האנונימיות והעמידות הדרושות למבצעים.

חשוב להדגיש כי תשתית זו לא נבנתה במיוחד למבצעי השפעה. היא קיימת ומקיימת את עצמה בזכות ביקוש נרחב ביותר מצד פושעי סייבר המונעים משיקולים כספיים, שעבורם מבצעי השפעה הם נתח שולי בלבד מכלל הפעילות. מכך נגזרות שתי משמעויות לאמצעי הנגד. ראשית, אי אפשר לשבש את התשתית באמצעות פגיעה במבצעי השפעה בלבד. שנית, התערבות המכוונת לתשתית עצמה תפגע כתוצאה מכך גם בהיקפם ובעוצמתם של מבצעי ההשפעה.

מבצעי השפעה נהנים גם משכבת הגברה ומלולאת משוב. הפצה אורגנית בידי מגבירים שאינם מודעים לתפקידם – עיתונאים, משפיענים וכלי תקשורת לגיטימיים החוזרים על נרטיבים בלי לדעת מה מקורם – לצד מערכות המלצה אלגוריתמיות המחדדות את הגדרת הקהלים על בסיס פרופילים פסיכוגרפיים ונתוני התנהגות, מרחיבות את טווח הפעולה הרבה מעבר לכל מה שהמדינה הזרה המזמינה שולטת בו במישרין. כפי שהבחינו בנקלר ועמיתיו בצדק, ההשפעות אינן נובעות מסיפור או ממקור יחיד אלא מכך שמגוון רחב של כלי תקשורת, שרובם אינם נשלטים בידי התועמלן, חוזרים על גרסאות שונות ברחבי סביבת המידע.^[20] לאחר מכן חוזר התוכן המוגבר אל הקהלים בעלי הזיקה האידיאולוגית ומחזק אותם, מרחיב את הביקוש לאורך זמן ומקיים את תמריצי השוק ההופכים מבצעים נוספים לכדאיים. המעגל נסגר לא באמצעות תיאום אלא באמצעות הלימה מבנית של תמריצים, וזו בדיוק הסיבה שהתערבויות שנועדו לקטוע שרשרת סדרתית נדרשות לאמץ היגיון שוק כדי לפגוע בתפקידם הבסיסי של פושעי הסייבר.

תרשים של FIMI כמבנה שוק: ביקוש, היצע ואפשור עצמאי

מדוע עכשיו? גיאופוליטיקה, טכנולוגיה ועליית פשיעת הסייבר במבצעי השפעה

על רקע התחרות והעימות הגיאופוליטיים הגוברים, תשתיות פשיעת הסייבר הפכו הן לגורם מאפשר והן למכפיל כוח למתקפות סייבר ולמבצעי השפעה. הן מציעות לגורמי איום מדינתיים סמכותניים אמצעים זולים ויעילים לפגיעה בדמוקרטיות באמצעות פעילות מקוונת. הדוח של גוגל מפברואר 2025, פשיעת סייבר: איום רב־ממדי על הביטחון הלאומי, התחקה אחר איום זה עד לחדירות המוקדמות ביותר לרשתות מחשבים, שבהן גורמים המוּנעים מרווח כספי ביצעו פעולות לטובת ממשלות עוינות.^[21] ואולם מה שהיה בעבר דפוס עקבי אך מוגבל של שיתוף פעולה בין גורמים מדינתיים לפושעי סייבר מתקבע כיום לכדי מערכת יחסים מסוכנת וסימביוטית, שבה מבצעי השפעה הם תחום של הזדמנות וצמיחה.

שתי דינמיקות הקשורות לעימות ומחוברות זו לזו מניעות מגמה זו. התעצמות העימותים בעולם האיצה את השימוש בפעילות מקוונת ובפעילות סייבר כאמצעי להגיע ליעדים רחוקים ללא צורך בנוכחות פיזית, ובה בעת יצרה לחץ לצמצם עלויות ולאתר פתרונות מבצעיים חסכוניים יותר. הדוח של גוגל זיהה התעצמות ניכרת בפעילות הסייבר בעקבות הפלישה הרוסית המלאה לאוקראינה בשנת 2022. זו הביאה את הקרמלין להישען באגרסיביות רבה יותר על המאגר הסמוי של פושעי סייבר, שניתן היה לשלם להם או לכפות עליהם לתמוך ביעדי המדינה.^[22]

רוסיה הובילה את טשטוש הגבולות בין פעילות בחסות המדינה לפעילות עבריינית. במארס 2022, לאחר שתוכניתו של ולדימיר פוטין למבצע מהיר באוקראינה סוכלה פנה הקרמלין לקבוצת שכירי החרב 'ואגנר', הנתמכת בידי הקרמלין, כדי למלא את הפערים בחזית באמצעות גיוס אסירים מורשעים. מאז נעשתה העבריינות גלויה יותר ויותר בפעילות בחסות המדינה, ופושעי סייבר הפכו לחלק בלתי נפרד ממאמצי המדינה ואף זכו לתהילה, לעיני הציבור כולו.

כחלק מ"מפנה עברייני" זה בפעילותה של רוסיה פיתחו שירותי הביטחון והמודיעין הרוסיים יחסים סימביוטיים עם קבוצות האקטיביסטים פרו־רוסיות. הם משתמשים בהן ככלי בעל יכולת הכחשה סבירה לביצוע מבצעי השפעה מבוססי סייבר ומתקפות על תשתיות חיוניות. לדוגמה, בשנת 2026 האשימה שוודיה קבוצה פרו־רוסית הקשורה לשירותי הביטחון והמודיעין של רוסיה בביצוע מתקפת סייבר על תחנת הסקה מחוזית – הודעה שבאה בעקבות אזהרות דומות של גורמים רשמיים בפולין, נורווגיה, דנמרק ולטביה.^[23]

שירותי הביטחון הרוסיים שמרו בעבר על מרחק מפושעי סייבר ומקבוצות של הַאקטיביסטים, אולם גבולותיו של הסדר זה משתנים, והכרה רשמית בגורמים אלה כחלק מן המאמץ המלחמתי של רוסיה נעשית גלויה יותר ויותר. עסקת חילופי האסירים בין ארצות הברית לרוסיה באוגוסט 2024 המחישה היטב תהליך זה.^[24] תשומת הלב התקשורתית התמקדה בפעילים רוסים בולטים שהואשמו בחבלה ובריגול במערב, ובהם ואדים קרסיקוב, שנידון למאסר עולם בגין התנקשות בפארק בברלין, וכן משפחת סוכנים רוסים סמויים ומוסווים היטב, שבה ההורים אנה וארטיום דולצב היו מעין גרסה מציאותית לסדרת הטלוויזיה האמריקאים.^[25] מעניין לציין כי ברשימת האסירים הרוסים ששוחררו נכללו גם שני פושעי סייבר רוסים: רומן סלזנב וולדיסלב קליושין. סלזנב נידון בשנת 2019 בארצות הברית ל־27 שנות מאסר בגין עבירות פריצה למחשבים,^[26] וקליושין, שניהל חברת טכנולוגיית מידע במוסקבה, הורשע בארצות הברית בשנת 2023 בהונאה אלקטרונית ובהונאת ניירות ערך.^[27] עם שובם לרוסיה קיבל הנשיא פוטין את פניהם באופן אישי, בקבלת פנים השמורה בדרך כלל למי שהעניקו שירות יוצא דופן למדינה. מחזות חריגים אלה מבטאים הכרה גוברת מצד הרשויות ברוסיה בחשיבות השירותים שפושעי סייבר מעניקים למאמצי המדינה.^[28]

במקרה הרוסי סיפקה מגמה זו מענה לאתגר מעשי שניצב בפני הקרמלין. החלטותיהן של ממשלות מערביות לגרש מספר גדול של דיפלומטים רוסים ולצמצם באופן דרסטי את הנוכחות הדיפלומטית הרוסית הפחיתו במידה ניכרת את בסיס הנכסים הפיזיים של רוסיה במדינות היעד,^[29] ויצרו פער יכולת בביצוע פעולות בשטח. פעילות סייבר והשפעה, לצד הסתמכות על פושעי סייבר ועל עבריינים הפועלים מחוץ למרחב המקוון, ממלאות יותר ויותר את הפער, אולם דפוס זה אינו ייחודי כלל לרוסיה.

סין הקימה שוק ממוסד למבצעי סייבר והשפעה בקבלנות, שבו חברות פרטיות לאבטחת מידע וחברות יחסי ציבור מתחרות על חוזים ממשלתיים לביצוע פריצות והפצת תוכן מטעם המשרד לביטחון המדינה והמשרד לביטחון הציבור.^[30] הדלפת מסמכים בשנת 2024 מחברת i-Soon – קבלנית אבטחת סייבר סינית – חשפה חברה שהייתה אחראית לפריצה למערכותיהם של 14 ממשלות לפחות, ארגונים פרו־דמוקרטיים בהונג קונג, אוניברסיטאות ונאט”ו.^[31] במארס 2025 הגיש משרד המשפטים האמריקאי כתבי אישום נגד 12 אזרחים סינים הקשורים ל־i-Soon. הוא מצא כי גורמים אלה ביצעו חדירות הן בהנחיית המדינה והן ביוזמתם, תיווכו מידע גנוב ללקוחות ממשלתיים ובמקביל מכרו אותו לצדדים שלישיים לשם רווח אישי.^[32] סוכנויות המדינה הסיניות העניקו לקבלנים אישור שבשתיקה לבצע פעילויות צדדיות המונעות מרווח כספי, וגילו סבילות להתנהגות עבריינית כמחיר משתמע עבור שימור יכולת גמישה וניתנת להכחשה מחוץ להיררכיה הרשמית של צבא השחרור העממי (PLA).^[33]

דוגמה נוספת מתועדת לפחות מאז 2019, כאשר המשרד הסיני לביטחון הציבור השיק לראשונה את Spamouflage – מבצע ההשפעה החשאי הגדול ביותר המוכר בעולם – במישרין באמצעות קבוצת העבודה של 'פרויקט מיוחד 912', ובה בעת ניתב תכנים דרך חברות יחסי ציבור מסחריות, ובהן Shanghai Haixun Technology ו־Shenzhen Haimai Yunxiang Media, שגוגל עוקבת אחריהן במשותף בשם GLASSBRIDGE.^[34] הוצאת הפעילות לחברות פרטיות העניקה לגורמים שמאחורי הקמפיינים יכולת הכחשה סבירה, ובמקביל אפשרה להם להגיע לקהלים בברזיל, הודו, קניה, קוריאה הדרומית ומדינות נוספות ברחבי העולם.^[35] יחד ממחישים i-Soon ו־GLASSBRIDGE כיצד היצע, ביקוש ואפשור עברייני, ולא רק פיקוד ושליטה אנכיים מצד המדינה, מניעים את התרחבותם המהירה של מבצעי ההשפעה הסיניים.

