נקודות עיקריות
- תקנות אבטחת מידע מחייבות לתעד כל אירוע שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו ללא הרשאה או לחריגה מהרשאה.
- באירוע אבטחה חמור קיימת חובה להודיע לרשם באופן מיידי ולדווח על הצעדים שננקטו בעקבותיו.
- העיצום הכספי הראשון מכוח תיקון 13, בסך 256,000 ש״ח, הוטל ביולי 2026 בגין אי-דיווח מיידי על אירוע אבטחה חמור.
- השאלה הקריטית בכופרה אינה רק ״האם הקבצים מוצפנים״ אלא ״האם הוצא מידע החוצה״ — שתי שאלות נפרדות עם חובות שונות.
- גיבוי מנותק שנבדק שחזורית הוא המשתנה היחיד שקובע האם האירוע נמשך יום או שבועיים.
תוכן העניינים
- מה זו מתקפת כופרה ולמה היא גם אירוע פרטיות?
- מה עושים בשעות הראשונות של האירוע?
- מתי חייבים לדווח לרשות להגנת הפרטיות?
- האם נכון לשלם את הכופר?
- למי עוד מדווחים מלבד לרשות?
- איך נערכים מראש כדי לצמצם את הנזק?
- שאלות ותשובות
מתקפת כופרה היא תקיפת סייבר שבה תוכנה זדונית מצפינה את קבצי הארגון או נועלת את המערכות, והתוקפים דורשים תשלום תמורת שחרורן. בשנים האחרונות הדפוס השתנה: לפני ההצפנה התוקפים מעתיקים אליהם את המידע ומאיימים לפרסם אותו — ובדיוק בנקודה הזו האירוע הופך מבעיה של מחלקת ה-IT לאירוע רגולטורי שחלות עליו חובות לפי דיני הגנת הפרטיות. מי שטרם בנה נוהל תגובה, כדאי שיעשה זאת לצד היערכות הכללית לתיקון 13.
מה זו מתקפת כופרה ולמה היא גם אירוע פרטיות?
כופרה היא אירוע שבו גורם זר השיג גישה למערכות הארגון — ולכן, כמעט תמיד, גם למאגרי המידע שבהן. העובדה שהמטרה הייתה כספית ולא גניבת מידע אינה משנה את הסיווג המשפטי של האירוע. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבות לתעד כל מקרה שבו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו ללא הרשאה או לחריגה מהרשאה — והצפנה עוינת של מאגר היא הגדרה קלאסית של פגיעה בשלמות מידע.
הבחנה שחשוב לעשות מהשעה הראשונה היא בין הצפנה לבין דליפה. הצפנה פוגעת בזמינות ובשלמות המידע; דליפה פוגעת גם בסודיותו ומפעילה שרשרת חובות רחבה במיוחד — ובפרט כאשר מדובר במידע בעל רגישות מיוחדת. ברוב המקרים ניתן להכריע בשאלה השנייה רק דרך ניתוח תעבורת הרשת היוצאת בימים שלפני ההצפנה, ולכן שימור הלוגים הוא פעולה דחופה ולא פעולה טכנית משנית.
מבחינת היקף, מערך הסייבר הלאומי דיווח על כ-26,500 דיווחים על אירועי סייבר שהתקבלו במוקד 119 בשנת 2025, נתון שממחיש עד כמה התרחישות אינה אירוע חריג. לצד זאת, דו״ח IBM Cost of a Data Breach לשנת 2025 העמיד את העלות הגלובלית הממוצעת של אירוע דליפה על כ-4.44 מיליון דולר. הפער בין עלות ההיערכות לעלות האירוע הוא הטיעון הכלכלי להיערך מראש.
מה עושים בשעות הראשונות של האירוע?
שש הפעולות הראשונות קובעות את אורך האירוע ואת החשיפה הרגולטורית שלו. הסדר חשוב: בידוד לפני ניקוי, שימור ראיות לפני שחזור.
- בודדו את המערכות הנגועות מהרשת — ניתוק פיזי או לוגי, בלי לכבות את המחשבים. כיבוי מוחק מידע נדיף שדרוש לחקירה.
- שמרו ראיות ולוגים מהשרתים, מהחומה, מה-VPN ומשירותי הענן. לוגים רבים נמחקים אוטומטית תוך ימים בודדים.
- הרכיבו צוות טיפול עם בעל סמכות להחליט — גורם טכני, הממונה על הגנת הפרטיות או האחראי לאבטחת מידע, וייעוץ משפטי.
