סכנה בברזים: מתקפת סייבר אסטרטגית מאיימת להרעיל את מתקני ההתפלה בישראל

דו"ח טכני מעמיק שפרסמה חברת אבטחת הסייבר Darktrace (אפריל 2026) חושף את הקרביים של ZionSiphon, נוזקה המיועדת למערכות בקרה תעשייתיות (OT) שתוקפת ישירות את מתקני ההתפלה וטיהור המים של ישראל.

הניתוח חושף כיצד האקרים המכנים את עצמם "0xICS" (ככל הנראה בשליחות איראן) פיתחו כלי ייעודי שנועד לזהות סביבות עבודה ספציפיות בתוך ישראל ולבצע בהן פעולות חבלה פיזיות, תוך שימוש במסרים פוליטיים קיצוניים המוסתרים בקוד.

המטרה: הרעלת האוכלוסייה ושיבוש אספקת המים

הנוזקה, שנחשפה, מכילה קוד זדוני שאינו מסתפק רק בשיבוש דיגיטלי. הניתוח הטכני גילה כי ZionSiphon מכילה פקודות ישירות המיועדות לתמרן את רמות הכלור במים ולשנות את הלחץ בצנרת.

האקרים מיקדו את המתקפה ברשימה ספציפית של מתקנים קריטיים, ביניהם:

• מתקני ההתפלה בשורק, חדרה, אשדוד ופלמחים.
• מערכות של חברת המים הלאומית מקורות.
• מתקן השפד"ן לטיהור שפכים.

טכנולוגיה בשירות הטרור: איך עובדת ZionSiphon?

הנוזקה נחשבת לפורצת דרך בשל היכולת שלה לזהות אם היא נמצאת בתוך רשת ישראלית לפני הפעלת המטען הייעודי שלה. היא בודקת טווחי כתובות IP ישראליים ומחפשת תוכנות בקרה ספציפיות המשמשות במערכות התפלה (כמו בקרי Schneider ו-PLC ייעודיים).

ברגע שהיא מזהה סביבה מתאימה, היא משתמשת בפרוטוקול Modbus כדי לתקשר ישירות עם המכונות בשטח. היכולת הזו מאפשרת להאקרים לשלוט מרחוק על המשאבות ועל מערכות סינון המים (Reverse Osmosis), מה שעלול להוביל לנזק פיזי בלתי הפיך למתקנים או לסכנה בריאותית מיידית לציבור. למרות שהמומחים מציינים כי מדובר בגרסה שטרם הגיעה לבשלות מלאה, עצם קיומה מסמן עליית מדרגה מסוכנת במלחמה על התשתיות הקריטיות.

אידיאולוגיה רעילה המוסתרת בקוד

הדו"ח חושף גם את המניעים הפוליטיים מאחורי המתקפה. בתוך הקוד נמצאו מחרוזות טקסט מוצפנות המזדהות בשם הקבוצה "0xICS" ומצהירות על תמיכה באיראן ובתימן. מחרוזת אחת שתורגמה על ידי החוקרים נושאת את המסר המבעית: "Poisoning the population of Tel Aviv and Haifa" (הרעלת אוכלוסיית תל אביב וחיפה).

למרות שהגרסה הנוכחית שנבדקה נראית כניסיונית בחלק מהפונקציות שלה (למשל, בעיות באימות הקוד מול כתובת ה-IP), היא מציגה יכולות התחמקות מרשימות, כולל הסוואה תחת השם "svchost.exe" ויכולת הפצה דרך התקני USB בתוך רשתות סגורות. המומחים מסכמים כי מדובר בעליית מדרגה משמעותית בלוחמת הסייבר המופנית נגד תשתיות אזרחיות קריטיות בישראל.