איראן מציגה מודל שונה מבחינה מבנית, אך מאלף באותה מידה. סוכנויות המודיעין שלה, בהובלת משמרות המהפכה (IRGC) ומשרד המודיעין והביטחון (MOIS), מנהלות מבצעים בעצמן לצד מארג של חברות קש וגופים אחרים.^[36] טהראן מוציאה בהדרגה את הגישה לרשתות למיקור חוץ במחתרת פשיעת הסייבר: היא מפרסמת מאגרי מידע שנפרצו בפורומים עברייניים כדי לתמרץ את חבריהם לפגוע בישראלים, מעניקה לשותפי כופרה הנחות תמורת פגיעה בגופים ישראליים ועוד. בכך הפכה למעשה תשתית ריגול מדינתית לשירות עברייני מניב.^[37] התרעה משותפת של ה־FBI, הסוכנות לאבטחת סייבר ותשתיות (CISA) ומרכז פשיעת הסייבר של משרד ההגנה מאוגוסט 2024 זיהתה גורמים הקשורים למדינה האיראנית, שניצלו חולשות כדי להשיג גישה ראשונית לרשתות של קורבנות, ולאחר מכן מסרו את המערכות שנפרצו לשותפי כופרה כגון NoEscape,‏ RansomHouse ו‑ALPHV/BlackCat, בתמורה לנתח מתשלומי הכופר.^[38]

עד שנת 2026 הגבול בין פעילות בחסות המדינה לפשיעת סייבר מאורגנת לא רק היטשטש – לצרכים מבצעיים הוא הפך למערכת יחסים סימביוטית. תהליך זה הוא שיאם של עשורים שבהם נוצרו וטופחו יחסים אלה. כעת הם עוברים לקדמת תשומת הלב הציבורית בשל החרפת העימותים בעולם והתקדמות הבינה המלאכותית, המפחיתה את חסמי הכניסה לעולם פשיעת הסייבר.

תופעה זו, המכונה לעיתים פשיעת סייבר כשֵירות (CaaS), היא רכיב אחד באיום כולל ורחב יותר שנובע מן השימוש שעושים גורמי איום מדינתיים בעבריינים נגד דמוקרטיות ליברליות. היא מאפשרת מתקפות סייבר ומבצעי השפעה, ופועלת במשולב עם צורות אחרות של איומים היברידיים מבוססי סייבר, כגון 'אלימות כשֵירות'.^[39] למרות זאת, ממשלות מערביות וחברות אבטחת סייבר מבחינות בין מבצעי סייבר והשפעה בעלי מניע פוליטי ובחסות מדינה לבין פעילות עבריינית במרחב הסייבר, המונעת מרווח כספי. הבחנה זו היא נקודת עיוורון מסוכנת המגבילה את היכולת להתמודד עם האיומים. החלק הבא במאמר מדגים את תפקידן המרכזי של תשתיות פשיעת הסייבר באפשור מבצעי השפעה.

חלק שני: השילוש הלא־קדוש — פשיעת סייבר, מבצעי סייבר ומבצעי השפעה

מי שקראו בשנה האחרונה דוח מודיעין איומים על מבצעי השפעה מכירים בוודאי את המספר העצום של חשבונות שהוסרו. לדוגמה, קבוצת ניתוח האיומים של גוגל (TAG) מפרסמת דוח רבעוני המפרט את שיבושם של אלפי עד עשרות אלפי ערוצי יוטיוב וישויות אחרות של גוגל, וגם מטא מפרסמת נתונים דומים בדוחות האיומים התקופתיים שלה. קהילת מודיעין האיומים מקבלת לא אחת נתונים אלה כפשוטם, וכך נוצר הרושם שגורמים מדינתיים מסוגלים ליצור ולקיים ללא מאמץ עשרות אלפי חשבונות או ישויות מקוונות. אך האם הדבר אכן קל כל כך? בפועל מדובר בתהליך מורכב בהרבה. חלק זה ממפה ומתאר את תשתיות פשיעת הסייבר הבסיסיות, המאפשרות למדינות לאום לנהל מבצעי השפעה בקנה מידה רחב. חלק ניכר מתשתיות אלה חופף לתשתיות המסורתיות של פשיעת סייבר המשמשות למבצעי סייבר, אך חלק אחר מנצל תחומי תשתית שטרם נחקרו במידה מספקת, כגון יכולות שיווק "כובע שחור" (black-hat).

תשתיות פשיעת סייבר

בהקשר של מאמר זה, המונח תשתית מתייחס לכלים, לתפקודים ולשירותים הבסיסיים הדרושים להפעלת מבצעים במרחב המקוון במובן הרחב. אלה כוללים בין היתר יכולות תשלום, תוכנות גלישה, שרתים ויכולות כגון רכישת חשבונות וישויות מקוונות, מעורבות משתמשים ושירותים נוספים. הם מקבילים במידה רבה לשלוש הקטגוריות של תשתיות מאפשרות הנבחנות להלן: אינטרנט, תשתיות פיננסיות ותשתיות מבצעיות.

ראשית, התמקדות בתוכן, בנרטיבים ולכל היותר ברשתות של חשבונות ברשתות החברתיות מחמיצה את התמונה הגדולה. מחקר מסוג זה, על אף תועלתו, בוחן רק את השלב הסופי של המבצע. מבצעי השפעה, ככל מבצע אחר, אינם נוצרים יש מאין אלא נבנים בקפידה או שלא בקפידה בידי גורמים שונים, ובכמה שלבים. תהליך ניהולו של מבצע מכונה, בדומה למבצעי סייבר, 'שרשרת הקטל'.^[40] העברת הדגש המחקרי מתוצרו הסופי של המבצע אל הכלים והתשתיות המשמשים את גורמי האיום מאפשרת לצוותי סיכול השפעה להתקדם במעלה שרשרת הקטל ולהוסיף בהדרגה חיכוך משמעותי לפעילותם של גורמי האיום.

אנלוגיה שימושית מעולם הסייבר היא "פירמידת הכאב" שהגה דיוויד ביאנקו. הפירמידה מתמקדת בסמנים הרלוונטיים למבצעי סייבר – מתשתיות חד־פעמיות וקלות להחלפה, כגון שמות דומיין, כתובות IP או גיבובי קבצים, ועד יכולות שקשה יותר להחליף, כגון כלים וטקטיקות, טכניקות ונהלים (TTPs). היא "ממחישה את הקשר בין סוגי הסמנים שבהם ניתן להשתמש לזיהוי פעילותו של יריב לבין מידת הכאב שייגרם לו כאשר מצליחים לשלול ממנו את אותם סמנים". אותו היגיון חל גם על מבצעי השפעה: השיבוש היעיל ביותר אינו ברמת החשבונות והתוכן – השכבה הזולה ביותר להחלפה – אלא ברמת תשתיות היסוד שאי אפשר לרכוש מחדש במהירות.^[41]

פירמידת הכאב: סמנים טכניים בסדר עולה של הקושי הכרוך בהחלפתם

מושג זה, המוכר היטב בתחום אבטחת הסייבר, טרם יושם על מבצעי השפעה, אף שהמסגרות מקבילות כמעט לחלוטין. מעבר מן הרכיבים החד־פעמיים – חשבונות במקום גיבובים, בעוד שדומיינים וכתובות IP רלוונטיים לשני התחומים – והתמקדות בכלים וביכולות הבסיסיים יאפשרו לניתוח של מודיעין איומים העוסק במבצעי השפעה להתקדם במעלה הפירמידה ולהטיל חיכוך בלתי מידתי ומתמשך על מבצעי היריב.

שנית, התמקדות בתשתיות מקילה לעיתים קרובות על גיוס תמיכה פוליטית. התשתית היא א־פוליטית יחסית, ואינה מחייבת חוקרים המנתחים מבצעי השפעה לאמת מידע ולקבל הכרעות ערכיות בנוגע למהימנותו.

שלישית, התמקדות בתשתיות, בכלים וביכולות טכניות היא תנאי הכרחי להתמודדות עם איומים היברידיים עכשוויים. בעוד שמדינות מערביות רבות ממשיכות לראות במבצעי השפעה תחום פעילות מבודד, מדינות יריבות אינן עושות כך אלא משלבות אותם בכל פעילויותיהן – חשאיות וגלויות כאחת. רוסיה ואיראן, לדוגמה, מנהלות באופן עקבי מבצעי השפעה מבוססי סייבר ומבצעי השפעה פיזיים, ואילו מפעילים סינים החלו לנהל קמפיינים ארוכי טווח של תקשורת אסטרטגית, הנתמכים במבצעי השפעה חשאיים.^[42]

רביעית, מפעילי סייבר כבר עושים שימוש גובר בתשתיות עברייניות. גורמים רוסיים ואיראניים, ובהם Void Blizzard ו־Aria Sepehr Ayandehsazan, נודעו כמי שמשתמשים בשירותי אחסון עברייניים לרישום דומיינים, בפרוקסי ביתי ובמידע שמקורו בשווקים עברייניים.

לבסוף, התמקדות בתשתיות מנצלת את הרגע שבו גורמי האיום חשופים ביותר: לא בשלב התכנון, שבו הפעילות פרטית ברובה, אלא בשלב ההפצה, שבו הכלים והחשבונות נעשים גלויים הן לפלטפורמות והן לממשלות. גורמי איום יכולים להכין מבצעים בקלות בלי לחשוף את פעילותם בטרם הפעלתם; רק לאחר ההשקה הם נעשים פגיעים באמת לשיבוש. הבינה המלאכותית היוצרת (generative AI) החריפה דינמיקה זו, שכן כבר הוכח שהיא מאיצה יצירת תוכן ואף הקמת תשתיות, וכל זאת תוך אפשרות להפעילה באופן מקומי.^[43] מה שבינה מלאכותית יוצרת אינה יכולה לפתור בקלות הוא צוואר הבקבוק המרכזי של מבצעי ההשפעה: הפצה בפלטפורמות מקוונות. גופי אכיפת חוק וסוכנויות מודיעין מנטרים באופן פעיל פלטפורמות מקוונות ואת רחבי האינטרנט לשם איתור שימוש לרעה, בין שמדובר בהשפעה זרה עוינת, בהונאה או בפעילות זדונית אחרת, ולכן קשה לגורמי איום לנצל אותם בקנה מידה רחב. הפצה יעילה מחייבת הן גישה נרחבת והן יכולת לפרסם תוכן בהיקף גדול. לשם כך נדרש מגוון רחב של תשתיות, כגון שירותי אחסון, פרוקסי ביתי, חשבונות ועוד. הדרך הזמינה והחסכונית ביותר להשיגן היא באמצעות שירותים עברייניים: מתשתיות החיבור לאינטרנט והשימוש בו, דרך תשתיות פיננסיות ועד תשתיות מבצעיות לרשתות חברתיות ולשימושים אחרים.

תשתיות אינטרנט

הקטגוריה הראשונה של תשתיות עברייניות היא תשתית היסוד המשמשת גורמי איום להתחברות לאינטרנט ולפעילות בו. היא כוללת שימוש בשירותי פרוקסי, שרתים פרטיים וירטואליים (VPS), מופעי פרוטוקול שולחן עבודה מרוחק (RDP), ספקי VPN, דפדפני אנטי-דיטקט ותשתיות בסיסיות אחרות. אלה היכולות היסודיות ביותר, המאפשרות לגורמי איום לגלוש באינטרנט תוך התחמקות מזיהוי בידי פלטפורמות וממשלות עוינות.

