סטטיסטיקת המבצע
ב-1 במרץ 2026, במהלך פעולות איבה פעילות של פקיסטן-אפגניסטן (מבצע Ghazab Lil Haq), ODINT ערך סריקת סיור פסיבית של 3 שעות של הממשלה הפקיסטנית והתשתית הדיגיטלית האקדמית. כל הנתונים חולצו דרך Tor תוך שימוש בשיטות קוד פתוח לחלוטין - ללא ניצול, ללא עקיפת אימות.
ההקשר של ימי המלחמה
התשתית הדיגיטלית של פקיסטן נסדקה לשניים ב-1 במרץ 2026. ממשלת הליבה - משרד הנשיא, הפרלמנט, הנציבות הגרעינית (PAEC), הבנק הלאומי, מועצת ההכנסה הפדרלית, הרכבת הלאומית, השירותים הציבוריים של NADRA - השתתקה לחלוטין. בין אם באמצעות כיבוי הגנתי מכוון או קריסת תשתית אמיתית תחת משקלו של מבצע ע'זאב ליל האק, 35+ תחומים מרכזיים .gov.pk לא החזירו תגובה.
מה שנשאר עומד מספר את הסיפור שלו. המוסדות שפקיסטאן עשתה לֹא protect - האוניברסיטאות שלה, ממשלה פרובינציאלית, פורטל נתונים פתוח, שני פאנלים ניהוליים פדרליים - נותרו חשופים במלואם, ללא פריסת WAF נוספת, ללא הגבלת IP, ובמקרים מסוימים הפעלת שרתי אינטרנט שבע שנים לא מעודכן.
פקיסטן נתנה עדיפות להגנה על התשתית הגרעינית והפיננסית שלה. היא שכחה לחלוטין את האוניברסיטאות שלה, את המחוז העני ביותר שלה ואת פלטפורמת הנתונים הפתוחים שלה.
קריסת תשתיות: מה שירד
מתוך 57+ דומיינים פקיסטניים שנסרקו במהלך פעולות איבה פעילות, 65% לא היו נגישים לחלוטין, 17% היו מאחורי WAFs שחוסמים Tor, ורק 21% נותרו נגישים ופונקציונליים.
לא ניתן להגיע לחלוטין (מעל 35 דומיינים)
| תְחוּם | אִרגוּן | סטָטוּס |
|---|---|---|
| pakistan.gov.pk | פורטל הממשל הפדרלי | לְמַטָה |
| pmo.gov.pk | משרד ראש הממשלה | לְמַטָה |
| senate.gov.pk / na.gov.pk | הפרלמנט (שני הלשכות) | לְמַטָה |
| paec.gov.pk | הוועדה לאנרגיה אטומית של פקיסטן | לְמַטָה |
| nescom.gov.pk | פיתוח גרעיני וטילים | לְמַטָה |
| sbp.org.pk | הבנק הלאומי של פקיסטן | לְמַטָה |
| fbr.gov.pk / iris.fbr.gov.pk | מועצת ההכנסה הפדרלית / IRIS 2.0 | לְמַטָה |
| mail.ntc.net.pk | אימייל של הממשלה הפדרלית (זמברה) | לְמַטָה |
| punjab.gov.pk / sindh.gov.pk | מחוזות פנג'אב וסינד | לְמַטָה |
| nadra.gov.pk (שירותים אלקטרוניים) | מאגר זהויות לאומיות (ציבורי) | לְמַטָה |
מאחורי WAF - Tor Blocked (10 דומיינים)
| תְחוּם | WAF | סטָטוּס |
|---|---|---|
| ispr.gov.pk | Cloudflare | 403 חסום |
| paknavy.gov.pk | Cloudflare | 403 חסום |
| nust.edu.pk | Cloudflare | 403 חסום |
| comsats.edu.pk | Cloudflare | 403 חסום |
| gcu.edu.pk | Sucuri/Cloudproxy | 403 חסום |
מצב תשתית מלא בזמן מלחמה עם כל 57+ הדומיינים: מצב תשתית בזמן מלחמה
יעדים חיים: מה נשאר פתוח
שנים עשר תחומים נותרו נגישים והיו נתונים לספירה מעמיקה. המוסדות שנותרו חשופים חושפים דפוס של הזנחה שאף עמדה הגנתית בזמן המלחמה לא תיקנה.
