מתקפת כופרה על העסק: מה עושים בשעות הראשונות, למי מתקשרים ומה לא לעשות

כשמתגלה מתקפת כופרה (קבצים מוצפנים, הודעת דרישה, מערכות שלא עולות), סדר הפעולות בשעות הראשונות חשוב יותר מכל כלי. בקצרה: בודדים את המערכות שנפגעו מהרשת, בלי לכבות אותן ובלי למחוק דבר. מתקשרים לספק ה-IT או ה-IR שלכם, לקו 119 של מערך הסייבר ולחברת הביטוח אם יש פוליסת סייבר. משמרים ראיות. בודקים אם נפגע מאגר מידע אישי, ואם כן אם זה ״אירוע אבטחה חמור״ שמחייב הודעה מיידית לרשות להגנת הפרטיות. לא משלמים ולא מתכתבים עם התוקף לפני ייעוץ. ההחלטות האלה קלות יותר כשהן נקבעו מראש, בדף חירום אחד.

המדריך הוא חלק מהמדריך לכשלי סייבר נפוצים.

השעה הראשונה

1. בידוד: נתקו מהרשת את המחשבים והשרתים שנפגעו. הוציאו כבל רשת וכבו Wi-Fi. אל תכבו את המכשירים, אם אפשר. חלק מהראיות נמצאות בזיכרון.
2. עצרו סנכרון: אם יש תיקיות ענן מסונכרנות, עצרו סנכרון כדי שההצפנה לא תתפשט לעותקים.
3. הגנו על הגיבויים: ודאו שהגיבוי המנותק נשאר מנותק. אל תחברו אותו עדיין.
4. התקשרו: לספק ה-IT או ה-IR, לפי דף החירום. התקשרו ל-119, קו החירום של ה-CERT הלאומי, לדיווח ולהכוונה ראשונית.
5. פתחו יומן אירוע: מי גילה, מתי, מה ראה, מה נעשה ומתי. היומן ישמש גם לביטוח, גם לרשות וגם לתקנה 11, שמחייבת לתעד אירועי אבטחה.

השעות הבאות

1. ביטוח: אם יש פוליסת סייבר, הודיעו מיד. פוליסות רבות דורשות הודעה מהירה, ולעיתים עבודה רק עם ספקי IR שהמבטח אישר. ראו ביטוח סייבר.
2. החלפת סיסמאות של חשבונות מנהל, מעמדה נקייה בלבד, ובתיאום עם ספק ה-IR.
3. הערכת היקף: אילו מערכות נפגעו? האם יש סימן לגניבת מידע לפני ההצפנה? כיום כופרה כוללת לעיתים קרובות גם איום לפרסם מידע.
4. מאגרי מידע: האם נפגע מאגר מידע אישי? באיזו רמת אבטחה? ראו בהמשך.
5. תקשורת: קבעו מי מדבר עם העובדים, עם הלקוחות ועם הספקים, ומה אומרים. לא מנחשים ולא מבטיחים.

מתי חייבים להודיע לרשות להגנת הפרטיות

תקנה 11(ד) לתקנות אבטחת מידע קובעת שאם אירע אירוע אבטחה חמור, בעל המאגר יודיע על כך לרשות באופן מיידי, וידווח על הצעדים שנקט.

אירוע כופרה שהצפין את שרת הלקוחות, כלומר פגע בשלמות המידע, במאגר ברמה בינונית, הוא כנראה אירוע חמור. מאז תיקון 13, אי-הודעה מיידית מופיעה בתוספת השלישית עם עיצום של 80,000 ₪ במאגר בינוני, או 320,000 ₪ במאגר גבוה (סכומים בסיסיים; ב-2026, לאחר עדכון המדד: 81,890 ₪ ו-327,560 ₪). פרטים במדריך הדיווח.