שירותי פרוקסי הם מן היכולות הנפוצות והחיוניות ביותר. שירותים אלה, בין שהם ביתיים ובין שהם סלולריים, מאפשרים לגורמי איום לגלוש באינטרנט. מטעמי ביטחון מבצעי או מסיבות מעשיות, גורמי איום אינם יכולים או אינם מוכנים להסתמך על שירותי VPN מסחריים, ולכן פונים לשירותי פרוקסי המאפשרים להם לגשת לאינטרנט בלי לחשוף את כתובת ה־IP הציבורית שלהם. יכולת זו חיונית בכל שלב של מבצע השפעה. מאיסוף מידע ומחקר על יעדים ועד התחברות לשירותים ולפלטפורמות לגיטימיים – גורמי איום זקוקים לגישה לשירותי פרוקסי כדי לחמוק מזיהוי. השירותים העברייניים הם הנפוצים ביותר, אם כי קיימים גם שירותי פרוקסי ביתי וסלולרי לגיטימיים.

פרוקסי ביתי הוא הסוג הנפוץ ביותר. שירותי פרוקסי ביתי עברייניים מאפשרים למשתמשי הקצה לנתב את התעבורה שלהם דרך רשתות ביתיות ומשתמשים שאינם מודעים לכך. בעקבות זאת הפלטפורמות והשירותים המקוונים רואים את התעבורה כאילו מקורה ברשת ביתית לגיטימית, ולכן מייחסים לה אמינות רבה יותר. הדבר נחוץ בייחוד כדי להיראות לגיטימיים באינטרנט, שכן רוב שירותי ה־VPN וצומתי היציאה של TOR ממופים ומוכרים לספקים. אלה חוסמים חיבורים מנקודות יציאה חשודות או דורשים אימות נוסף. פרוקסי ביתי מועיל לגלישה שגרתית, להתחברות לחשבונות ולאוטומציה של פעילויות אחרות, כגון איסוף מידע.

גם פרוקסי סלולרי הוא כלי שימושי. בדומה לפרוקסי ביתי, גורמי איום יכולים לשכור גישה לרשתות של מכשירים ניידים הפועלים ברשתות סלולר, בעיקר בדור הרביעי והחמישי. מכיוון שהתעבורה מגיעה ממכשירים ניידים לגיטימיים המשתמשים בנתונים סלולריים, היא נראית פחות חשודה לפלטפורמות המקוונות וקשה הרבה יותר לחסום אותה בהיקף רחב. בדומה לפרוקסי ביתי, שירותי פרוקסי סלולרי עברייניים נועדו לאפשר למשתמשי הקצה להפוך פעילות בפלטפורמות מקוונות לאוטומטית, לגרד נתונים (scrape data) או לגשת לאינטרנט בדרכים אחרות.

שירותים אלה נמצאים בשימוש תדיר בריגול סייבר. שירותי פרוקסי עברייניים זוהו כתומכים במבצעי סייבר של מדינות לאום ושל קבוצות איום מתמשך מתקדם (APT). לדוגמה, קמפיין סייבר צפון־קוריאני או סיני מן העת האחרונה הסתמך על שירות פרוקסי סיני.^[44]

שירותי פרוקסי ביתי משתמשים לעיתים קרובות בנתבים ובמכשירי קצה שנפרצו כדי לנתב את התעבורה, אך במקרים מסוימים אנשים מוכרים מרצונם גישה לרשת הביתית שלהם. מחקר על חברת הפרוקסי הבלארוסית DSLRoot מצא כי היא מספקת גישה לפרוקסי ביתי בארצות הברית, לרבות רשתות שמארחים אנשי צבא אמריקאים, תמורת תשלום למי שמספקים גישה לרשת הביתית שלהם.^[45]

פרוקסי ביתי וסלולרי משמשים בעיקר למבצעי סייבר או לפשיעת סייבר, אך בעבר הם נוצלו גם למבצעי השפעה או לפעילות המשיקה להם. לדוגמה, מסמכים מודלפים שמקורם בגורם האיום האיראני APT 35 מראים כי אחד ממפעילי הקבוצה היה אחראי לרכוש שירותי פרוקסי ולחברם לחשבונות שנרכשו באינטרנט. אף שסביר כי חשבונות אלה שימשו למבצעי דיוג, ניתן להשתמש בדיוק באותו דפוס פעולה להפעלת חשבונות שנרכשו או נפרצו.^[46]

שירותי פרוקסי הם כלי יסוד המשמש לכל סוגי הפעילות המקוונת הבלתי חוקית, ולכן הם יעד מרכזי למאמצי אכיפת החוק. קבוצת מודיעין האיומים של גוגל, בשיתוף סוכנויות אכיפה ושותפים נוספים, הפילה את IPIDEA – ספקית הפרוקסי הביתי הבלתי חוקי הגדולה בעולם.^[47] לדברי גוגל המבצע השבית מיליוני מכשירי פרוקסי זמינים, ולהערכתה הייתה לכך השפעה ניכרת בהמשך הדרך על יכולותיהם של גורמי האיום.

שירותי פרוקסי חיוניים למבצעים מכל הסוגים, אך אינם מספיקים כשלעצמם. גורמי איום זקוקים גם לגישה לסביבות שבהן יוכלו להפעיל תוכנות רלוונטיות, בין לצורך תשתיות פיקוד ושליטה (C2) התומכות במבצעי סייבר או השפעה, לאחסון דומיינים או למטרות מבצעיות אחרות. גורמי איום שאינם יכולים או אינם מוכנים להשקיע את המאמץ הנדרש לעקיפת הליכי "הכר את הלקוח" (KYC) של ספקים לגיטימיים, או לחשוף את פעילותם בפני תשתיות המאוחסנות במדינות זרות, בוחרים לעיתים קרובות לשכור תשתיות משירותי אחסון חסיני אכיפה בלתי חוקיים.^[48] עם זאת, במקרים מסוימים מצליחות חברות אחסון חסינות אכיפה לנצל פרצות משפטיות או סביבות רגולטוריות רופפות כדי לספק תשתיות לגורמי איום באופן חוקי. הדבר הודגם לאחרונה בשימוש האיראני בחברות אחסון אירופיות המגדירות את עצמן במפורש כספקיות אחסון חסין אכיפה.^[49]

הסביבות הדרושות הן בדרך כלל שרתים פרטיים וירטואליים (VPS) או מופעי פרוטוקול שולחן עבודה מרוחק (RDP). שירותים אלה הם מופעים וירטואליים של מערכת הפעלה נתונה, כגון Windows Server, הפצות Linux ואחרות. גורמי איום יכולים לשכור אותם מספקי אחסון חסין אכיפה בתשלום חודשי צנוע יחסית, לעיתים כמה עשרות דולרים בלבד. לאחר מכן ניתן להשתמש בשרתי VPS ובמופעי RDP לפריסה עולמית של תוכנות ויכולות, תוך חיכוך וחשיפה מזעריים. השימוש הנפוץ ביותר הוא אחסון דומיינים למבצעי סייבר והשפעה, כגון אתרי הדלפה המלבינים מידע שנפרץ. רבים מספקים אלה משכירים גם סוגים אחרים של שרתים, ובהם שרתי SMTP להפצת כמויות גדולות של דואר אלקטרוני.

ספקי אחסון חסין אכיפה מועילים מאוד לגורמי איום המנהלים מבצעי השפעה, אך לא פעם אינם מספיקים כשלעצמם. רוב הספקים הללו וטווחי ה־IP שלהם מוכרים ונמצאים במעקב פעיל של ממשלות, פלטפורמות וחברות אבטחת מידע. לכן התועלת שבהם עשויה להיות מוגבלת, שכן אפשר לחסום בבת אחת מערכות אוטונומיות (AS) שלמות או טווחי IP שלמים.

ניתן לפתור בעיה זו באמצעות ספקי אחסון בטווחי כתובות לגיטימיים, היושבים לעיתים קרובות במדינות מערביות, אולם הגישה לשירותים כאלה מצריכה תשתית פיננסית בלתי חוקית.

תשתיות פיננסיות

גם תשתיות פיננסיות חיוניות לאפשור מבצעי השפעה מכל הסוגים. תשתית פיננסית עבריינית היא אחת הקטגוריות הגדולות ביותר של שירותים בלתי חוקיים הזמינים באינטרנט, והיא משרתת גורמי איום בהיקפים שונים. שירותים אלה נועדו לתת מענה לכמה צרכים מרכזיים: תשלום אנונימי עבור שירותים מקוונים; קבלת תשלום עבור שירותים באינטרנט או מפלטפורמות מקוונות, כגון פלטפורמות פרסום; הלבנת כספים; והקמת תשתית פיננסית אנונימית.

שירותים אלה כוללים קטגוריות ויכולות מרובות. שירות נפוץ בקרב גורמי איום הוא כרטיס אשראי וירטואלי, שבו גורם משלם לצד שלישי עבור שימוש בכרטיס אשראי שאינו משויך למשלם. יכולת זו חיונית לרכישת מוצרים ושירותים מקוונים, כגון שירותי אחסון, מספקים לגיטימיים. שירותים אחרים כוללים שירותי "משיכת כספים”, המאפשרים לגורמי איום לקבל לחשבונותיהם תשלום שהופק מהונאות או מפעילות מקוונת בלתי חוקית אחרת. מערבלי מטבעות קריפטוגרפיים הם שירות נפוץ נוסף. הם מאפשרים להעביר מטבעות קריפטוגרפיים דרך מערך ארנקים אקראי כדי לטשטש את מקור הכספים.

כשמדובר בהיקף קטן, גורמי איום משתמשים לעיתים קרובות בשירותים מקוונים מסחריים מכל הסוגים. מכלי בינה מלאכותית ושירותי אחסון, דרך תוכנות פרודוקטיביות וספקי תשלומים ועד שירותי פרסום ומעבר להם, גורמי איום מנסים, ולעיתים קרובות מצליחים, להשיג גישה לשירותים לגיטימיים. שירותים מסוימים, כגון ספקי אחסון ומעבדי תשלומים, מחמירים את דרישות "הכר את הלקוח" (KYC) ככל שהיקף השימוש מתרחב. לכן גורמי איום המבקשים גישה לשירותים לגיטימיים אלה נדרשים לספק אמצעי זיהוי בסיסי כלשהו, ובמקרים מסוימים לעמוד בדרישות אימות נוספות. הם יכולים לעקוף אמצעי KYC בכמה דרכים, ובהן רכישת תעודות זהות שנפרצו או הושגו בדרך בלתי חוקית אחרת; שימוש בבינה מלאכותית יוצרת להפקת תעודות זהות לא־אותנטיות; והסתמכות על שירותי תבניות עברייניים הזמינים להפקת חשבונות מזויפים וצורות אחרות של זיהוי ותיעוד. רבות מיכולות אלה זמינות בעיקר בתת־התחום של שיווק "כובע שחור" במחתרת המקוונת של פשיעת הסייבר, ורמת התחכום שלהן והשימוש בהן גוברים במהירות. דוח ההגנה הדיגיטלית של מיקרוסופט לשנת 2025 מצא כי היקף השימוש בתעודות זהות שנוצרו בבינה מלאכותית עלה ב־195 אחוזים בין 2024 ל־2025.^[50]

ואולם עקיפת דרישות KYC היא רק הצעד הראשון. יש גם לשלם לספקי השירותים הלגיטימיים, ולשם כך קיימים שירותים עברייניים מגוונים. למבצעים בהיקף קטן עשויים להספיק שירותי כרטיסי אשראי וירטואליים. שירותים אלה מציעים שימוש בכרטיס אשראי של צד שלישי תמורת עמלה ניכרת מתוך הסכום המחויב.^[51] גם אפשרויות אחרות, כגון כרטיסי אשראי וירטואליים חד־פעמיים המשמשים בדרך כלל למטרות לגיטימיות, יכולות לשמש לתשלום למטרות עברייניות.^[52] שירות הפרוקסי הבלארוסי DSLRoot, לדוגמה, מציע גם כמה שירותי כרטיסי אשראי וירטואליים, ובהם שירותים המקבלים מטבעות קריפטוגרפיים לצורך טעינת הכרטיסים, ובכך מאפשרים עוד יותר את עקיפת השירותים הפיננסיים המסורתיים.^[53]

אף שניתן לנצל ספקים לגיטימיים למבצעים קטנים, הדבר כרוך בסיכון של ממש לחשיפה ולהסרה, ובדרך כלל אינו ישים למבצעים רחבי היקף או ארוכי טווח. הסיבה לכך היא אופיים המובנה של כלים פיננסיים בלתי חוקיים, שלעיתים קרובות אינם זמינים דרך ספקים לגיטימיים או נחסמים אצלם ביעילות בקנה מידה רחב. ספקים לגיטימיים גם מנטרים תדיר את שירותיהם לאיתור שימוש לרעה, וחוסמים לקוחות בעלי פוטנציאל סיכון אם מתברר שניצלו לרעה אמצעי תשלום או פלטפורמות.

