מתקפת כופר (Ransomware) – מדריך מקיף להגנה ותגובה

עודכן לאחרונה: יוני 2026

מתקפת כופר היא אחד האיומים המוחשיים ביותר על עסקים כיום. בוקר אחד העובדים מגיעים, מדליקים את המחשבים, ובמקום שולחן העבודה הרגיל מופיעה הודעה: כל הקבצים הוצפנו, ועל מנת לקבל אותם בחזרה יש לשלם סכום בביטקוין. ברגע הזה העסק משותק, אין גישה לקבצים, למיילים או למערכות הליבה. שירותי מחשוב לעסקים עם גישת אבטחה נכונה הם ההבדל בין אירוע שנפתר תוך שעות לבין עסק שמושבת לשבועות ומאבד לקוחות. במדריך הזה נסביר מהי מתקפת כופר, אילו סוגים קיימים, איך היא חודרת, איך מתגוננים בפועל, ומה לעשות אם כבר נפגעתם.

איך מתקפת כופר פוגעת בעסק אמיתי

עסק בינוני שעבד מולנו נפגע ממתקפת כופר שחדרה דרך קובץ מצורף במייל שנראה תמים, חשבונית כביכול מספק מוכר. בתוך שעה הוצפנו קבצי השרת המרכזי, כולל מערכת הנהלת החשבונות וכל תיקיות העבודה המשותפות. העובדים לא יכלו להוציא תעודות, לגשת למיילים או להמשיך לעבוד. ההבדל בין אותו עסק לבין רבים אחרים היה שהיה לו גיבוי מנותק בענן, ולכן במקום לשלם כופר הוא שוחזר במלואו תוך פחות מיום.

לפי Sophos State of Ransomware, חלק ניכר מהעסקים שנפגעים בוחרים לשלם, אך רק חלק מהם מקבלים את כל המידע בחזרה, ולעיתים הקבצים המשוחזרים פגומים. תשלום הכופר, מעבר לעלות הישירה, גם מסמן את העסק כמטרה רכה לתקיפה נוספת, ולא פעם אותם תוקפים חוזרים תוך חודשים. המסקנה ברורה: ההיערכות חשובה הרבה יותר מהתגובה.

מהי מתקפת כופר וכיצד היא מתפשטת

כופרה היא סוג של תוכנה זדונית (Malware) שמטרתה להצפין את הנתונים של הקורבן ולמנוע גישה אליהם עד לתשלום. הדרכים הנפוצות לחדירה הן דואר דיוג (Phishing) עם קובץ או קישור זדוני, ניצול חיבור שולחן עבודה מרוחק (RDP) פתוח עם סיסמה חלשה, וניצול פרצות בתוכנה שלא עודכנה. לפי Verizon DBIR 2024, האלמנט האנושי מעורב ברוב המוחלט של אירועי האבטחה, כלומר טעות של עובד היא לרוב נקודת הכניסה.

מה שהופך כופרה מודרנית למסוכנת במיוחד הוא שהיא אינה פועלת מיד. לאחר החדירה, התוקף שוהה ברשת ימים ואף שבועות, לומד את המבנה, מאתר את הגיבויים המקוונים ומשמיד אותם, מרחיב הרשאות, ורק אז, ברגע שנבחר בקפידה, מצפין את כל המערכות בבת אחת. לכן גיבוי שמחובר תמיד לרשת אינו הגנה אמיתית, התוקף ימחק אותו עוד לפני ההצפנה.

סוגי הכופרה הנפוצים

קיימים כמה סוגים עיקריים של כופרה. הסוג הראשון, Crypto Ransomware, מצפין את הקבצים עצמם והוא הנפוץ ביותר. הסוג השני, Locker Ransomware, נועל את המכשיר כולו ומונע כניסה למערכת ההפעלה. הסוג השלישי, והמדאיג ביותר כיום, הוא סחיטה כפולה (Double Extortion): התוקפים לא רק מצפינים את המידע אלא גם גונבים עותק שלו, ומאיימים לפרסם אותו אם לא ישולם הכופר. כך, גם עסק עם גיבוי מצוין נמצא בלחץ, משום שהאיום אינו רק על זמינות המידע אלא על סודיותו.