מה לא לעשות

• לא למחוק קבצים מוצפנים או הודעות כופר. הם ראיות, ולעיתים הם נחוצים לפענוח.
• לא לשחזר מגיבוי לפני שמבינים איך התוקף נכנס, אחרת הוא עלול לחזור.
• לא להתכתב עם התוקף ולא לשלם בלי ייעוץ. תשלום לא מבטיח פענוח ולא מבטיח שהמידע לא יפורסם. לחלק מהגורמים יש גם השלכות משפטיות.
• לא לפרסם ברשתות לפני שיש תמונה ברורה.
• לא להסתמך על ״מומחה״ שפנה אליכם אחרי שנודע על האירוע. עבדו עם ספק מוכר או עם ספק שהמבטח אישר.

אחרי האירוע

• שחזור מסודר מגיבוי נקי, אחרי סגירת הפרצה.
• הפקת לקחים עם ספק ה-IR: איך נכנסו, למה לא זוהה, מה משנים.
• עדכון נוהל האבטחה. תקנה 4(ה) מחייבת לבחון עדכון כשנודעים סיכונים חדשים, ותקנה 2(ב) מחייבת לבחון את מסמך הגדרות המאגר בעקבות אירועי אבטחה.
• דיון באירועים: ברמה בינונית לפחות פעם בשנה, ברמה גבוהה פעם ברבעון.

דוגמה להמחשה: דף חירום של עמוד אחד

הדפיסו. במתקפת כופרה המחשב שבו שמרתם את הדף עלול להיות מוצפן.

שלושה דברים שמקצרים את ההשבתה, ושעושים לפני האירוע

זמן שחזור מדוד. עסקים רבים יודעים שיש להם גיבוי, אבל לא יודעים כמה זמן לוקח לשחזר ממנו. בדיקה פעם בשנה, שבה משחזרים שרת שלם לסביבת ניסיון ומודדים, נותנת מספר אמיתי. דוגמה להמחשה: שחזור של 2 TB מגיבוי בענן, בקו של 500 מגה-ביט, לוקח בתנאים אידיאליים כ-9 שעות של העברה בלבד (2,000,000 מגה-בייט × 8 ÷ 500 = 32,000 שניות), עוד לפני ההתקנה והבדיקות. כשמגלים את זה מראש, אפשר להחליט אם להחזיק גם עותק מקומי מנותק.

ספק IR מוסכם מראש. בלי הסכם, תצטרכו למצוא ספק בזמן האירוע, לנהל משא ומתן ולתת לו גישה, ושעות עוברות. עם ריטיינר או לפחות הסכם מסגרת, יש מספר טלפון, תעריף ידוע ונוהל כניסה. אם יש לכם ביטוח סייבר, בדקו מראש אילו ספקים הוא מאשר.

חשבונות מנהל נפרדים ומוגנים. תוקפים מחפשים חשבונות עם הרשאות רחבות. כשחשבון המנהל נפרד מהחשבון היומיומי, מוגן באימות דו-שלבי ולא משמש לגלישה ולדואר, קשה יותר להשתלט על כל הרשת. וכשצריך להחליף סיסמאות באירוע, יש מעט חשבונות להחליף.

שאלות נפוצות

האם 119 יגיע לטפל אצלנו?

119 נותן דיווח, הכוונה ומידע. העבודה בשטח היא בדרך כלל של ספק ה-IT או של ספק IR פרטי.

האם לדווח למשטרה?

אפשר להגיש תלונה. היחידה הרלוונטית במשטרה עוסקת בעבירות סייבר. ההחלטה אינה מחליפה את החובות האחרות.

כמה זמן לוקח לחזור לעבודה?

זה תלוי בהיקף ובגיבוי. עסק עם גיבוי מנותק שנבדק חוזר בדרך כלל מהר בהרבה מעסק שמגלה שהגיבוי לא קיים. מדדו זאת מראש בבדיקת שחזור.

מקורות

• מערך הסייבר הלאומי ו-CERT (gov.il) — 119 והנחיות לאירועי כופרה
• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנה 11 והגדרת ״אירוע אבטחה חמור״
• הרשות להגנת הפרטיות (gov.il) — טופס ודרך הדיווח על אירוע