הקושי לנצל פלטפורמות לגיטימיות בקנה מידה רחב מחייב כל גורם איום מדינתי להשתמש בשירותים בלתי חוקיים. מטבעות קריפטוגרפיים הם גורם מאפשר מרכזי לשירותים בלתי חוקיים אלה או לשירותים ידידותיים לקריפטו. מעבדים של תשלומי קריפטו וחברות לגיטימיות מטילים לרוב דרישות KYC מחמירות, אך רבים אינם עושים כן, בעיקר מחוץ לארצות הברית ולאירופה. אחרים אינם דורשים KYC כלל. בין שהליכים אלה נדרשים ובין שלא, אופיין הפומבי של כל עסקאות הקריפטו יוצר עבור גורמים רבים סיכון לחשיפה, ולכן גם ביקוש למערבלי קריפטו המטשטשים את תנועת הכספים ואת מקורם. ניצול שירותים ופלטפורמות לגיטימיים עשוי להיות יעיל בהיקף קטן ואף בינוני, אך ניצולם בהיקף גדול מחייב תשתית פיננסית ממשית, שמושגת לא פעם באמצעות הקמת חברת קש. גורמי איום השקיעו בהקמת חברות קש למטרות רבות: מפעילות בכיסוי בתוך המדינה והתחמקות מגילוי בידי שירותי מודיעין זרים ועד להסוואת הפעילות בחו"ל. אף שחברת קש מסייעת לטשטוש בתוך המדינה, תפקידה המבצעי העיקרי הוא להקל את הרכישה וההקמה של תשתיות.

ניתן להשתמש בחברות קש לרכישת תשתיות ולהקמתן בשתי דרכים. הראשונה היא להקים חברת קש במדינה שבה יושב הגורם או במדינה ידידותית וסמוכה, ולהשתמש בה לשכירת תשתיות מקוונות על שמה. שיטה זו מאפשרת לחברה להשתמש באמצעי תשלום מקובלים, כגון כרטיסי אשראי או העברות בנקאיות, אך כרוכה בסיכון שחברת הקש עצמה תיחשף. היא יעילה במיוחד ברכישת שירותים מספקים בשוק האפור או השחור.

השיטה השנייה, שבה הגורם פותח חברה או ישות פיננסית במדינה או באזור שבהם הוא מבקש לפעול או לפגוע, מצריכה השקעה רבה אך מניבה תשואה גבוהה יותר. רישום חברה באזור היעד מעניק לגורם יתרון חשוב אחד: היכולת לרכוש בקלות תשתיות בעלות ערך גבוה באזור המותקף.

רכישת תשתית כזו בתוך אזור היעד עצמו מקנה כמה יתרונות. המרכזי שבהם הוא היכולת ליצור ביתר קלות חשבונות בפלטפורמות מקומיות בלי להסתמך על שירותי VPN או לנתב תעבורה בדרכים אחרות, כדי להפחית את הסיכון לזיהוי בידי הפלטפורמות עצמן או בידי גופי אכיפת החוק המקומיים. סוכנויות מודיעין המופנות כלפי חוץ, לדוגמה, מנועות לרוב מלחקור פעילות מקומית. כאשר מתווספים לכך חוקי פרטיות מקומיים שניתן לנצל להסוואת הבעלות, הסיכוי לזיהוי פוחת עוד יותר.

לבסוף, הקמת חברה באזור היעד מאפשרת לגורם האיום לרכוש תשתיות בקנה מידה גדול הרבה יותר. לדוגמה, הוא יכול להקים חברת אחסון או ספק שירות אחר שלמראית עין יש לו צורך לגיטימי ליצור ולנהל תשתיות מהותיות כגון מערכות אוטונומיות (AS) – כלומר טווחי כתובות IP – מספר רב של שרתים או תשתיות אחרות.

יתרון נוסף בהקמת חברת קש באזור הפעילות המיועד הוא האפשרות לנצל את מערכת המשפט של אותה מדינה. רוב המדינות הדמוקרטיות מטילות הגבלות מחמירות על סוג הפעילות שכל ארגון או סוכנות רשאים לחקור בתוך גבולותיהן. בארצות הברית, לדוגמה, הקמת חברת קש מקומית מונעת מחלקים גדולים מקהילת המודיעין האמריקאית לנטר או לחקור פעילות זדונית, ובכך מפחיתה במידה ניכרת את הסיכון שמבצעים מקומיים יתגלו. גורמי איום, בין שהם מדינות לאום ובין שהם פושעי סייבר המונעים מרווח כספי, מנצלים זה שנים דרישות רופפות לרישום חברות במדינות מערביות. במקרים רבים הם משתמשים לצורך רישום החברה באותם משאבים וכלים המשמשים אותם ליצירת חשבונות לא־אותנטיים ולרכישת תשתיות, כגון זיוף מסמכים או שימוש במידע אישי שנחשף בפריצות. מדינות מסוימות הפגינו רפיון מיוחד, ובהן בריטניה. במקרה קיצוני אחד השתמשו יותר מ־11 אלף חברות סיניות במרמה בכתובתו של אזרח בריטי יחיד לצורך רישום עסקיהן, והותירו אותו עם חבות מס גבוהה במיוחד.^[54]

גם איראן ורוסיה ניצלו מדינות באירופה למטרות דומות. גורם הסייבר ומבצעי ההשפעה האיראני הבולט Aria Sepehr Ayandehsazan ‏(ASA) הקים שתי חברות קש באיחוד האירופי, Server Speed ו־VPS-Agent, וניצל את משווקת האחסון הליטאית BACloud כדי לספק תשתיות למבצעיו.^[55] ‏ASA השתמש באותן חברות גם כדי לספק שירותי אחסון לשלוחים איראניים כגון חמאס וחזבאללה.

גורמי השפעה רוסיים, כגון הסוכנות לעיצוב חברתי (SDA) האחראית למבצע ההשפעה הרוסי הבולט Doppelganger, שוכרים רשת של ספקי אחסון חסין אכיפה רוסיים, ובהם Aeza שעליה הוטלו סנקציות לאחרונה, לצורך אחסון דומיינים ותשתיות אחרות.^[56] ספקי האחסון הללו עצמם הקימו חברות קש באיחוד האירופי, בסינגפור ובמקומות נוספים כדי להסוות את פעילותם ולקבל גישה לתשתיות אחסון לגיטימיות.^[57] ‏Doppelganger השתמש גם בספקית האחסון חסין האכיפה Stark Industries, שנחשפה כמי שמקימה חברות קש אירופיות, כדי לאחסן תשתיות באירופה.^[58]

גורמי איום השתמשו, כמובן, בחברות קש בארצות הברית גם למבצעי סייבר. נחשף כי הם השתמשו בחברות LLC הרשומות בארצות הברית, ובייחוד בוויומינג, כחברות קש לשכירת שרתים ותשתיות בארצות הברית לצורך מבצעי סייבר.^[59] ניתן ליישם מודל זהה גם על מבצעי השפעה.

תשתית פיננסית לגיטימית חיונית לרכישת השירותים והכלים הנדרשים, אך רבות מן היכולות שבהן משתמשים גורמי איום זמינות בעצמן דרך המחתרת של פשיעת הסייבר. אקוסיסטם זה פועל לא רק ברשת האפלה (dark web), אלא בעיקר ברשת הגלויה וביישומי מסרים כגון טלגרם, ומשמש זרז לפעילותם של גורמי האיום. הכלים משמשים בעיקר למטרות עברייניות ובהן ספאם, הונאות, דיוג ואף פשעים שעוצמת השפעתם רבה יותר, כגון כופרה. הם מתקיימים באופן עצמאי מן השימוש בהם למבצעי השפעה, שכן מפעיליהם ובעליהם מונעים משיקולי רווח.

אלמלא קיומם של כלים אלה, מדינות לאום עוינות היו נדרשות להשקיע משאבים ניכרים בפיתוח היכולות הללו ובתחזוקתן. גורמים מדינתיים רבים יכולים היו אומנם להתגבר על כך ולפתחן בתוך הבית, אך זמינותן בשוק מאפשרת לגורמי איום בכל הרמות לפעול בקנה מידה רחב ובעלות נמוכה בהרבה. רוב צורכי התשתית של גורמי האיום הם בסיסיים, כלומר מדובר ביכולות מרכזיות המאפשרות את עצם התפקוד והפעילות. עם זאת, יכולות מבצעיות רבות שבהן משתמשים גורמי איום זמינות מסחרית מספקים חסרי מצפון במדינות מסוימות או מספקים עברייניים באינטרנט. אלה מרכיבות את עיקר הקטגוריה האחרונה של תשתיות הנבחנת במאמר זה: תשתיות מבצעיות.

תשתיות מבצעיות

תשתיות מבצעיות כוללות את הכלים והשירותים המאפשרים תפקודים מבצעיים מרכזיים מעבר לגישה לאינטרנט. רבים מהם זמינים מספקים לגיטימיים למטרות חוקיות, או משמשים למטרות של פשיעת סייבר שאינן קשורות לפעילות מדינתית. דוגמה מרכזית היא ספאם במסרוני SMS. שליחת מסרונים בהיקף עצום היא ערוץ מרכזי למבצעי השפעה ולמבצעים פסיכולוגיים. היא מאפשרת לגורמי איום לפגוע בקהלים גדולים על בסיס מיקום או מספר טלפון – מידע שניתן להשיג בקלות מדליפות נתונים או ממקורות מקוונים אחרים. אפשר לשלוח מסרוני SMS בהיקף רחב באמצעות שתי יכולות עיקריות.

