פורסם 1 ביולי 2026
ברגע שמתגלית תקיפת כופרה, תגובה נכונה מתחילה בשלוש פעולות ולא באחת: לנתק את המחשבים הנגועים מהרשת בלי לכבות אותם, לתעד את האירוע בצילומי מסך ובשעות מדויקות, ולהפעיל גורם אבטחת מידע מקצועי לפני כל החלטה על תשלום. במקביל מדווחים למשטרה ולרשות להגנת הפרטיות. השעות הראשונות קובעות אם מדובר בהפסקת עבודה של יומיים או בשבועות של שיקום.
למה השעה הראשונה קריטית
כופרה היא תוכנה שמצפינה קבצים ודורשת תשלום עבור מפתח הפענוח, ולרוב היא לא עוצרת בתחנה אחת. ההצפנה מתפשטת דרך תיקיות משותפות, דיסקים ממופים וחיבורי גיבוי מקומיים. כל דקה שבה מחשב נגוע ממשיך להיות מחובר לרשת היא דקה שבה עוד קבצים עוברים לרשימת הנפגעים. הסבר כללי על אופן הפעולה של סוג התקיפה הזה אפשר למצוא בערך כופרה בוויקיפדיה.
כדאי לקרוא גם: אבטחת סייבר לעסק קטן: 12 צעדים שאפשר ליישם בלי איש IT · איך לזהות מייל פישינג ולהגן על העסק: מדריך שלב-אחר-שלב · גיבוי נתונים לעסק קטן: כמה עותקים צריך ואיך למנוע כופרה
יש כאן גם צד שני, פחות אינטואיטיבי: פעולות חיפזון מוחקות ראיות. כיבוי מלא של מחשב מאבד מידע שקיים רק בזיכרון הפעיל, ומחיקה או פירמוט של תחנה נגועה הופכים את בירור שאלת ההדבקה למשימה כמעט בלתי אפשרית. האיזון הנכון הוא ניתוק פיזי, לא כיבוי.
שבע פעולות מיידיות בשעה הראשונה
- לנתק מהרשת, לא לכבות: לשלוף כבל רשת, לכבות Wi-Fi ולנתק את התחנות הנגועות מכל חיבור. את המחשב עצמו משאירים דולק.
- לנתק גיבויים ומחשבי אחסון: דיסקים חיצוניים, NAS וחיבורי סינכרון לענן שעדיין לא הוצפנו הם הנכס הקריטי ביותר. מנתקים אותם ראשונים.
- לצלם את מסך הכופר: צילום מסך או תמונה מהטלפון של הודעת הכופר, כולל כתובת ארנק, אימייל התקשרות ושם הקבוצה אם מופיע.
- לתעד ציר זמן: מי גילה, באיזו שעה, מה עשה. גם רשימה כתובה בטלפון עדיפה על הסתמכות על הזיכרון.
- להחליף סיסמאות מערכתיות: ממחשב נקי בלבד, קודם כל חשבונות מנהל, דואר עסקי ובנקאות.
- ליצור קשר עם גורם מקצועי: ספק IT קבוע, חברת תגובה לאירועי סייבר או חברת הביטוח אם קיימת פוליסת סייבר.
- לא לענות לתוקפים: לא במייל, לא בצ'אט ולא דרך קישור שמופיע בהודעה. כל תגובה מסמנת שיש כאן מי שמוכן לשלם.
למי מדווחים, ומתי
הדיווח הוא לא פורמליות. הוא גם הבסיס לתביעת ביטוח וגם החובה החוקית של מי שמחזיק מידע על לקוחות ועובדים.
- משטרת ישראל: פתיחת תלונה, בפועל דרך היחידה לחקירות סייבר. מספר האסמכתא נדרש כמעט בכל תהליך ביטוח.
- הרשות להגנת הפרטיות: עסק שמנהל מסד נתונים עם פרטים אישיים ונחשף לאירוע אבטחה חמור נדרש לדווח. כדאי לעשות זאת בהקדם ולא לחכות לסיום החקירה הפנימית.
- מערך הסייבר הלאומי: דיווח מסייע גם לקבלת הנחיות וגם למידע על גרסאות כופרה מוכרות.
- לקוחות וספקים: אם נחשף מידע שלהם, עדכון יזום עדיף בהרבה על גילוי מאוחר. גם מבחינת אמון וגם מבחינת אחריות.
