נכתב על ידי צוות SYSPRO | עודכן: 03.11.2026
בקצרה: כשמתרחשת מתקפת כופרה בעסק, הצעד הראשון הוא לבודד מיד את התחנות והשרתים שנפגעו מהרשת, בלי למחוק ובלי לכבות מחשבים ללא צורך. אחר כך שומרים ראיות, מזהים את היקף הפגיעה ובודקים שהגיבויים נקיים לפני כל שחזור. במקביל פונים לצוות ה-IT, למוקד 119 של מערך הסייבר הלאומי ולגורמים המקצועיים. צוות SYSPRO מלווה עסקים בכל השלבים האלה.
נקודות עיקריות:
- בידוד מהיר של תחנות ושרתים שנפגעו מצמצם את התפשטות ההצפנה לשאר הרשת.
- שמירת לוגים, צילומי מסך והודעת הכופר עוזרת להבין איך התוקפים נכנסו.
- שחזור מגיבוי שלא נבדק עלול להחזיר את הנוזקה לסביבה הנקייה.
- תשלום כופר אינו מבטיח קבלת המידע בחזרה או מחיקה של מידע שנגנב.
- תוכנית תגובה, גיבוי מנותק ותרגול מראש מקצרים מאוד את זמן ההשבתה.
תוכן עניינים
מתקפת כופרה בעסק (Ransomware) היא אחד האירועים המשבשים ביותר שעסק יכול לחוות. הקבצים מוצפנים, מערכות נעצרות ועל המסך מופיעה דרישת תשלום. בשעות הראשונות קל לקבל החלטות בלחץ, ולכן כדאי לדעת מראש מה הסדר הנכון. המדריך הזה מסביר מה עושים בפועל מהרגע שמזהים את המתקפה ועד לשחזור, ומה כדאי להכין עוד היום.
מהי מתקפת כופרה בעסק ואיך מזהים אותה?
מתקפת כופרה היא תקיפה שבה נוזקה מצפינה קבצים ומערכות בארגון, והתוקפים דורשים תשלום תמורת מפתח פענוח. בהרבה מקרים התוקפים גם מעתיקים מידע לפני ההצפנה ומאיימים לפרסם אותו, כדי להגביר את הלחץ.
סימנים נפוצים למתקפת כופרה בעסק הם קבצים שלא נפתחים ושינו את הסיומת שלהם, קובץ טקסט עם הוראות תשלום בתיקיות, האטה חריגה של שרתים ותחנות, וחשבונות משתמש שננעלו פתאום. לפעמים כלי האבטחה מתריע עוד לפני שההצפנה מתפשטת, ולכן כל התראה חריגה מצדיקה בדיקה מיידית.
מה עושים ברגע שמזהים מתקפת כופרה?
הדבר הראשון הוא לעצור את ההתפשטות. ככל שהבידוד מהיר יותר, כך פחות מערכות מוצפנות ופחות מידע אובד. אלה השלבים המומלצים לפי הסדר:
- בידוד התחנות והשרתים שנפגעו: מנתקים כבל רשת, מנתקים מה-Wi-Fi או מנתקים את המקטע ברמת המתג (Switch). המטרה היא להפריד בין מה שנפגע לבין מה שעדיין תקין.
- לא לכבות מחשבים בלי צורך: כיבוי מוחק מידע שנמצא בזיכרון ועשוי לעזור בחקירה. מכבים רק אם אין דרך אחרת לנתק את המכשיר מהרשת.
- ניתוק גישה מרחוק: משביתים זמנית חיבורי VPN, שרתי גישה מרחוק וחשבונות שנראים חשודים, כדי למנוע מהתוקפים להמשיך לפעול.
- מעבר לערוץ תקשורת חלופי: מתאמים את הטיפול בטלפון או בערוץ שאינו עובר דרך המערכות שנפגעו, כדי שהתוקפים לא יוכלו לעקוב אחרי התגובה.
- מינוי אחראי אירוע: אדם אחד מרכז את ההחלטות, מתעד את הצעדים ומעדכן את ההנהלה. כך נמנעות פעולות סותרות.
מניסיון בשטח, הטעות הנפוצה ביותר בשעה הראשונה היא ניסיון "לנקות" לבד: מחיקת קבצים, התקנה מחדש או הרצת כלים שונים. פעולות כאלה מוחקות עקבות וקשות לתיקון אחר כך.
איך שומרים ראיות אחרי מתקפת כופרה?