הראשונה היא חוות כרטיסי סים, שאותה גורם יכול להקים בעצמו או לשכור מחוות ספאם. חוות סים מתאמות עשרות, מאות ואף אלפי מכשירים נפרדים, לצד מכשירים וירטואליים ומדומים וכרטיסי eSIM, כדי לשלוח בהיקף רחב מסרוני SMS (או הודעות בפלטפורמות כגון ווטסאפ,‏ טלגרם או סיגנל) למספרי יעד.^[60] חוות סים משמשות בעיקר להונאות, ומבצעים רחבי היקף משתמשים לא אחת בעשרות אלפי כרטיסי סים המנוהלים באמצעות כמה שרתים וחומרה ייעודית.^[61]

רוסיה ואיראן השתמשו בשיטה זו בעיקר במסגרת מבצעים בעת מלחמה. בדוגמה אחת מרוסיה הופעלה יכולת לשליחה המונית של מסרונים והודעות נגד אוקראינים, ובהם נמסר תדר רדיו שבאמצעותו יוכלו להיכנע לכוחות הרוסיים.^[62] במהלך המלחמה האחרונה השתמשו גורמים איראניים בטקטיקה דומה נגד ישראלים: הם שלחו מסרוני SMS לא־אותנטיים שהתחזו להודעות פיקוד העורף, והנחו את הנמענים להימנע מכניסה למקלטים בעת מתקפות טילים.^[63] גורמים איראניים המשיכו להשתמש בטקטיקה זו בהזדמנויות אחדות, ושלחו מסרונים המוניים לישראלים שכללו מידע אישי על הנמענים כדי להגביר את השפעתם הפסיכולוגית.^[64]

ניתן להשתמש במסרוני SMS גם כדי לפגוע באוכלוסיות באזור גיאוגרפי מוגדר. מכשירים מפציצי הודעות SMS (SMS blaster devices), הזמינים לרכישה מסחרית במדינות רבות, מאפשרים לגורם האיום להתחזות לאנטנה סלולרית מקומית ולאלץ את כל התעבורה הניידת הנכנסת והיוצאת לעבור דרך המכשיר שלו. מכשירים אלה משמשים בעיקר להונאות,^[65] אך דווח גם על מקרים שבהם הם הפיצו ליעדים קישורים זדוניים מסיבות שאינן כספיות.^[66] יכולת שידור SMS עשויה לאפשר למפעילים חשאיים הפעילים באזור מסוים ליצור קשר עם אוכלוסיות במרכזים עירוניים ולהעביר להן מסרים ממוקדים.

גם שיחות טלפון יכולות לשמש להגעה לאוכלוסיות רחבות במסגרת מבצעי השפעה. גורמים איראנים, לדוגמה, השתמשו בשירותי חיוג אוטומטי הזמינים מסחרית כדי ליצור קשר עם ישראלים בהיקף רחב.^[67]

שירותים בלתי חוקיים הם דרך מרכזית נוספת ליצור קשר עם יעדים. שירותי שיווק "כובע שחור” מציעים רבים מן השירותים הלגיטימיים שתוארו לעיל, אך ללא הליכי KYC או מגבלות אחרות המונעות מגורמי איום לנצל לרעה ספקים לגיטימיים למבצעי השפעה וסייבר. ספקי שירותים בלתי חוקיים מציעים גם פתרונות אחרים, כגון הודעות ישירות בפלטפורמות מקוונות. שליחה המונית של הודעות ישירות (DMing) היא שירות בלתי חוקי מעצם טבעו, או לכל הפחות בלתי לגיטימי, שכן היא מחייבת מספר נכבד של חשבונות בפלטפורמת היעד כדי להפיץ הודעות ישירות לקהל המותקף.

יצירה או רכישה של כמויות עצומות של חשבונות מקוונים היא יכולת מרכזית של המחתרת העבריינית, המאפשרת מבצעי השפעה מעבר לשליחה המונית של הודעות ישירות. ספקי שירותים בלתי חוקיים יכולים לספק לרוכשים חשבונות מכל סוג. החשבונות מושגים בין היתר באמצעות ניצול מידע שנחשף בפריצות לצורך השתלטות על חשבונות, רישום עצמאי של חשבונות ושיטות נוספות. לאחר מכן ניתן למכור אותם במישרין ללקוח הסופי ולהקנות לו נוכחות מקוונת כבדת משקל.

חשבונות אלה מנוהלים באמצעות תת־תחום אחר באקוסיסטם העברייני המקוון: דפדפני אנטי-דיטקט. פושעי סייבר משתמשים בהם לרוב להפצת ספאם, להונאות ולפעילויות מקוונות בלתי חוקיות אחרות. פושעי סייבר אחרים מפתחים את הדפדפנים ומעניקים רישיונות שימוש בהם. הדפדפנים מספקים ממשקי API ויכולות אוטומציה המאפשרים לגורמי איום להקים הפעלות מרובות שכל אחת מהן משויכת לחשבון ולפרוקסי נפרדים, וכן להגדיר סמנים טכניים כגון סוכן המשתמש שלה כדי לאפשר רישום חשבונות ופעילות מקוונת.

אפשר להשתמש בחשבונות גם למכירת מעורבות משתמשים כדי להגביר תוכן מקוון, או להשפיע על האלגוריתמים של הפלטפורמות. מרכז המצוינות לתקשורת אסטרטגית של נאט"ו חקר אקוסיסטם זה בכמה הזדמנויות ומצא כי כל פלטפורמות הרשתות החברתיות המובילות פגיעות, בדרגות שונות, למעורבות לא־אותנטית כגון סימוני "אהבתי", תגובות ושיתופים, וזאת למרות השימוש במערכות גילוי אוטומטיות ובצוותי מודיעין איומים.^[68] גורמי איום משתמשים בשירותים אלה במקרים רבים כדי להגביר את תוכנם במהירות. תחקיר של רויטרס מן העת האחרונה, לדוגמה, זיהה סימנים למעורבות לא־אותנטית במבצע השפעה שביצעה חברה מהפיליפינים מטעם שגרירות סין. ישויות המבצע, ובהן חשבון טיקטוק, הציגו סימנים לתגובות אוטומטיות ולסרטוני יוטיוב שצברו מאות סימוני "אהבתי", אך לא תגובות או צורות מעורבות אחרות.^[69]

שירותים בלתי חוקיים זמינים גם להפעלת פרסומות. שירותים מציעים דרך שגרה הסוואת מודעות (Ad cloaking), המאפשרים לפרסם מודעות שאחרת היו מפירות את מדיניות הפלטפורמה, בעיקר למטרות כספיות אך זהו גם פוטנציאל לפרסום זדוני או פוליטי. השיטה מציגה לפלטפורמה המאמתת מודעה וכתובת URL אחת, ולאחר מכן מציגה מודעה מפירת מדיניות המקשרת את המשתמשים לאתר אחר.^[70] מבצע Doppelganger הרוסי השתמש בגרסה של טכניקה זו כדי להפעיל פרסומות במטא בקנה מידה רחב. הסוואת מודעות מצריכה תוכנה מתאימה, חשבונות מאומתים ושיתוף טכניקות, שאת כולם ניתן לרכוש בפורומים לשיווק "כובע שחור".^[71]

שירותי מידע בלתי חוקיים יכולים למלא תפקיד מכריע גם באפשור פגיעה ממוקדת, באמצעות אספקת מאפייני איתור ומידע אחר על אוכלוסיות היעד. דליפות נתונים הזמינות ביישומי מסרים ובפורומים ברשת הגלויה והאפלה יכולות לספק לגורמי איום מאגרי מידע זולים ואף חינמיים, הכוללים מספרי טלפון, כתובות דואר אלקטרוני, שמות, שמות משתמש בחשבונות ומידע רב נוסף. לאחר מכן ניתן להשתמש במידע כדי לפגוע באנשים באמצעות מסרוני SMS, שיחות טלפון, הודעות ישירות, פרסום בתשלום וערוצים אחרים. הוא מאפשר פגיעה ממוקדת באנשים בקנה מידה רחב, וכן בבעלי תפקידים בכירים, בעיקר באמצעות ניצול שווקים עברייניים קיימים למידע, הנפוצים במיוחד במדינות סמכותניות כגון רוסיה וסין.^[72] מידע שהודלף יעיל לצורכי מודיעין ולאיסוף מאפייני איתור, אך מועיל פחות להשתלטות על חשבונות בשל דרישות לאימות רב־שלבי, הקושי לדמות הפעלות משתמש ואמצעי הגנה אחרים שמפעילות פלטפורמות מקוונות.

יומנים של גונבי נתונים הם מקור מידע חדש יחסית הפותר בעיה זו. גניבת נתונים היא סוג של נוזקה המתמקדת במכשיר מסוים במקום בשירות מקוון או במסד נתונים. הקורבן נדבק בדרך כלל לאחר שהוריד נוזקה שהוסוותה בתוך תוכן אחר, כגון מדיה פיראטית, ולרוב אינו מודע לכך שמכשירו נפרץ. נוזקת גניבת הנתונים מוציאה מן המכשיר הנגוע כמויות ניכרות של נתונים, ובהם מידע השמור בדפדפנים – כגון סיסמאות, קובצי Cookie והיסטוריית גלישה – וכן נתונים מיישומים מקומיים, קבצים ומידע ייחודי למכשיר, כגון מערכת ההפעלה וסוג המכשיר. מידע זה מאפשר למפעיל לפגוע בחשבונות בעלי הרשאות ולפרוץ לרשתות.^[73] ליכולת זו כמה יישומים אפשריים בהקשר של מבצעי השפעה: פגיעה בחשבונות מנהלים כדי להשחית אתרי אינטרנט, פריסת כופרה ברשת לשם השפעה פסיכולוגית, או אף השתלטות פשוטה על חשבונות מרכזיים ברשתות החברתיות. אף שכיום אין דוגמאות מתועדות לשימוש בגונבי נתונים במבצעי השפעה, יש להביא בחשבון את תפקידם המרכזי בדליפות נתונים.

המחתרת של פשיעת הסייבר פיתחה גם כלים ושירותים התקפיים. ניתן לשכור במחירים נוחים שירותי מניעת שירות מבוזרת (DDoS), המכונים גם שירותי "העמסה". מתקפות DDoS יכולות לשרת מטרות רבות, כגון הפלת אתרי מתחרים והשחתה כללית, אך הן שירות ייחודי בכך שעיקר השימוש בהן נועד להפעיל השפעה. קבוצות כגון Anonymous Sudan^[74] ו־NoName05716^[75] יכולות להקים את התשתית הדרושה באמצעות ניצול מכשירים נגועים או שכירת שרתים לניתוב כמויות עצומות של תעבורה ליעדיהן. הקבוצות יכולות להשתמש בתשתית למבצעיהן, להשכיר אותה לגורמים אחרים או לעשות את שני הדברים.