למה אנטי-וירוס לבדו כבר לא מספיק

אנטי-וירוס מסורתי מזהה איומים לפי חתימה מוכרת, ולכן הוא עיוור מול כופרה חדשה שטרם תועדה. הגנת קצה מתקדמת (EDR) פועלת אחרת: היא מנטרת התנהגות חשודה, למשל הצפנה מהירה של אלפי קבצים בזמן קצר, ועוצרת את התהליך באופן אוטומטי ומבודדת את המכשיר מהרשת עוד לפני שהנזק מתפשט. הטבלה ממחישה את ההבדל:

חמשת קווי ההגנה מפני כופרה

הגנה אפקטיבית מפני כופרה אינה מוצר בודד אלא שילוב של שכבות שעובדות יחד. ראשית, גיבוי בענן מנותק לפי כלל ה-3-2-1, שהוא הביטוח שמאפשר שחזור בלי לשלם. שלושה עותקים, שני סוגי מדיה, עותק אחד מחוץ לאתר ומנותק. זהו הרכיב היחיד שמבטיח התאוששות גם בתרחיש הגרוע ביותר.

שנית, הגנת קצה (EDR) שמזהה ועוצרת תקיפה בזמן אמת. שלישית, אימות דו-שלבי (MFA) שחוסם כניסה גם אם סיסמה נגנבה, ומבטל את אחד הווקטורים הנפוצים ביותר. רביעית, ניהול עדכוני אבטחה שוטף שסוגר פרצות מנוצלות לפני שתוקף מגיע אליהן. וחמישית, הדרכת עובדים לזיהוי דיוג, משום שהם קו ההגנה הראשון והם אלה שלוחצים, או לא לוחצים, על הקישור הזדוני.

לפי מערך הסייבר הלאומי, רוב התקיפות על עסקים בישראל מנצלות פערים בסיסיים בדיוק בשכבות אלה, פערים שניתנים לסגירה בעלות סבירה. לפי Microsoft Digital Defense Report, הפעלת אימות דו-שלבי לבדה חוסמת את הרוב המכריע של ניסיונות ההשתלטות על חשבונות. במילים אחרות, חלק גדול מההגנה אינו דורש טכנולוגיה יקרה, אלא הקפדה שיטתית.

כמה עולה מתקפת כופר באמת

העלות של מתקפת כופר חורגת בהרבה מסכום הכופר עצמו. לפי IBM Cost of a Data Breach 2024, העלות הכוללת של אירוע כוללת ימי השבתה, אובדן לקוחות, שחזור מערכות, ייעוץ משפטי ופגיעה במוניטין. עבור עסק קטן-בינוני, שבוע של השבתה לבדו עלול להגיע לעשרות אלפי שקלים באובדן פריון, מעבר לעלויות השחזור הישירות. הטבלה משווה בין עלות ההיערכות לבין עלות האירוע:

תכנית היערכות מראש

השאלה אינה אם תהיה מתקפה אלא מתי, ולכן ההיערכות צריכה להיות שיטתית. עסק מוכן מגדיר מראש מי עושה מה ברגע אירוע, מחזיק גיבוי מנותק שנבדק תקופתית בפועל, ומקיים ניטור רציף שמזהה חריגות. שירותי אבטחה וסייבר מנוהלים מספקים את כל אלה כברירת מחדל, כך שהעסק אינו צריך להחזיק מומחה פנימי. תרגול תרחיש שחזור, ולו פעם בשנה, חושף פערים לפני שהם מתגלים בזמן אמת, כשכל דקה עולה כסף.

מה לעשות אם כבר נפגעתם

אם מתקפת כופר כבר התרחשה, הצעד הראשון הוא לנתק מיד את המכשירים הנגועים מהרשת כדי לעצור את ההתפשטות, אך לא לכבות אותם, משום שזיכרון המכשיר עשוי לסייע בחקירה ובזיהוי מקור התקיפה. אין לשלם את הכופר לפני התייעצות עם מומחה. יש לדווח למערך הסייבר הלאומי ולערב מומחי אבטחת מידע מקצועיים. השלב הקריטי הוא שחזור מגיבוי נקי ובדוק, ולכן ערך הגיבוי המנותק מתברר בדיוק ברגע הזה. R-Net מלווה עסקים גם בשלב התגובה לאירוע, מהבלימה ועד החזרה המלאה לפעילות.

טעויות נפוצות שמובילות למתקפת כופר

רוב מתקפות הכופר אינן נובעות מתחכום יוצא דופן של התוקפים אלא מטעויות שגרתיות בצד המגן. הטעות הראשונה היא סיסמאות חלשות וחוזרות: עובד שמשתמש באותה סיסמה בכמה מערכות, ומספיק שאחת תידלף כדי שכל השאר ייחשפו. הטעות השנייה היא חיבור שולחן עבודה מרוחק (RDP) שנשאר פתוח לאינטרנט בלי הגנה, אחד הווקטורים שתוקפים סורקים אחריהם באופן אוטומטי מסביב לשעון.