- קבעו אם הוצא מידע החוצה — בדקו תעבורה יוצאת חריגה, העלאות לשירותי אחסון חיצוניים וגישות חריגות למסדי נתונים.
- העריכו אם מדובר באירוע אבטחה חמור והפעילו את חובת ההודעה המיידית אם התשובה חיובית או גבולית.
- שחזרו מגיבוי מנותק שנבדק, לסביבה נקייה בלבד, ורק אחרי שהוודא שהגישה של התוקף נסגרה.
שלוש טעויות חוזרות בשלב הזה: שחזור מהיר לסביבה שעדיין נגועה וגורם להצפנה חוזרת; מחיקת עותק הכופרה לפני שנשמר לצורך חקירה; והודעה ללקוחות לפני שיודעים מה באמת קרה — הודעה שגויה שצריך לתקן אחרי יומיים מחמירה את הנזק המוניטין ואת החשיפה המשפטית כאחד.
מתי חייבים לדווח לרשות להגנת הפרטיות?
לפי תקנות אבטחת המידע, במקרה של אירוע אבטחה חמור על בעל המאגר להודיע לרשם באופן מיידי, ולאחר מכן לדווח על הצעדים שנקט בעקבות האירוע. ״מיידי״ פירושו מיידי — לא בסוף החקירה ולא אחרי שהמערכות חזרו לפעול.
זו בדיוק הנקודה שעליה נפל הגוף הראשון שנקנס מכוח תיקון 13. ביולי 2026 הודיעה הרשות להגנת הפרטיות על הטלת עיצום כספי ראשון מסוגו, בסך 256,000 ש״ח, על קופת חולים — בגין אי-דיווח מיידי על אירוע אבטחה חמור שאפשר גישה בלתי מורשית למידע רפואי. המסר לעסקים ברור: עיכוב בדיווח הוא הפרה עצמאית, גם כשהחדירה עצמה לא נבעה מרשלנות.
בפועל, המלצה מעשית היא לנסח את ההודעה הראשונה בזמן אמת גם אם התמונה חלקית: מה התגלה, מתי, אילו מערכות מעורבות, מה היקף המשוער של נושאי המידע ומה נעשה עד כה. השלמות מוספות בדיווח המשך. הרחבנו על סדר הפעולות ועל מבחן החומרה במדריך אירוע אבטחת מידע: מתי מדווחים לרשות ומה עושים קודם, ואת נוסח התקנות אפשר לבדוק בנוסח המלא של תקנות הגנת הפרטיות (אבטחת מידע).
האם נכון לשלם את הכופר?
תשלום כופר אינו משחרר מאחריות ואינו מבטיח שום דבר. הוא אינו מבטל את חובת הדיווח, אינו מבטיח שהמפתח אכן יעבוד, ואינו מבטיח שהעותק שבידי התוקפים יימחק באמת. משנית, לעברות של כספים לגורמים עוינים עשויות להיות השלכות משפטיות נפרדות, ולכן זו אינה החלטה שנכון לקבל בלילה בלי ייעוץ משפטי.
מבחינה מעשית, השאלה האמיתית אינה ״לשלם או לא״ אלא ״כמה שווה לנו שעת השבתה מול עלות השחזור מגיבוי״. ארגון שבדק את הגיבוי שלו בשנה האחרונה מנהל משא ומתן מעמדת כוח שונה לחלוטין מארגון שמגלה באותו בוקר שהגיבוי היה מחובר לאותה רשת והוצפן גם הוא.
למי עוד מדווחים מלבד לרשות?
דיווח לרשות להגנת הפרטיות הוא ערוץ אחד מתוך כמה, והוא אינו מחליף את האחרים. הטבלה מסכמת את מפת הדיווח האופיינית של עסק ישראלי:
| גורם | מתי פונים אליו |
|---|---|
| הרשות להגנת הפרטיות | באירוע אבטחה חמור — הודעה מיידית ודיווח על הצעדים שננקטו |
| מערך הסייבר הלאומי (מוקד 119) | לקבלת סיוע טכני ולשיתוף מודיעין על התקיפה |
| משטרת ישראל | בעבירה פלילית — חדירה, סחיטה או גניבת מידע |
| לקוחות ונושאי מידע | כשנדרש לאפשר להם להתגונן, ולפי הנחיות הרשות בנסיבות העניין |
| ספקים ולקוחות עסקיים | כשהמידע שלהם נמצא אצלכם, או כשקיים חיבור מערכות הדדי |
| חברת הביטוח (פוליסת סייבר) | מידית — פוליסות רבות מתנות כיסוי בדיווח מידי |
איך נערכים מראש כדי לצמצם את הנזק?