כופרה היא יכולת נוספת הזמינה דרך המחתרת של פשיעת הסייבר. מפתחי כופרה, המשמשת בדרך כלל לרווח כספי, מעניקים לשותפים רישיון להשתמש בנוזקה שלהם בתמורה לנתח מן הרווחים. ניתן להשתמש באותו סוג של מבצע גם כדי להשפיע על קהלי יעד או לעורר בהם פחד, כפי שהמחישו גורמים איראניים שפגעו בישראל. הדבר אינו חדש לחלוטין. Pay2Key, שה־FBI זיהה כמבצע כופרה איראני המשמש למטרות השפעה,^[76] פעיל מאז 2020. האתר Pay2Key^[77]‏ חידש את פעילותו באמצע 2025, במהלך מלחמת ישראל–איראן, והציע הנחה למפעילים שהשתמשו בכופרה שלו נגד חברות ישראליות.^[78] גורמי איום אחרים כגון Qilin השתמשו בדפוס פעולה דומה נגד בתי חולים בישראל.^[79] הדלפות מן העת האחרונה הנוגעות לגורם האיום האיראני APT 35 חשפו את ממדי השיטה: לפי המסמכים המודלפים APT 35 תקף יותר מ־300 אתרים ישראליים בכופרה, ולאחר מכן ביקש "להפוך את החשיפה התקשורתית שנוצרה לנשק".^[80]

ניתן לרכוש באינטרנט גם כלים התקפיים אחרים למבצעים משולבים של סייבר והשפעה. APT Iran, ערוץ טלגרם המזוהה עם גורם האיום CyberAv3ngers המקושר למשמרות המהפכה, הציע בפורומים מקוונים למכירה כלי מסגרת התקפי המיועד למערכות טכנולוגיה תפעולית (OT).^[81] ‏CyberAv3ngers ביצע בעבר מתקפות אחדות על תשתיות חיוניות ומערכות OT לשם השפעה פסיכולוגית, ובהן פגיעה במערכות מים בארצות הברית.^[82] ‏APT Iran השתמש בעבר גם בתוכנות כופרה שפיתחו ספקים אחרים במסגרת מבצעי השפעה מבוססי סייבר נגד ישראל.^[83]

חלק שלישי: עבריינות בהקשר של עימות גלובלי – סגירת פער המענה הדמוקרטי

החלק השני של מאמר זה הראה כי מגוון היכולות והשירותים שתשתיות פשיעת הסייבר מציעות כיום לגורמי איום הפועלים עם מדינות סמכותניות, או מטעמן, התקדם באופן יסודי מעבר למסגרות הנוכחיות להתמודדות עם סייבר ומבצעי השפעה. בשל כך, המאמצים הקיימים אינם צפויים לצמצם באופן משמעותי את היכולת להפעיל השפעה זדונית, וגם לא את היכולת לבצע מתקפות על תשתיות לאומיות חיוניות. הצורך לסגור פער זה דחוף במיוחד כיום: ככל שהתחרות הבינלאומית מחריפה ושירותי פשיעת הסייבר נעשים זולים יותר, גוברת הסבירות שמדינות עוינות יסתמכו על אפשרויות אלה.

ככל שהעימותים בעולם מחריפים, הפערים המושגיים בין משטרים סמכותניים למשטרים דמוקרטיים־ליברליים יוצרים אצל האחרונים פערי מענה. דמוקרטיות ליברליות מערביות מבחינות בין סוגים שונים של איומי סייבר, ובין הגורמים המדינתיים והלא־מדינתיים המבצעים אותם; משטרים סמכותניים כמעט אינם עושים הבחנות כאלה. מדינות סמכותניות אינן מפרידות בין מתקפות על תשתיות חיוניות למאמצי השפעה. הן פועלות בסביבות שבהן האחריותיות מצומצמת ונוקטות גישה תוצאתית רחבה, שבה המטרה מקדשת את האמצעים. לכן הן מפעילות כל גורם וכלי המוכיחים את יעילותם, לרבות קבוצות ויחידים המבצעים פשיעה תלויית סייבר ופשיעה מבוססת סייבר. בהקשר של מבצעי השפעה וחבלה היברידית, ההסתמכות על עבריינים ועל פושעי סייבר המגויסים ומתוגמלים באמצעים דיגיטליים מושכת בעיקר משטרים סמכותניים, משתי סיבות: היא מצמצמת עלויות ומגבירה את יכולת ההכחשה הסבירה.

הבינה המלאכותית מגבירה עוד יותר את האטרקטיביות של תשתיות פשיעת הסייבר, משום שהיא הופכת את שרשרת האספקה העבריינית לקשה יותר לגילוי, ובה בעת לזולה יותר להרחבה. דוח האיומים העולמי של CrowdStrike לשנת 2026 מתעד עלייה של 109 אחוזים באירועי פיתוח משאבים בסיוע בינה מלאכותית, ועלייה של 134 אחוזים בביצוע בסיוע בינה מלאכותית בין 2024 ל‑2025. קבוצות עברייניות וגורמים בעלי זיקה מדינתית משתמשים בבינה מלאכותית ליצירת תוכן, להתחמקות מגילוי ולאוטומציה של פעילות לאחר חדירה בקנה מידה רחב.^[84] התוצאה היא קצב מבצעים גבוה נגד מדינות יעד, במחיר של שבריר מעלותם הקודמת.

בינתיים, דמוקרטיות ליברליות אינן מכירות במלוא היקף האיום ומפגרות במתן מענה מתמשך ומשבש. ממשלות מערביות הכירו בהתרחבות פעילות ההשפעה, אך טרם נתנו משקל מלא להיגיון המבני והכלכלי המניע אותה. התמקדותן בארכיטקטורה הגלויה של מבצעי ההשפעה מסכנת אותן בהתעלמות מן האקוסיסטם הרחב המקיים אותם. בלבול מושגי וחוסר דיוק טרמינולוגי ממשיכים לכוון את אמצעי הנגד לפתרונות דומים בעיקרם, שמרכזם העלאת העלות עבור גורמים זרים המבצעים פעולות אלה. ואולם בלי להתמודד עם תשתיות פשיעת הסייבר המאפשרות אותם, המענים של הדמוקרטיות הליברליות צפויים להישאר בלתי מספקים מבחינה מבנית.

תשתיות למבצעי סייבר והשפעה כוללות את היכולות, התוכנות, השירותים והישויות הבסיסיים המאפשרים למפעיל לבצע מבצע באופן חלקי או מלא. פגיעה בתשתיות פשיעת הסייבר, נוסף על חשיפה מוקדמת של דיסאינפורמציה אפשרית (pre-bunking), הפרכה והשקעות ארוכות טווח באוריינות תקשורתית ובחוסן חברתי, מעניקה כמה יתרונות נוספים וייחודיים.

ראשית, התשתית שבשימוש היא לעיתים קרובות בלתי חוקית במוצהר, או שנרכשה באמצעים בלתי חוקיים. אי־חוקיות זו עוקפת בפשטות את הדיונים על ניטור תוכן או על שיטור חופש הביטוי, ומאפשרת למדינות דמוקרטיות לפגוע בפשיעת סייבר ובספקי תשתית באמצעות מלוא מגוון הכלים העומדים לרשותן. כוחות משטרה לאומיים יכולים, למשל, לשתף פעולה עם מדינות שותפות ועם חברות פרטיות בביצוע פעולות הסרה, כפי שעשו גוגל ושותפיה בהפלת ספקית הפרוקסי הביתי IPIDEA.^[85] במאי 2026 תפסו רשויות האכיפה הפיננסית בהולנד כ־800 שרתים של חברת WorkTitans B.V., ספקית אחסון שפעלה בחשאי תחת מיתוג חדש של חברה הנתונה לסנקציות ומקושרת לרוסיה, וסיפקה תשתית לקבוצות ריגול סייבר איראניות.^[86] נמצא ששלושה גורמי איום איראניים – MuddyWater,‏ Agrius ו־Nimbus Manticore – משתמשים בשרתי WorkTitans כתשתית פיקוד ושליטה מרכזית. משמעות הדבר היא שפעולת אכיפה אחת שיבשה בעת ובעונה אחת מספר קמפיינים פעילים של ריגול.^[87]

אופיים העברייני והזר של ספקים אלה גם מאפשר לדמוקרטיות להפעיל יכולות שלא ניתן היה להפעיל נגד התנהגות בתוך פלטפורמות. ניתן להשתמש גם במבצעי סייבר התקפיים. מבצע פיקוד הסייבר של ארצות הברית נגד הסוכנות לחקר האינטרנט הרוסית לקראת הבחירות בארצות הברית הוא דוגמה מוקדמת ומאלפת לגישה זו.^[88] אפשר להפעיל ביעילות שיטות נוספות נגד צמתים או יכולות מרכזיים, בייחוד בתקופות רגישות כגון בחירות, ולפגוע בתשתיות יסוד כגון שירותי אחסון חסין אכיפה או מפתחי כופרה.

יתרה מכך, התייחסות הוליסטית למבצעי השפעה כאל וקטור איום והתמקדות בתשתיות בעלות השפעה רבה יוצרות תמריץ למשרדי ממשלה ולסוכנויות רבות בכל מדינה להשתתף במאמץ. משרדי חוץ יכולים להפעיל לחץ מדיני על מדינות שבהן פשיעת הסייבר נפוצה, ולמסגר מחדש את הנושא כבעיית פשיעה בינלאומית. גישה זו עשויה לסייע לעקוף רגישויות גיאופוליטיות ולגייס תמיכה ממדינות שלישיות, מארגונים בינלאומיים ומגופי אכיפת חוק בינלאומיים, שאותם ניתן להפעיל נגד ספקים בינלאומיים.

לבסוף, התמקדות בתשתיות היא גם חסכונית וגם רבת השפעה – שיקול חשוב בעידן של איומים גוברים ותקציבים מוגבלים בדמוקרטיות מערביות. יוזמות רבות להתמודדות עם דיסאינפורמציה קוצצו, אך מַעבר לפעילות סיכול מוקדמת לפני מימוש המבצעים בפועל מאפשר למדינות לפגוע בספקים וביכולות בעלי ערך גבוה, המשמשים מכפילי כוח בכל סוגי המבצעים, ובעלות נמוכה בהרבה. הפלת שירות פרוקסי ביתי או ספק אחסון חסין אכיפה המשרת גורמי איום רבים במדינות רבות חסכונית הרבה יותר משיטות תגובתיות, כגון סריקת האינטרנט לאיתור סימני פעילות לא־אותנטית. היא גם מניבה תועלות ביטחוניות נוספות, ובהן צמצום איומים רחבים יותר של פשיעת סייבר.

סיכום ומסקנות

תרומתה של פעילות עבריינית במרחב הסייבר למבצעי השפעה עוינים היא בסיסית: היא מספקת את הכלים, התפקודים והשירותים הדרושים להפעלת מבצעים מקוונים בקנה מידה רחב. ללא תשתית זו, יכולתם של גורמים עוינים לבנות אקוסיסטם של נכסי השפעה נפגעת במידה ניכרת, ולמבצעים כאלה היה יתרון מועט בלבד על פני פעילות מקוונת אורגנית רגילה. תרומות אלה כוללות בין היתר יכולות תשלום, תוכנות גלישה, תשתיות שרתים, רכישת חשבונות וישויות מקוונות ושירותי מעורבות משתמשים. כל פגיעה בדינמיקה זו תפחית באופן משמעותי את יכולתם של גורמים עוינים להפעיל ולקיים מבצעים רחבי היקף בטווח הבינוני והארוך. שילובן של תשתיות פשיעת הסייבר במסגרת האנליטית מחייב להמשיג מחדש את הזירה שבה פועלים מבצעי ההשפעה – זירה שבה גורמים מגוונים פועלים בתוך תמריצי ביקוש ומגבלות היצע, ולא בתוך שרשרת פיקוד מכוונת מדינה.