טבלת שלבים לפי ציר זמן
| מסגרת זמן | פעולות עיקריות | גורם אחראי |
|---|---|---|
| שעה ראשונה | ניתוק תחנות וגיבויים מהרשת, צילום הודעת הכופר, פתיחת יומן אירוע, הודעה לבעלי העסק, עצירת עבודה במערכות הפגועות | מי שגילה את האירוע יחד עם איש IT או ספק חיצוני, בתיאום עם מנהל העסק |
| 2 עד 8 שעות | אבחון היקף ההדבקה, בדיקת שלמות הגיבויים, שינוי סיסמאות, יצירת קשר עם חברת תגובה לאירועים וביטוח הסייבר, הודעה לעובדים מה מותר להפעיל | ספק אבטחת מידע או חברת תגובה, בליווי מנהל תפעול |
| 8 עד 24 שעות | דיווח למשטרה ולרשות להגנת הפרטיות, החלטה על מסלול שחזור, בידוד סגמנטים בריאים, הפעלת עבודה חלופית זמנית, ייעוץ משפטי | מנהל העסק עם ייעוץ משפטי וגורם אבטחת מידע |
| יום 2 עד 7 | שחזור מגיבוי לסביבה נקייה, התקנת מערכות מאפס היכן שנדרש, חקירת שורש ההדבקה, סגירת פרצות, החלפת רכיבים חשופים | ספק IT ואבטחת מידע, מנהל העסק כמאשר סדר עדיפויות |
| אחרי שבוע | תחקיר מסודר, עדכון נהלים וגיבויים, הדרכת עובדים, בחינת פוליסת סייבר, סיום הטיפול הרגולטורי | מנהל העסק, עם סיכום כתוב מהספק |
לשלם או לא לשלם
ההמלצה של גורמי אכיפה ואבטחה כמעט בכל העולם היא לא לשלם, ויש לכך סיבות מעשיות ולא רק עקרוניות. תשלום לא מבטיח מפתח שעובד, לא מבטיח שהמידע שנגנב לא יפורסם בכל זאת, ולעיתים מוביל לסבב דרישות נוסף. יש גם היבט חוקי: העברת כספים לגורמים שעשויים להיות תחת סנקציות היא סיכון בפני עצמו.
לצד זאת, נכון לומר את הדברים כמו שהם: יש מצבים שבהם עסק מגלה שהגיבוי היחיד שלו הוצפן גם הוא, ואז ההחלטה נעשית מורכבת. בדיוק בגלל זה הכלל הוא לא לשלם לפני שגורם מקצועי בדק את האפשרויות: יש משפחות כופרה שכבר קיימים להן כלי פענוח ציבוריים, ויש מקרים שבהם קבצים ניתנים לשחזור חלקי מצילומי מצב או מגרסאות קודמות.
כמה זה עולה בפועל
הטווחים למטה משוערים ומשתנים מאוד לפי גודל העסק, מספר התחנות וקיומם של גיבויים תקינים. הם נועדו לתת סדר גודל, לא הצעת מחיר.
| מרכיב | טווח משוער | מה משפיע |
|---|---|---|
| תגובה ראשונית וייעוץ חירום | כמה אלפי שקלים עד כ-20 אלף ש"ח | שעות עבודה, דחיפות, מספר תחנות |
| שחזור מערכות ונתונים | עשרות אלפי שקלים, לעסק קטן עד בינוני | איכות הגיבוי, מספר שרתים, מערכות ייחודיות |
| חקירה ותחקיר טכני | כמה אלפים עד עשרות אלפים | עומק הבדיקה, דרישות רגולטוריות |
| אובדן ימי עבודה | לרוב הנזק הגדול ביותר | סוג הפעילות, עונה, תלות במערכות |
| פוליסת סייבר לעסק קטן | אלפי שקלים בשנה | היקף כיסוי, מחזור, בקרות קיימות |
בפועל, אצל עסקים קטנים עלות השחזון המצטברת מגיעה לא פעם לעשרות אלפי שקלים גם בלי ששולם שקל אחד של כופר, ורוב הסכום הוא שעות עבודה ואובדן פעילות ולא רכישת ציוד.