WordPress REST API: שלושה מתקנים ממשלתיים חשופים במלואם
שלושה ארגונים פקיסטניים חושפים את WordPress REST API ללא אימות: אוניברסיטת Quaid-i-Azam, ממשלת בלוצ'יסטן ומחלקת המדע וה-IT של בלוצ'יסטן. מיצוי משולב: 13.4 מגה-בייט של נתונים ממשלתיים ואקדמיים מובנים.
admin_bal) מנהל את שניהם balochistan.gov.pk ו sit.balochistan.gov.pk - אושר על ידי חשיש גראוטאר זהה בשני המתקנים. פגיעה בחשבון אימייל אחד נופלת בשני האתרים. wp-login.php נגיש ישירות בדומיין SIT.
מודיעין כוח אדם: 340+ אנשים בשם
בכל היעדים, 340+ אנשים זוהו עם דרגות שונות של מידע אישי ליצירת קשר. כל הנתונים חולצו ממקורות נגישים לציבור ללא אימות.
נציבי אוגדת בלוצ'יסטן
שמונה מנהלי מחוז בכירים זוהו לפי שם וחטיבה מתוכן העמודים WordPress - כולל הממונה על מחלקת Makran (Dawood Khan Khilji), הגובלת באיראן ומארחת את נמל גוואדר, המרכז של CPEC.
מדריכי צוות QAU - דוגמה
להלן מדגם חלקי של נתונים שחולצו מדפי צוות QAU הנגישים לציבור. שלוחות טלפון ישירות, כתובות דוא"ל מוסדיות ואישיות ותפקידים ארגוניים שוחזרו עבור 65+ אנשים.
פורטל נתונים פתוח: 1,471 מערכי נתונים ממשלתיים
פורטל הנתונים הפתוח של פקיסטן (opendata.com.pk) מריץ את CKAN 2.8.3 בשרת מאוקטובר 2017. למרות ההצהרה /api/ אי הגבלה ב robots.txt, כל API נגיש באופן חופשי ללא אימות.
לוחות ניהול פדרליים חשופים
שני אתרים של ממשל פדרלי חושפים לוחות כניסה מנהליים ישירות לאינטרנט ללא WAF, ללא הגבלת IP וללא CAPTCHA - במהלך סכסוך צבאי פעיל.
/trace.axd מחזירה 403 (לא 404), ומאשרת שמעקב אחר בקשות ASP.NET מופעל בשרת. ניהול תפעול ברמת מטה נגיש ללא הגבלה.
גילוי תצורת שרת: LUMS phpinfo.php
אוניברסיטת לאהור למדעי הניהול חושפת את א phpinfo.php עמוד (96 KB) חושף את ערימת השרת המלאה: שם מארח, גרעין, גרסת מערכת הפעלה, הרחבות PHP, תצורת מסד נתונים ונתיבי מערכת קבצים - טביעת אצבע מלאה לניצול ממוקד.
lumswebsite-websrv1, גרעין 5.4.17-2136.350.3.2.el8uek.x86_64 (Oracle UEK), RHEL 8.10, Apache 2.4.66, PHP 8.1.34. הרחבות PHP SSH2 ו-LDAP מאשרות שהשרת מתחבר לתשתית LUMS אחרת - נתיבים פוטנציאליים.
בלוצ'יסטן: מחוז על הכוונת
בלוצ'יסטן הוא המחוז הגדול ביותר בפקיסטן לפי שטח (44% משטחה של פקיסטן), המסדרון האסטרטגי שלה עבור CPEC, והמארח של נמל גוואדר - נקודת הגישה של סין לאוקיאנוס ההודי. במהלך מלחמת פקיסטן-אפגניסטן, היא הפכה לאזור חזית קריטי. זו הייתה גם הממשלה המחוזית החיה היחידה שנותרה.
המחוז המחוזי WordPress API חשף מינויים של נציב אוגדה בכל 8 חטיבות בלוצ'יסטן, מסמכי תקציב מלאים מ-2020 עד 2026, חקיקה מ-14+ מחלקות ורשימת כוח האדם לתשתית המעקב של גוואדר. מצב ה-TLD הכפול (.gov.pk ו .gob.pk) יוצר סיכון התחזות נוסף.
תשתית דיגיטלית ממשלתית
התשתית הדיגיטלית של ממשלת פקיסטן מרוכזת סביב מספר קטן של מערכות קריטיות. בזמן מלחמה, כולם היו במצב לא מקוון או נעולים. להלן מייצגים את נוף המיקוד שלאחר המלחמה.