אנחנו קוראים להמשגה מחדש, שמחייבת הבנה עמוקה יותר של היחסים בין אקוסיסטם פשיעת הסייבר לבין גורמי איום מדינתיים. אף שהקשרים בין האקוסיסטם העברייני לגורמי האיום נעשים גלויים יותר, אקוסיסטם זה נפרד מגורמי האיום המדינתיים ואינו תלוי בהם. הגורמים המדינתיים אומנם לא בנו את אקוסיסטם פשיעת הסייבר המממן ומאפשר את מאמצי ההשפעה שלהם, אך הם מעניקים לו הגנה ומשתמשים בו לפי הצורך.

לדינמיקה זו שתי השלכות עיקריות. ראשית, התשתית מחדשת את עצמה. שיבוש גורם או קמפיין מסוים אינו פוגע באקוסיסטם הבסיסי, הממשיך לפעול מכוח ביקוש המונע מרווח כספי. רק פגיעה ביכולות הסמוכות לראש פירמידת הכאב, שהקמתן מחדש פחות כדאית מבחינה כלכלית, מטילה חיכוך משמעותי ומתמשך. שנית, האיום לא יתייצב. הבינה המלאכותית הפחיתה ותמשיך להפחית את עלותה של כל חוליה בשרשרת האספקה של פשיעת הסייבר, וכך תרחיב את פער המענה בין הדמוקרטיות הליברליות ליריביהן.

גישת שיבוש השוק המוצעת כאן משלימה את המאמצים הקיימים להתמודדות עם השפעה ואינה מחליפה אותם. חשיפה מוקדמת של דיסאינפורמציה אפשרית והפרכתה בפועל (pre-bunking), אוריינות תקשורתית וחוסן חברתי ארוך טווח מוסיפים להיות רכיבים בכל אסטרטגיה להתמודדות עם השפעה, אך עליהם להיות מאמצים משלימים. התחום הסובל כיום מהשקעת חסר הוא שיבוש צד ההיצע והאפשור – התשתית המסחרית הזמינה והניתנת להחלפה המניעה את מבצעי ההשפעה. סגירת הפער מחייבת מסגרות מוסדיות, שותפויות בין־מגזריות וסמכויות משפטיות שיאפשרו לפעול נגד התשתית בשיטתיות, ולא באופן נקודתי. הגורמים המדינתיים הסמכותניים המפעילים מבצעים אלה אינם מבחינים בין הכלים העברייניים, הקיברנטיים וההשפעתיים שלהם. דמוקרטיות ליברליות יכולות להסתגל למציאות זו ולאמץ עמדה יוזמת, לא רק כדי להתגונן ביעילות רבה יותר מפני התערבות זרה עוינת אלא גם כדי לפגוע ביכולות ובתשתיות של יריביהן.

המלצות

1. דמוקרטיות חייבות למסגר מחדש את תפיסת הבעיה. מבצעי השפעה והתערבות זרה הם רק היבט אחד במנעד רחב יותר של איומים היברידיים, ובהם פשיעת סייבר, ריגול, חבלה ואחרים, שיש לנתח באופן הוליסטי. רוב הדמוקרטיות עדיין מתייחסות לאיומים אלה כאילו הם מבודדים, ובכך מקשות על שיתוף מודיעין, טכנולוגיה ויכולות בין גופי המדינה. היריב כמעט אינו מכבד הבחנות אלה: אותן תשתיות, אותם ספקים ואותם אנשי צוות משרתים לסירוגין פעילות עבריינית, פעילות ריגול ופעילות השפעה. היחידה לפשעים דיגיטליים של מיקרוסופט ומאמצי שיבוש האיומים של גוגל הם דוגמאות מאלפות לצוותים רב־תחומיים המשלבים אמצעים משפטיים, טכניים ומודיעיניים נגד תשתיות עוינות. בהתבסס על מודל זה, גופי אכיפת חוק, סוכנויות מודיעין ומשרדי חוץ צריכים להקים כוחות משימה משותפים לחקירה, לשיתוף מידע ולתיאום אמצעי נגד בשיתוף האינטרפול, כוחות משימה מקבילים במדינות אחרות וחברות טכנולוגיה עולמיות. שותפויות אלה צריכות גם לפתח את הפרוטוקולים והטכנולוגיות המשותפות הדרושים להגנה יוזמת, ולא תגובתית, על יעדים בעלי ערך גבוה, כגון מערכות בחירות.
2. דמוקרטיות צריכות לכייל מחדש את המענה הדיפלומטי שלהן. מדינות אינן משתמשות במלוא מגוון האמצעים העומדים לרשותן. דמוקרטיות יכולות להנחות את שירותי החוץ שלהן להפעיל לחץ על ממשלות המעניקות מחסה לפושעי סייבר או מסייעות להם, באמצעות צעדים כגון ביטול הזכאות לאשרת כניסה בנמל התעופה לאזרחיהן, השעיית שיתוף פעולה כלכלי או טכנולוגי והטלת סנקציות ממוקדות. יש להפעיל לחץ גם באמצעות גופים בינלאומיים משותפים כגון האו"ם, תוך הכרה בכך שהמדינות נותנות החסות העיקריות מחזיקות לעיתים קרובות במנופים המאפשרים להן לרכך פעולה באותם פורומים. לכן קואליציות של מדינות בעלות תפיסת עולם דומה הן מנגנון אמין יותר.
3. דמוקרטיות צריכות לגייס את המערכות המשפטיות שלהן נגד תשתיות פשיעת הסייבר ונגד הגורמים המאפשרים אותן. מדינות יכולות לנהל מאבק משפטי נגד ספקי שירותים, לרבות תמיכה בקורבנותיהם מן המגזר הפרטי בתביעות אזרחיות, תפיסת נכסים הנמצאים מחוץ למדינה המארחת, הגשת כתבי אישום נוספים, חתירה להסגרה וסגירת פרצות משפטיות קיימות. פעולה מתואמת בכמה תחומי שיפוט מעלה את המחיר למפעילים המנצלים כיום את הפערים בין מערכות המשפט הלאומיות.
4. דמוקרטיות צריכות לפגוע בשכבת השירותים המשותפת ולא בקמפיינים יחידים. התערבות זרה ופשיעת סייבר פועלות על גבי שרשרת אספקה מסחרית של תשתיות רב־פעמיות: אחסון חסין אכיפה, ספקי פרוקסי ביתי ו־VPN, שירותי SMS ואימות טלפוני, סוחרי חשבונות ותיקים וגישה, רשמי דומיינים שאינם משתפים פעולה ועוד. מכיוון שצווארי בקבוק אלה משותפים ללקוחות עברייניים, ללקוחות ריגול וללקוחות השפעה, פגיעה בספק יחיד משבשת בבת אחת את פעילותם של גורמים רבים במורד הזרם. דמוקרטיות צריכות למפות את האקוסיסטם ולתעדף צווארי בקבוק לפי מספר המבצעים שהם משרתים. לשם כך עליהן לבנות יכולות קבועות לעקוב אחר טביעות אצבע ואחר גורמים בין סוגים שונים של תשתית, לנטר רַשמים, משווקים ומערכות אוטונומיות ולאפשר פעולה מהירה. הדבר מחייב משמעת בבחירת יעדים, כדי לפעול נגד ספקים זדוניים בלי לשבש ללא הבחנה את פעילותם של שוכרים לגיטימיים החולקים לרוב את אותו מרחב כתובות.
5. דמוקרטיות צריכות לחנוק את התשתית הפיננסית המקיימת שירותים אלה. תשתית עוינת מחייבת מימון, וגם מסילות התשלום הן תשתית שניתן לפגוע בה. בורסות הקריפטו המלבינות הכנסות, מעבדי התשלומים ורשתות בלדרים המכונים "פרדות כספים" (money-mule) ניתנים לזיהוי ולשיבוש; פעולות משרד בקרת הנכסים הזרים האמריקאי (OFAC) נגד Suex,‏ Garantex ו־Bitzlato הן צעדים ראשונים מרכזיים. הטלת סנקציות וניתוק מבנקאות של ספקים המפיקים הכנסות מאקוסיסטם זה פוגעות במודל העסקי באופן מתמשך יותר מתפיסת שרת שניתן להחליפו.
6. דמוקרטיות צריכות לפגוע בתשתיות היריב ולהפעיל עליהן מניפולציה ולא להסתפק בתפיסתן, לרבות פגיעה בשכבת האמון העומדת בבסיסן. פעולות הסרה הן תגובתיות, והתשתיות מוקמות מחדש במהירות. עמדה חדשנית יותר רואה בתשתית העוינת יעד מתמשך שיש לפגוע בו ולהפוך אותו לבלתי אמין, באופן שיעלה את עלויות התפעול וישׁחַק את האמון בין הספקים ללקוחותיהם. בכפוף למסגרת משפטית קפדנית, הדבר עשוי לכלול הטיית תעבורה ל"בורות ניקוז" (sinkholing) וחדירה חוזרת ומתמשכת לרשתות בוטים ולצומתי פיקוד ושליטה; השחתת משאבים משותפים כגון מאגרי פרוקסי ומלאי חשבונות כך שיהפכו בלתי אמינים בעיני רוכשים; והפעלת מניפולציה בררנית על תשתיות במקום השמדתן, כדי להזין את היריב בסמנים כוזבים בנוגע למה שנפרץ. אותו היגיון חל גם על שכבת המוניטין שעליה נשענת כלכלה זו: הפורומים, מערכות הערבות ושירותי הנאמנות המאפשרים לספקים וללקוחות לסחור עם זרים. פגיעה בשירותי הנאמנות, חשיפה או התחזות למתווכים מהימנים וזריעת חוסר אמון במערכות הערבות מגבירות את החיכוך בשוק כולו, והופכות את שיטות הפעולה של היריב נגד התשתית המקיימת אותו.

________________

[1] ראו למשל: Gavin Wilde, “SCOTCH: A Framework for Rapidly Assessing Influence Operations,” Atlantic Council,May 24, 2021; National Security and Intelligence Committee of Parliamentarians, "Special Report on Foreign Interference", 2024; European Commission, "Action Plan Against Disinformation", 2018.

[2] שירות החוץ האירופי (EEAS) פיתח את מסגרת המניפולציה וההתערבות הזרה במידע (FIMI) כדי להמשיג איומים אלה, להעריכם ולהתמודד עימם.

[3] EUvsDisinfo, “Foreign Information Manipulation and Interference (FIMI) Explained,” March 15, 2026.

 [4] National Crime Agency (UK), “Cybercrime,” n.d.

[5] ההגדרה נשענת על אמות המידה להפללה שנקבעו באמנת האו”ם נגד פשיעת סייבר; ראו United Nations Office on Drugs and Crime, "United Nations Convention Against Cybercrime", n.d. בניגוד לאמנת האו”ם, אנחנו מגדירים פשיעת סייבר כפעילות בעלת כוונת רווח ברורה.

[6] Google Threat Intelligence Group, "Cybercrime: A Multifaceted National Security Threat", Google Cloud, February 12, 2025.

[7] Check Point Team, “The Server Seizure That Affects Iran’s Cyber Operations,” Check Point, June 1, 2026.

[8] U.S. Department of State, Global Engagement Centre, "Pillars of Russia’s Disinformation and Propaganda Ecosystem," August 2020.

[9] Yochai Benkler, Robert Faris, and Hal Roberts, Network Propaganda: Manipulation, Disinformation, and Radicalization in American Politics (Oxford University Press, 2018).