הטעות השלישית היא דחיית עדכוני אבטחה, "אין זמן עכשיו", שמשאירה פרצות ידועות פתוחות חודשים. הטעות הרביעית היא הסתמכות על גיבוי שמחובר תמיד לרשת, שכופרה פשוט מוחקת. והטעות החמישית, אולי הנפוצה מכולן, היא ההנחה ש"לנו זה לא יקרה כי אנחנו עסק קטן". בפועל, דווקא העסקים הקטנים הם היעד הקל, ולכן ההנחה הזו היא שמובילה להיעדר היערכות.

כופרה בסביבת ענן מנוהל מול שרת מקומי

עסקים רבים שואלים אם מעבר לענן מגדיל או מקטין את הסיכון לכופרה. התשובה, כשמדובר בענן מנוהל, היא שהסיכון קטן. בסביבה מקומית, האחריות על העדכונים, הגיבוי וההגדרות נופלת על העסק, ולרוב מוזנחת. בענן מנוהל, הספק אחראי לעדכונים שוטפים, גיבוי מנותק אוטומטי וניטור רציף, כך שהשכבות הקריטיות מתוחזקות כברירת מחדל ולא תלויות בזיכרון של מישהו בעסק.

יתרון נוסף הוא ההפרדה: גיבוי בענן מנוהל מאוחסן בנפרד מסביבת העבודה ובאופן שכופרה אינה יכולה להגיע אליו ולמחוק אותו. כך, גם בתרחיש הגרוע שבו סביבת העבודה הוצפנה כולה, קיים עותק נקי לשחזור. זו בדיוק הסיבה ש-R-Net ממליצה על תשתית ענן מנוהל כבסיס להגנה מפני כופרה, ולא כמותרות.

תפקיד העובדים בהגנה

הטכנולוגיה חוסמת הרבה, אך העובד הוא קו ההגנה הראשון. רוב הכופרות נכנסות דרך לחיצה אנושית על קישור או קובץ. הדרכה קצרה ותקופתית שמלמדת לזהות סימני דיוג, לא ללחוץ על קישורים חשודים, לבדוק כתובת שולח ולדווח על הודעה חשודה, מצמצמת דרמטית את הסיכון. עובד שמדווח על מייל חשוד במקום ללחוץ עליו הוא לעיתים ההבדל בין אירוע שנמנע לאסון.

חשוב שההדרכה תהיה מתמשכת ולא חד-פעמית, משום שטכניקות הדיוג משתנות כל הזמן, וכיום אף נעזרות בבינה מלאכותית שמייצרת הודעות משכנעות בעברית תקנית. תרבות ארגונית שבה מותר ולגיטימי לשאול "האם המייל הזה אמיתי" שווה יותר מכל מערכת יקרה.

כיצד בוחרים פתרון הגנה מפני כופרה

כשבוחרים פתרון הגנה, חשוב לבדוק שהוא מכסה את כל מעגל החיים של תקיפה ולא רק חלק ממנו. פתרון טוב כולל מניעה (סינון דואר, חסימת פרצות), זיהוי (הגנת קצה שמנטרת התנהגות), תגובה (בידוד אוטומטי של מכשיר נגוע) והתאוששות (גיבוי מנותק). פתרון שמכסה רק את שלב המניעה משאיר את העסק חשוף ברגע שתוקף בכל זאת חודר, ופתרון שמתמקד רק בגיבוי אינו מונע את ההשבתה והנזק התדמיתי שבעצם האירוע. לכן עדיף פתרון מנוהל אחד ומשולב על פני אוסף כלים נפרדים שאיש אינו אחראי לתאם ביניהם.

שיקול נוסף הוא זמינות התגובה. כופרה אינה מחכה לשעות העבודה, ולעיתים קרובות מופעלת דווקא בלילה או בסוף שבוע, כשאין מי שישים לב. לכן ניטור 24 שעות ביממה, שמזהה את התקיפה ועוצר אותה בזמן אמת גם כשאיש אינו במשרד, הוא רכיב קריטי. עסק שמסתמך על זיהוי ידני בשעות העבודה בלבד נותן לתוקף שעות ארוכות של פעולה חופשית.

לבסוף, כדאי לוודא שהפתרון כולל גם את הגורם האנושי: הדרכת עובדים ונהלים ברורים מה לעשות באירוע. הטכנולוגיה הטובה ביותר נכשלת אם העובדים אינם יודעים לזהות דיוג או למי לפנות כשמשהו נראה חשוד. שילוב של טכנולוגיה, תהליך ואנשים הוא מה שהופך הגנה מתיאוריה למציאות.