NADRA - זהות לאומית תחת נעילה בזמן מלחמה
פלטפורמת Nishan API של NADRA - המספקת את שירותי Verisys (אימות דמוגרפי), Biosys (טביעת אצבע ביומטרית), מולטי-ביומטרי (טביעת אצבע + טיפול פנים) והוכחת חיים עבור 220+ מיליון אזרחים פקיסטנים - חשכה לחלוטין. כל שש נקודות הקצה של NADRA הפונות לציבור החזירו שגיאות שנעו בין 403 ל-500.
פורמט מספרי ה-CNIC של NADRA מקודד מחוז, מחוז, תסיל, מועצת איגוד, שושלת משפחה ומגדר ב-13 ספרות. מערך נתונים של CNIC שנפגע לא רק חושף מספר מזהה - הוא ממפה את כל הגיאוגרפיה הניהולית של אדם.
ציר זמן של הפרה היסטורית
החשיפה הנוכחית של פקיסטן יושבת על היסטוריה מתועדת של תקריות חמורות.
| תַאֲרִיך | תַקרִית | פְּגִיעָה |
|---|---|---|
| 2019–2023 | גניבת נתונים פנימיים של NADRA על ידי עובדים | 2.7 מיליון רשומות אזרחיות נמכרו (ארגנטינה, רומניה) |
| 2024 | NADRA הפרה את החשיפה לציבור | תעודות הונאה שהונפקו לאזרחים אפגנים |
| 2025 | הפרת אישורים גלובלית | 180 מיליון אישורי משתמש אינטרנט פקיסטני |
| 2025 | דליפת נתוני SIM | רשומות השיחות של השרים הפדרליים נחשפו |
| 2025 | קמפיין של צבא הסייבר האפגני | 100 אתרים בעלי פרופיל גבוה .gov.pk הושחתו |
מלאי נתונים
| קָטֵגוֹרִיָה | גוֹדֶל | תוכן מפתח |
|---|---|---|
| qau-full-dump/ | 6.6 מגה-בייט | 200 עמודים, 484 פוסטים, 603 מדיה, מדריכי עובדים |
| pu-full-dump/ | 8.3 מגה-בייט | 101 קבצים, 18,460 כתובות URL, 19 מחלקות |
| ckan-dump/ | 8.9 מגה-בייט | 1,471 מערכי נתונים, 36 משתמשים, 22 ארגונים |
| balochistan-wp-dump/ | 5.9 מגה-בייט | 149 עמודי ממשל, 1,297 כלי תקשורת, נציבים, תקציבים |
| pak-wp-dumps/ | 6.3 מגה-בייט | SIT WP, LUMS phpinfo, דפי ניהול |
| פאק-אוניברסיטאות/ | 2.5 מגה-בייט | 7 בדיקות אוניברסיטאות (LUMS, AIOU, UOS ועוד) |
| pak-deep-probe/ | 957 KB | סיור מטרה ראשוני |
| pak-priority/ | 216 KB | בדיקות NADRA, NTC, NITB, FBR |
| pak-admin-panels/ | 32 KB | FSP, EP admin ניתוח התחברות |
| סַך הַכֹּל | 46 מגה-בייט | 9 קטגוריות יעד |
נספחים טכניים מפורטים
תשעה דוחות מיוחדים מכסים כל תחום של הפעולה במלוא העומק הטכני.
מתודולוגיה והיקף
כל הנתונים המתועדים בדוח זה הושגו באמצעות טכניקות מודיעין פסיביות בקוד פתוח תוך שימוש בממשקים נגישים לציבור. שום אימות לא עקף, שום פגיעות לא נוצלה ולא בוצעה גישה לא מורשית. כל הנתונים היו זמינים ללא אישורים בזמן האיסוף.
הסיור נערך באמצעות proxychains4/Tor מתשתית אנונימית (CT105, 10.0.0.99). חלון הפעולה היה 07:27–09:45 UTC ב-01 במרץ 2026.
ODINT מפרסם מחקר זה כדי לתמוך בשקיפות, באחריות עיתונאית ובשיח ציבורי מושכל על עמדת האבטחה הדיגיטלית של הממשלה. חשיפה של חומר זה תואמת את זה של ODINT מדיניות אתיקה ו מֵתוֹדוֹלוֹגִיָה.