[10] הדברים כוללים את גישת ABCDE להתמודדות עם FIMI; ראו Debunk.org, “ABCDE Framework,” n.d.; U.S. Department of State, Learning Brief: Counter-Disinformation Literature Review, July 2023; DISARM Foundation, “DISARM Framework,” n.d.

[11] Raquel Miguel Serrano & Maria Giovanna Sessa, “Beyond Disinformation Countermeasures: Building a Response Impact Framework,” EU Disinfo LAB, November 29, 2024.

[12] Ellen Nakashima, “U.S. Cyber Command Operation Disrupted Internet Access of Russian Troll Factory on Day of 2018 Midterms,” Washington Post, February 27, 2019.

[13]  Government Offices of Sweden website, "Swedish Psychological Defence Agency," n.d.

[14] Finnish Security and Intelligence Service (SUPO), “Joint Operation by Authorities Curbs Russian Cyber Espionage,” press release, April 8, 2026; Euractiv, “Sweden Says It Is Target of Russia-Backed Disinformation Over NATO, Koran Burnings,” n.d.

[15] European External Action Service, 4th EEAS Report: The FIMI Deterrence Playbook — “Killing the Chain”, March 2026.

[16] שם, 20.

[17] Miguel Serrano & Sessa, "Beyond Disinformation Countermeasures".

[18] European External Action Service, 20.

[19] Alberto Fittarelli, "PaperWall: Chinese Websites Posing as Local News Outlets with Pro-Beijing Content," The Citizen Lab, February 7, 2024; UK Government, “UK Sanctions Putin’s Interference Actors,” press release, October 28, 2024.

[20] Benkler, Faris, and Roberts, Network Propaganda

[21] Google Threat Intelligence Group, "Cybercrime".

[22] Google Threat Intelligence Group, "Cybercrime".

[23] Claudia Ciobanu and Emma Burrows, “Sweden Accuses Russia of Cyberattack on Energy Infrastructure,” Associated Press, April 15, 2026. דוגמאות נוספות להאקטיביסטים פרו־רוסים הפועלים עם סוכנויות המודיעין הרוסיות, ראו  Google Threat Intelligence Group, “APT44: Unearthing Sandworm,”Google CloudBlog, April 17, 2024; Recorded Future, “Anatomy of DDoSia,” July 22, 2025.

[24] BBC News, “Russia–U.S. Prisoner Swap,” BBC, August 2, 2024.

[25] שם.

[26] U.S. Department of Justice, “Russian Cyber Criminal Sentenced to 27 Years in Prison for Hacking and Credit Card Fraud Scheme,” press release, April 21, 2017..

[27] Associated Press, “Russian Man with Kremlin Ties Gets 9 Years in US Prison for Hacking and Insider Trading Scheme,” September 7, 2023..

[28] Lukasz Olejnik, “Russian Cyber and Information Warfare and Its Impact on the EU and UK,” KCL Policy Institute, April 15, 2025.

[29] Kate Connolly, “EU Allies Expel Over 120 Russian Diplomats in Two Days After Bucha killings,” The Guardian, April 5, 2022.

[30] AJ Vicens, “Chinese Hackers Are Increasingly Deploying Ransomware, Researchers Say,” CyberScoop, June 26, 2024.

[31] Dakota Cary and Aleksander Milenkoski, “Unmasking I-Soon: The Leak That Revealed China’s Cyber Operations,” SentinelLabs, February 21, 2024. .

[32] U.S. Department of Justice, “Justice Department Charges 12 Chinese Contract Hackers and Law Enforcement Officers in Global Hacking Operation,” press release, March 5, 2025. ; Federal Bureau of Investigation, “Beijing Leveraging Freelance Hackers and Information Security Companies to Compromise Computer Networks Worldwide,” alert, March 5, 2025..

[33] Antonia Hamaidi, "Here to Stay": Chinese State-Affiliated Hacking and Strategic Goals. MERICS, November 22, 2023.

[34] Google Threat Intelligence Group, “Seeing Through a GLASSBRIDGE: Understanding the Digital Marketing Ecosystem Spreading Pro-PRC Influence Operations,” Google Cloud Blog, November 22, 2024.

[35] שם.

[36] Insikt Group, “Leaks and Revelations: IRGC Networks and Cyber Companies,” Recorded Future, January 25, 2024.

[37] Halcyon Research, “Pay2Key: Iranian-Linked Ransomware Is Back Again,” n.d.

[38] America's Cyber Defense Agency, "Iran-based Cyber Actors Enabling Ransomware Attacks on US Organizations", August 28, 2024.

[39] Thomas Brewster, “The Wiretap: The Worrying Rise of Violence-as-a-Service,” Forbes, April 29, 2025.

[40] Microsoft, “What Is the Cyber Kill Chain?” n.d.

[41] David Bianco, Enterprise Detection & Respond, “The Pyramid of Pain,” (blog), March 1, 2013.

[42] Ari Ben Am , "A Year of Meming Dangerously: Iran’s Influence Operations Targeting Israel Since October 7," Foundation for Defense of Democracies, August 28, 2025.

[43] Insikt Group, “Adversarial Intelligence: Red-Teaming Malicious Use Cases of AI,” Recorded Future, March 19, 2024.

[44] Spur, “How Spur Uncovered a Chinese Proxy and VPN Service Used in an APT Campaign,” August 20, 2025.

[45] Infrawatch, "Belarus-Linked DSLRoot Proxy Network Deploys Hardware in U.S. Residences, Including Military Homes", February 7, 2026.

[46] Ari Ben Am, “The Inner Machinations of a Threat Actor,” Memetic Warfare (newsletter), October 3, 2025.

[47] Google Threat Intelligence Group, “No Place Like HomeNetwork: Disrupting the World’s Largest Residential Proxy Network,” Google Cloud Blog, January 29, 2026.

[48] שירותי אחסון חסין אכיפה הם ספקים לא־חוקיים של אחסון, תשתיות שרתים ויכולות נלוות. שירותים אלה אינם מצייתים לבקשות של גופי אכיפת חוק זרים, ולעיתים קרובות מקבלים תשלום במטבעות קריפטוגרפיים.

[49] Ari Ben Am, “Hacking with the Starlinks,” Memetic Warfare (newsletter), January 22, 2026.

[50] Microsoft, "Microsoft Digital Defense Report 2025", n.d. .

[51] BlackHatWorld, “Virtual Credit Card Service?” BlackHatWorld Forums, archived April 5, 2025.

[52]  Microsoft, "Microsoft Digital Defense Report 2025", 34.

[53] Infrawatch, "Belarus-Linked DSLRoot Proxy Network Deploys Hardware in U.S."

[54] BBC News, “Over 11,000 Chinese Companies Used Welsh Address to Register in UK,” April 18, 2023.

[55] Joint Cybersecurity advisory, "New Tradecraft of Iranian Cyber Group Aria Sepehr Ayandehsazan aka Emennet Pasargad," October 30, 2024. .

[56] U.S. Department of the Treasury, "Treasury Sanctions Global Bulletproof Hosting Service Enabling Cybercriminals and Technology Theft," press release, July 1, 2025.

[57] Qurium, “How Russia uses EU companies for propaganda: Exposing the Evil Empire of Doppelganger Disinformation,” July 11, 2024.

[58] שם.

[59] Raphael Satter , “How Cybercriminals Are Using Wyoming Shell Companies for Global Hacks,” Reuters, December 12, 2023..

[60] “Itamar Eichner, "National Cyber Directorate warns of SMS attempting to solicit cooperation with Iran," Ynet, December 18, 2025.

[61] Europol, “Cybercrime-as-a-Service Takedown: 7 Arrested,” press release, October 17, 2025.

[62] Ari Ben Am, “Memetic Warfare Weekly: What’s the Frequency?” Memetic Warfare (newsletter), October 2, 2023.

[63] Korin Elbaz-Alush, "Cyberattack sends Israelis rushing for cover with fake emergency texts," Ynet, September 19, 2024.

[64] “Charlie Summers, “Thousands of Israelis Get Texts with Their Personal ID Number in Suspected Iranian Operation,” Times of Israel, January 4, 2026.

[65] Daryna Antoniuk, “Greek Police Arrest Scammers Using Hidden Fake Cell Tower Hidden in a Trunk,” The Record, January 21, 2026.

[66] National Cyber Security Centre (Switzerland), “Week 36: New risk from 'SMS blasters',” September 9, 2025; NetAskari, “SMS Blaster in the Wild,” Substack, n.d.

[67] Dana Karni and Catherine Nicholls, "Hundreds of Israelis receive recruitment calls from Iranian intelligence, police say," CNN, September 27, 2025..

[68] Gundars Bergmanis-Korāts and Tetiana Haiduchyk, , "Social Media Manipulation for Sale: Experiment on Platform Capabilities to Detect and Counter Inauthentic Social Media Engagement," NATO Strategic Communications Centre of Excellence, November 4, 2024.

[69] Poppy McPherson and Karen Lema, “How China Waged an Infowar Against US Interests in the Philippines,” Reuters, October 6, 2025.

[70] HUMAN, “What Is Ad Cloaking?” n.d.

[71] BlackHatWorld, "Cloaking - How I Cloak My Google Ads To Get Them Approved," May 5, 2025.

[72] Pjotr Sauer, "'All brakes are off’: Russia’s attempt to rein in illicit market for leaked data backfires,", The Guardian, December 26, 2025; Kyla Cardona and Ashelly Aloca, "'Pantsless Data': Decoding Chinese Cybercrime TTPs," SpyCloud, February 26, 2024/.

[73] Australian Cyber Security Centre, "The Silent Heist: Cybercriminals Use Information Stealer Malware to Compromise Corporate Networks," September 2024.

[74] Cloudflare, “What is Anonymous Sudan,” n.d.

[75] Europol, “Global Operation Targets NoName05716 Pro-Russian Cybercrime Network,” press release, July 16, 2025.

[76] America's Cyber Defense Agency, "Iran-based Cyber Actors Enabling Ransomware Attacks".

[77] ClearSky Cyber Security, "Pay2Kitten: Pay2Key Ransomware – A New Campaign by Fox Kitten," December 2020.

[78] Pierluigi Paganini, “Iranian Group Pay2Key Ramps Up Ransomware Attacks Against Israel and US with Incentives for Affiliates,” SecurityAffairs, July 9, 2025.

[79] נבו טרבלסי, "התעלומה מאחורי מתקפת הסייבר על אסף הרופא: מדוע הוסרו דרישות ההאקרים "?גלובס, 8 באוקטובר 2025.

[80] Hossein Kashfi (@hkashfi), “Established footholds in excess of 300 web sites and corporate networks to conduct ransomware attacks and weaponize the ensuing media exposure.” X, October 10, 2025.

[81] Lab52, “Black Industry: IRGC-Linked Offensive OT Framework,” January 28, 2026

[82] America's Cyber Defense Agency, "IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities," December 18, 2024.

[83] “VirusBearSparrow,” Memetic Warfare (newsletter), July 28, 2025.

[84] CrowdStrike, "2026 Global Threat Report," 2026.

[85] Google Threat Intelligence Group, “No Place Like Home Network".

[86] Check Point Team, "The Server Seizure".

[87] שם.

[88] Ellen Nakashima, “U.S. Cyber Command Operation Disrupted".