שמירת ראיות היא הבסיס להבנת האירוע. בלעדיה קשה לדעת איך התוקפים נכנסו, אילו מערכות נפגעו והאם הם עדיין ברשת.
מה כדאי לשמור:
- צילום מסך או תמונה של הודעת הכופר, כולל כתובות וקבצי הוראות שהשאירו התוקפים.
- לוגים של שרתים, חומת אש (Firewall) ומערכות אבטחה, לפני שהם נדרסים.
- צילום מצב (Image) של מחשבים לדוגמה שנפגעו, ובסביבות ענן גם Snapshot של הכוננים.
- רשימה של מה שנראה ומתי: שעת הזיהוי, מי זיהה ואילו צעדים ננקטו.
בשלב הזה כדאי גם לבדוק בכלי האבטחה הקיימים אם הופיעו חשבונות הרשאה חדשים, כניסות חריגות או נוזקה מוקדמת. מתקפת כופרה היא לא פעם השלב האחרון של חדירה שהתחילה קודם. פתרון EDR להגנת תחנות קצה שומר היסטוריה של אירועים בתחנות, וזה מקצר מאוד את החקירה.
איך בודקים את הגיבויים לפני שחזור?
גיבוי הוא הדרך העיקרית לחזור לעבודה בלי לשלם כופר, אבל רק אם הוא נקי ושלם. לפני כל שחזור צריך לוודא שלושה דברים:
- הגיבוי לא נפגע: תוקפים מנסים לעיתים קרובות להצפין או למחוק גם את הגיבויים. גיבוי שמנותק מהרשת או שמור בענן עם הגנה מפני מחיקה הוא הבטוח ביותר.
- נקודת הזמן נכונה: בוחרים גיבוי מלפני תחילת החדירה, לא רק מלפני ההצפנה, כדי לא להחזיר את הנוזקה.
- השחזור נעשה לסביבה נקייה: משחזרים לשרתים שנבנו מחדש או נבדקו, ורק אחרי סגירת הפרצה והחלפת סיסמאות.
את סדר השחזור קובעים לפי חשיבות: קודם המערכות שהעסק לא יכול לעבוד בלעדיהן, ואחר כך השאר. עסק שיש לו גיבוי מנוהל בענן עם בדיקות שחזור קבועות יודע מראש שהגיבוי עובד, ולא מגלה זאת ביום המתקפה.
למי פונים כשמתקפת כופרה פוגעת בעסק?
התגובה למתקפת כופרה בעסק היא עבודת צוות. אלה הגורמים שכדאי לערב, לפי הצורך:
- צוות ה-IT או ספק ה-IT המנוהל: מבצע את הבידוד, שומר ראיות ומוביל את השחזור.
- מוקד 119 של מערך הסייבר הלאומי: מוקד חינמי שפועל 24/7, מקבל דיווחים על אירועי סייבר ונותן סיוע והמלצות ראשוניות.
- חברת הביטוח: אם יש לעסק ביטוח סייבר, כדאי לעדכן מוקדם. לחלק מהפוליסות יש דרישות לגבי הדיווח והגורמים המטפלים.
- יועץ משפטי: אם נגנב מידע אישי של לקוחות או עובדים, ייתכן שיש חובת דיווח לפי הדין. יש לבדוק זאת עם גורם משפטי.
- הנהלה ועובדים: הודעה קצרה וברורה לעובדים, כולל מה מותר ומה אסור לעשות במחשבים, מונעת נזק נוסף.
חשוב לדעת: האם לשלם את הכופר?
תשלום כופר אינו מבטיח שהמידע יחזור. גורמי אכיפה כמו ה-FBI ממליצים שלא לשלם, בין היתר משום שיש ארגונים ששילמו ולא קיבלו מפתח פענוח, או קיבלו מפתח שלא שחזר את כל הקבצים.
גם כשמתקבל מפתח, אין ודאות שהתוקפים מחקו את המידע שהעתיקו, ושהם לא ישאירו דרך חזרה לרשת. ההחלטה בנושא היא החלטה עסקית ומשפטית של ההנהלה, ונכון לקבל אותה רק אחרי בדיקת הגיבויים והתייעצות עם הגורמים המקצועיים. במקרים מסוימים גורמי אכיפה מחזיקים מפתחות פענוח לנוזקות מוכרות, ולכן כדאי לשאול לפני כל החלטה.
מה כדאי להכין מראש לפני מתקפת כופרה?