הגיבוי הוא הקו האמיתי בין תקלה לאסון
ההבדל בין עסק שחוזר לעבוד בתוך יומיים לעסק שנאבק שבועות הוא כמעט תמיד הגיבוי. גיבוי טוב הוא גיבוי שמנותק מהרשת, שיש לו עותק במקום פיזי אחר, ושמי שאחראי עליו ניסה לשחזר ממנו לפחות פעם אחת. גיבוי שאף אחד לא בדק הוא הנחה, לא תוכנית.
מה כדאי לבדוק עוד לפני שקורה משהו
- שחזור ניסיוני של תיקייה אמיתית, פעם ברבעון.
- עותק אחד לפחות שלא מחובר תמידית למערכת הראשית.
- הפרדת הרשאות: לא כל עובד צריך גישת מנהל.
- אימות דו-שלבי בדואר, בענן ובמערכות הניהול.
רשימה מעשית יותר לצעדים שאפשר ליישם בעסק בלי מחלקת IT מופיעה במאמר על אבטחת סייבר לעסק קטן, וכדאי לשים לב שמערכות עסקיות מרכזיות כמו מערכת ניהול מלאי הן בדיוק המקום שבו אובדן נתונים משתק את העבודה מיד.
ביטוח סייבר: מה הוא באמת נותן
פוליסת סייבר לעסק קטן היא פחות "החזר כספי" ויותר גישה מהירה לצוות שיודע מה לעשות. חלק מהפוליסות כוללות קו חירום, ליווי משפטי וכיסוי לאובדן הכנסות. בדיקה מראש חוסכת הפתעות: מה נדרש מהעסק כדי שהכיסוי יהיה בתוקף, האם יש דרישת גיבוי מנותק, ומה מוגדר כתקופת המתנה. חשוב גם לדעת שדיווח מאוחר לחברת הביטוח עלול לפגוע בתביעה, ולכן שיחת הטלפון הזו שייכת ל-24 השעות הראשונות ולא לשבוע השני.
שאלות נפוצות
האם לכבות את המחשב הנגוע?
עדיף לא. הדרך המומלצת היא ניתוק פיזי מהרשת ומהחשמל של ציוד גיבוי, אבל השארת המחשב דולק. כיבוי מאבד מידע שנמצא רק בזיכרון ועלול למחוק עקבות שעוזרות לזהות את אופן ההדבקה ואת היקפה.
אפשר לשחזר קבצים בלי לשלם?
לעיתים כן. עבור חלק ממשפחות הכופרה קיימים כלי פענוח ציבוריים, ולפעמים יש גרסאות קודמות של קבצים או צילומי מצב שלא הוצפנו. גורם מקצועי יבדוק זאת לפני שמדברים על תשלום, וזה שיקול מרכזי בבחירת מסלול שחזור.
חייבים לדווח לרשות להגנת הפרטיות?
עסק שמנהל מסד נתונים הכולל מידע אישי ונחשף לאירוע אבטחה חמור נדרש לדווח. מכיוון שכופרה נוגעת כמעט תמיד בקבצים עם פרטי לקוחות או עובדים, ההנחה הזהירה היא שיש חובת דיווח, וכדאי לאמת אותה עם ייעוץ משפטי.
כמה זמן לוקח לחזור לעבוד?
עם גיבוי מנותק ותקין, לרוב בין יומיים לחמישה ימים לחזרה לפעילות חלקית. בלי גיבוי שמיש התהליך יכול להימשך שבועות, וחלק מהנתונים לא יחזור כלל. ההבדל נקבע בעיקר עוד לפני התקיפה.
האם עסק קטן בכלל מעניין תוקפים?
כן, ולרוב לא מסיבות אישיות. רוב התקיפות אוטומטיות ומחפשות מערכות חשופות, סיסמאות חלשות או תוכנה שלא עודכנה. עסק קטן דווקא אטרקטיבי כי ההגנות חלשות והסכום הנדרש נמוך מספיק כדי שישלמו.
לסיכום
תגובה טובה לכופרה נראית משעממת: ניתוק מסודר, תיעוד, דיווח, החלטות עם ליווי מקצועי ואפס אלתור מול התוקפים. הכל בתוך 24 שעות, לפי ציר זמן שהוגדר מראש עם גורם אחראי לכל שלב. את החלק הקשה קובעים מזמן קודם, בגיבוי מנותק שנבדק ובפוליסה שקראו אותה. מי שמקדיש לזה שעה ברבעון מקטין את ההפרש בין תקלה מטרידה לאירוע שמעמיד עסק שלם בסימן שאלה.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
