כופרה: איך מתקפה עובדת, ולמה גיבוי לבד כבר לא מספיק

איך תוקפים נכנסים לעסק?

לפי מערך הסייבר הלאומי, ב 2024 תוקפים נכנסו לארגונים בעיקר בשלוש דרכים:

• חולשות שלא עודכנו. תוכנה או מערכת שיש לה פרצה ידועה, ולא הותקן לה עדכון. לעיתים ניצלו חולשה שעות ספורות אחרי שפורסמה.
• פישינג. מייל או הודעה שמובילים ללחיצה על קישור, להורדת קובץ או למסירת סיסמה. פישינג היה סוג המתקפה הנפוץ ביותר ב 2024.
• סיסמאות שדלפו. פרטי התחברות שנחשפו במקום אחר, ומשמשים לכניסה למערכות של העסק.

מה זו סחיטה כפולה?

בכופרה "רגילה" התוקף מצפין את הקבצים ודורש תשלום כדי לפתוח אותם. בכופרה מתקדמת יש סחיטה כפולה: גם הצפנה, וגם איום לפרסם את המידע שנגנב.

זה משנה את התמונה. גם עסק שיש לו גיבוי מלא, ומשחזר את הכל מהר, עדיין עומד מול איום לפרסם מידע של הלקוחות שלו. ולפי מערך הסייבר הלאומי, לפעמים התוקף גם מוחק גיבויים.

למה גיבוי לבד לא מספיק?

שלוש סיבות:

1. התוקף עלול למחוק את הגיבוי. מערך הסייבר מציין את זה במפורש.
2. הגיבוי לא עוצר את איום הפרסום. אם המידע כבר יצא, שחזור לא מחזיר אותו.
3. גם עם גיבוי, העסק מושבת. השחזור לוקח זמן, ובזמן הזה העסק לא עובד.

גיבוי עדיין חשוב מאוד. מערך הסייבר הלאומי ממליץ לעסקים קטנים על גיבוי קבוע שנשמר מחוץ לעסק או בענן. הוא פשוט לא סוגר את כל הסיכון לבד.

לשלם או לא לשלם?

מדיניות הממשלה היא להימנע מתשלום כופר, כי תשלום לא מבטיח שהמידע יחזור, ולא מגן מתקיפות נוספות.

ולמי שיש ביטוח סייבר יש נקודה נוספת: בפוליסות רבות תשלום כופר מכוסה רק אם המבטח אישר אותו מראש ובכתב. לדוגמה, כך בהרחבת הסייבר של הראל (ינואר 2022). לכן הצעד הראשון באירוע הוא שיחה עם המבטח, לפני כל מגע עם התוקף.

מה עושים לפני שזה קורה?

מערך הסייבר הלאומי ממליץ לבדוק מראש שלושה דברים: יש לכם ביטוח סייבר? מה הוא כולל? והאם באירוע צריך אישור של המבטח לפני שפועלים?

ובצד הטכני, ההמלצות של המערך לעסק קטן כוללות בין השאר:

• הזדהות דו שלבית.
• עדכוני אבטחה סדירים.
• חומת אש.
• גיבוי קבוע שנשמר מחוץ לעסק או בענן.
• רשת אלחוטית מוצפנת.

כללי ההגנה לעסק קטן, בפירוט

מה עושים אם זה כבר קרה?

מתקשרים ל 119 של מערך הסייבר הלאומי, זמין בכל שעה. אם יש פוליסה, מתקשרים גם למבטח, ולא משלמים ולא מדברים עם התוקף לפני כן. ההוראות המלאות