ההבדל בין השבתה של ימים להשבתה של שבועות נקבע בדרך כלל לפני המתקפה. אלה ההכנות החשובות:
| הכנה | למה זה חשוב |
|---|---|
| גיבוי מנותק או מוגן מפני מחיקה | מאפשר שחזור גם אם התוקפים הגיעו לגיבוי הרגיל |
| בדיקת שחזור תקופתית | מוודאת שהגיבוי באמת עובד ומראה כמה זמן לוקח לחזור |
| תוכנית תגובה כתובה ורשימת טלפונים | חוסכת החלטות בלחץ ומבהירה מי עושה מה |
| רשימת מערכות לפי חשיבות | קובעת מראש את סדר השחזור |
| הזדהות דו־שלבית (MFA) ועדכוני אבטחה (Patch Management) | סוגרת את הפרצות הנפוצות שדרכן נכנסים התוקפים |
| הגנה על תחנות קצה ומעקב אחר התראות | מזהה התנהגות חשודה לפני שההצפנה מתפשטת |
| גיבוי תיבות המייל והענן | מגן גם על מידע שלא נמצא על השרתים המקומיים |
מעבר לטבלה, כדאי לתרגל את התוכנית לפחות פעם בשנה, לפחות בתרחיש שולחני קצר. ארגונים שהמערכות שלהם קריטיות יכולים לשקול שירותי DR (התאוששות מאסון), שמאפשרים להפעיל את המערכות החיוניות בסביבה חלופית. גם גיבוי תיבות המייל של Microsoft 365 או Gmail הוא חלק מההכנה, כי שירות הענן עצמו לא תמיד שומר עותק שאפשר לשחזר אחרי פגיעה.
שאלות נפוצות
מה הדבר הראשון שצריך לעשות כשמגלים מתקפת כופרה בעסק?
לבודד מיד את המחשבים והשרתים שנפגעו מהרשת, בניתוק כבל, Wi-Fi או מקטע רשת. לא מוחקים קבצים ולא מכבים מחשבים בלי צורך, כדי לשמור ראיות.
האם כדאי לשלם כופר כדי לקבל את הקבצים בחזרה?
גורמי אכיפה ממליצים שלא לשלם, כי תשלום אינו מבטיח קבלת מפתח פענוח תקין או מחיקה של מידע שנגנב. ההחלטה צריכה להתקבל רק אחרי בדיקת הגיבויים והתייעצות מקצועית.
האם אפשר לשחזר מגיבוי מיד אחרי מתקפת כופרה?
רק אחרי שמוודאים שהגיבוי נקי, בוחרים נקודת זמן מלפני החדירה וסוגרים את הפרצה. שחזור מוקדם מדי עלול להחזיר את הנוזקה לסביבה.
למי מדווחים על מתקפת כופרה בישראל?
אפשר לפנות למוקד 119 של מערך הסייבר הלאומי, שפועל 24/7 ללא תשלום. במקביל מעדכנים את ספק ה-IT, את חברת הביטוח ואת היועץ המשפטי אם נגנב מידע אישי.
האם אנטי־וירוס מספיק כדי למנוע מתקפת כופרה?
לא תמיד. אנטי־וירוס מזהה בעיקר נוזקות מוכרות, ולכן מומלץ לשלב הגנה על תחנות קצה, הזדהות דו־שלבית, עדכוני אבטחה וגיבוי מנותק.
לסיכום
מתקפת כופרה בעסק מחייבת תגובה מסודרת: בידוד מהיר של מה שנפגע, שמירת ראיות, בדיקת הגיבויים ושחזור לסביבה נקייה, לצד פנייה לגורמים המקצועיים ולמוקד 119. תשלום כופר אינו פתרון מובטח. ההכנה מראש, עם גיבוי מנותק, תוכנית תגובה ותרגול, היא מה שמקצר את ההשבתה ומצמצם את הנזק.
רוצים לדעת שהעסק שלכם מוכן למתקפת כופרה?
מתקפת כופרה לא חייבת להפוך להשבתה ארוכה. כשיש גיבוי שנבדק, הגנה על תחנות הקצה ותוכנית ברורה, אפשר לחזור לעבודה מהר יותר ובשקט ניהולי.
צוות SYSPRO מסייע לחברות וארגונים בבחינת סביבת המחשוב, בבניית תוכנית תגובה ובטיפול באירועים כשהם קורים, כחלק משירותי פתרון תקלות IT לעסקים. בואו נדבר או התקשרו ל-072-2211005, ונבדוק יחד מה כדאי לחזק אצלכם.