כופרה והרגולציה: חובות הדיווח

מעבר לנזק הטכני והכספי, למתקפת כופר יש גם היבט רגולטורי שעסקים רבים אינם מודעים אליו. כאשר במתקפה דלף מידע אישי של לקוחות או עובדים, על העסק לעמוד בחובות לפי חוק הגנת הפרטיות ותיקוניו, ובמקרים מסוימים גם לדווח לרשות להגנת הפרטיות ולנפגעים עצמם. אי-עמידה בחובות אלה עלולה להוסיף קנסות ותביעות לנזק הקיים. לכן תגובה נכונה לאירוע כוללת לא רק את ההיבט הטכני של השחזור, אלא גם תיעוד מסודר של מה דלף ומתי, וייעוץ לגבי חובות הדיווח. ספק מנוהל שמלווה את האירוע מסייע גם בהיבט הזה ומפנה לגורמים המתאימים.

שיקול נוסף הוא ביטוח סייבר, שהפך נפוץ יותר בקרב עסקים. פוליסות רבות מתנות את הכיסוי בקיומם של אמצעי הגנה בסיסיים, כמו אימות דו-שלבי, גיבוי מנותק והדרכת עובדים. כלומר, אותם רכיבים שמגנים מפני התקיפה הם גם תנאי לקבלת פיצוי אם היא בכל זאת מתרחשת. עסק שמיישם מערך הגנה מסודר נהנה אפוא פעמיים: סיכוי נמוך יותר להיפגע, ותנאי ביטוח טובים יותר אם נפגע.

בשורה התחתונה, ההגנה מפני כופרה אינה שאלה של מזל אלא של בחירה. עסק שמחליט להשקיע מראש בגיבוי מנותק, בהגנת קצה, באימות דו-שלבי ובהדרכת עובדים, מקטין דרמטית גם את הסיכוי להיפגע וגם את הנזק אם בכל זאת ייפגע. העלות החודשית של מערך מנוהל כזה זניחה לעומת עלותו של יום השבתה אחד, שלא לדבר על שבוע. זו השקעה שמחזירה את עצמה ברגע שהיא מונעת את האירוע הראשון, גם אם לעולם לא נדע בדיוק כמה אירועים נמנעו בזכותה.

הצעד הראשון פשוט: בדקו אם יש לכם גיבוי מנותק שנבדק לאחרונה, והאם מופעל אצלכם אימות דו-שלבי. אם התשובה לאחד מהם היא לא, שם נמצאת הפרצה הראשונה שכדאי לסגור.

בהקשר זה, מומלץ לקרוא גם על פתרון גיבוי וסייבר משולב.

בהקשר זה מומלץ לקרוא גם על שדרוג פריוריטי לעסקים – מדריך מקיף כולל שרת טסטים.

שאלות נפוצות

האם כדאי לשלם את הכופר?

לא. תשלום אינו מבטיח שחזור מלא, מממן את התוקפים ומסמן את העסק כיעד חוזר. עדיף להשקיע מראש בגיבוי מנותק שמאפשר שחזור בלי תלות בתוקפים.

מה הדרך הכי טובה להתגונן מפני כופרה?

שילוב של גיבוי מנותק לפי כלל 3-2-1, הגנת קצה (EDR), אימות דו-שלבי, עדכוני אבטחה והדרכת עובדים. אף שכבה בודדת אינה מספיקה.

האם עסק קטן באמת בסיכון?

כן. עסקים קטנים ובינוניים הם יעד מועדף דווקא משום שלרוב אין בהם מערך הגנה מסודר, והם נתפסים כמטרה רכה.

כמה זמן לוקח להתאושש ממתקפת כופר?

עם גיבוי מנותק ובדוק, שחזור יכול להסתיים תוך שעות עד יום. בלי גיבוי מסודר, ההתאוששות עלולה להימשך שבועות, אם בכלל.

מהי סחיטה כפולה?

תקיפה שבה התוקפים גם מצפינים את המידע וגם גונבים עותק, ומאיימים לפרסם אותו. לכן גם עסק עם גיבוי טוב חשוף, והמניעה קריטית.

האם גיבוי בענן מספיק להגנה?

גיבוי קריטי אך לא מספיק לבדו. הוא חייב להיות מנותק כך שכופרה לא תוכל למחוק אותו, ולהשתלב עם הגנת קצה ומניעה.

לסיכום

מתקפת כופר היא שאלה של מתי, לא אם. ההבדל בין אסון לאירוע מנוהל נקבע הרבה לפני התקיפה, ברמת ההיערכות. תמיכת מחשוב לעסקים עם גיבוי מנותק, הגנת קצה וניטור רציף מאפשרים לעסק לישון בשקט. לייעוץ והקמת מערך הגנה, פנו לR-Net בטלפון 077-4000179.