ההיערכות האפקטיבית ביותר אינה כלי הגנה נוסף אלא שלושה דברים משעממים: גיבוי מנותק שנבדק בפועל, צמצום הרשאות למינימום הנדרש, ונוהל תגובה כתוב שיודעים מי מתקשר למי בשעה שתיים בלילה.
על הגיבוי: במאגר שחלה עליו רמת אבטחה בינונית או גבוהה, התקנות מחייבות לגבות את הנתונים באופן שיאפשר לשחזר אותם בכל עת למצבם המקורי, ולתעד את הליכי השחזור — לרבות זהות מי שביצע אותם ופרטי המידע ששוחזר. זו אינה המלצה אלא דרישה, והיא בדיוק הדרישה שעושה את ההבדל בין השבתה של יום להשבתה של שבועיים.
על ההרשאות: רוב מתקפות הכופרה מתפשטות באמצעות חשבון משתמש אחד שיש לו יותר מדי גישה. בדיקת הרשאות רבעונית וביטול מיידי של חשבונות עובדים שעזבו הם הפעולות הזולות ביותר שאפשר לעשות — פירוט במדריך הרשאות גישה למאגר מידע. ואם אתם רוצים לדעת איפה הפערים לפני שתוקף ימצא אותם, הכלי לכך הוא סקר סיכונים ומבדק חדירות.
שאלות ותשובות
האם כל מתקפת כופרה מחייבת דיווח לרשות?
החובה להודיע באופן מיידי חלה על אירוע אבטחה חמור. לצד זאת, חובת התיעוד רחבה יותר וחלה על כל אירוע שמעלה חשש לפגיעה בשלמות המידע או לשימוש ללא הרשאה. בפועל, הערכת החומרה צריכה להיעשות מוקדם ולהיות מתועדת, גם אם המסקנה היא שאין חובת דיווח.
האם צריך לדווח גם אם השחזור הצליח תוך שעה?
שחזור מהיר מצמצם את הנזק אבל אינו מבטל את העובדה שאירוע התרחש. הבדיקה המכריעה היא חומרת האירוע — לא משך ההשבתה. אירוע שבו תוקף השיג גישה למאגר והצפין אותו עשוי להיות חמור גם אם הוא נפתר מהר.
מה עושים אם המתקפה הגיעה דרך ספק חיצוני?
האחריות כלפי נושאי המידע נשארת אצל בעל המאגר, גם כשהכשל הטכני היה אצל הספק. לכן חשוב שההסכם עם הספק יכלול חובת דיווח מיידית אליכם, שיתוף פעולה בחקירה וזכות ביקורת.
כמה זמן שומרים את תיעוד האירוע?
תיעוד האירוע והליכי השחזור הוא חלק מתיעוד אירועי האבטחה של המאגר, ומשמש הן לביקורת הרשות והן להתגוננות משפטית. נהוג לשמור אותו לאורך כל תקופת ההתיישנות הרלוונטית ובמקום נפרד מהמערכות שעלולות להיפגע.
האם עסק קטן באמת נמצא בסיכון?
כן. מתקפות כופרה רבות אינן ממוקדות ביעד ספציפי אלא סורקות אוטומטית אחר מערכות חשופות. דווקא בעסקים קטנים הנזק היחסי גדול יותר, כי השחזור מסתמך לעיתים על אדם אחד ועל גיבוי שמעולם לא נבדק.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
- גיבוי ושחזור מידע: מה תקנות אבטחת המידע דורשות בפועל — היכולת לשחזר מגיבוי נקי היא ההבדל בין אירוע כופרה מנוהל לבין תשלום כופר.
- הרשאות גישה למאגר מידע: איך מונעים דליפה מבפנים — הרשאות רחבות מדי הן מה שמאפשר לכופרה להתפשט מתחנה אחת לכל המאגר.
- אירוע אבטחת מידע: מתי מדווחים לרשות ומה עושים קודם — מתקפת כופרה היא לרוב גם אירוע בר-דיווח — כאן מפורטים המועדים והנוהל.
אכיפה אחרי אירוע: מדריך משלים
