כך תוכנת כופר מתפשטת ברשת הארגון – ומה באמת עוצר אותה בזמן

מהי תוכנת כופר ולמה היא האיום המשמעותי ביותר על ארגונים כיום

תוכנת כופר (Ransomware) היא קוד זדוני שמצפין קבצים על מחשבים, שרתים ומערכות אחסון, ודורש תשלום כופר — לרוב במטבע קריפטוגרפי — תמורת מפתח פענוח. בשנים האחרונות המודל השתנה מהותית: תוקפים כבר לא מסתפקים בהצפנה בלבד, אלא גונבים מידע רגיש לפני ההצפנה ומאיימים לפרסם אותו (“Double Extortion”). לפי דוח Verizon DBIR 2023, תוכנת כופר הייתה מעורבת בכ-24% מכלל אירועי אבטחת המידע שנחקרו באותה שנה, ועלות הכופר החציונית עמדה על כ-26,000 דולר, כאשר במקרים חמורים התשלומים הגיעו למיליוני דולרים.

איך תוכנת כופר מתפשטת בפועל בתוך רשת ארגונית

הדוגמה הקלאסית: התקפת קולוניאל פייפליין (Colonial Pipeline) במאי 2021 בארה”ב. התוקפים, קבוצת DarkSide, קיבלו גישה ראשונית דרך סיסמה יחידה שדלפה לחשבון VPN ישן שלא היה מוגן ב-MFA (אימות דו-שלבי). מרגע הכניסה, התוקפים נעו לרוחב הרשת (Lateral Movement), מיפו את המערכות הקריטיות, גנבו כ-100GB של מידע, והפעילו את ההצפנה על מערכות ה-IT. התוצאה: השבתת צינור הדלק המרכזי במזרח ארה”ב למשך כשישה ימים, ותשלום כופר של כ-4.4 מיליון דולר בביטקוין (חלק ממנו הוחזר מאוחר יותר על ידי ה-FBI).

מסלולי ההדבקה הנפוצים ביותר, לפי ניתוחי אירועים מתועדים:

• פישינג ממוקד (Spear Phishing): מייל עם קובץ מצורף או קישור זדוני שמותקן ברגע שהעובד לוחץ עליו.
• RDP חשוף לאינטרנט: שרתי Remote Desktop Protocol עם סיסמאות חלשות או ללא MFA — וקטור ההדבקה המוביל בהתקפות רבות שתועדו על ידי Coveware ב-2022-2023.
• ניצול פרצות תוכנה (Exploits): כמו במקרה של WannaCry ב-2017, שניצל פרצה בפרוטוקול SMB (EternalBlue) בווינדוס, והדביק מעל 200,000 מחשבים ב-150 מדינות תוך ימים בודדים — כולל שיבוש מערכות ה-NHS הבריטי, שם בוטלו כ-19,000 תורים רפואיים.
• שרשראות אספקה (Supply Chain): מתקפת Kaseya ביולי 2021, שבה קבוצת REvil ניצלה פרצה בתוכנת ניהול IT כדי להדביק כ-1,500 עסקים במכה אחת דרך ספקי שירותי IT (MSP).

שלבי ההתקפה: מה קורה בפועל מרגע החדירה ועד ההצפנה

תוקפים מקצועיים כיום פועלים לפי מתודולוגיה מובנית, בדומה למסגרת MITRE ATT&CK:

• גישה ראשונית — פישינג, RDP חשוף, או ניצול פרצה ידועה שלא תוקנה (unpatched vulnerability).
• ביסוס אחיזה (Persistence) — התקנת כלי גישה מרחוק (RAT) כדי לשמור על נוכחות גם אם תתגלה נקודת הכניסה המקורית.
• תנועה רוחבית (Lateral Movement) — שימוש בכלים לגיטימיים כמו PsExec או Cobalt Strike כדי לנוע בין שרתים ותחנות עבודה, לעיתים במשך שבועות ללא זיהוי.
• אסקלציית הרשאות
• אקספילטרציה (Exfiltration) — גניבת נתונים רגישים לפני ההצפנה, כדי לאפשר סחיטה כפולה.
• הצפנה והצגת דרישת הכופר — לרוב מופעלת בלילה או בסוף שבוע, כשצוותי ה-IT דלילים יותר.

קבוצת Conti, למשל, פעלה במודל “Ransomware-as-a-Service” (RaaS) — היא מכרה או השכירה את הכלים שלה לשותפים תמורת אחוזים מהכופר, מה שהאיץ דרמטית את קצב ההתקפות ברחבי העולם עד לפירוקה ב-2022.

אסטרטגיית הגנה רב-שכבתית: מה עוצר תוכנת כופר בפועל

אין פתרון קסם יחיד, אבל שילוב של אמצעים מוכחים מקטין דרמטית את הסיכון:

• MFA על כל גישה מרחוק — היה קיים ב-Colonial Pipeline הוא היה עשוי למנוע את כל האירוע. מחקר מיקרוסופט מ-2023 מראה ש-MFA חוסם מעל 99.2% מהתקפות השתלטות על חשבונות.
• גיבויים מבודדים (Offline / Immutable Backups) — גיבוי שאינו נגיש ברשת הרגילה (עקרון 3-2-1) מבטיח שגם אם המערכות מוצפנות, ניתן לשחזר ללא תשלום כופר. עיריית אטלנטה, שנפגעה ב-2018 מתוכנת הכופר SamSam, נאלצה להוציא כ-2.6 מיליון דולר על שחזור בגלל גיבויים חלקיים בלבד.
• תיקוני אבטחה (Patch Management) שוטפים — WannaCry ניצל פרצה שכבר היה עבורה תיקון של מיקרוסופט חודשיים לפני ההתפרצות. ארגונים שעדכנו בזמן לא נפגעו.
• פילוח רשת (Network Segmentation) — מניעת תנועה רוחבית חופשית בין תחנות עבודה לשרתים קריטיים.
• EDR/XDR וניטור התנהגותי — כלים שמזהים דפוסי הצפנה חריגים בזמן אמת ועוצרים תהליכים לפני שההצפנה מתפשטת לכלל הרשת.
• תוכנית תגובה לאירוע (IR Plan) מתורגלת — צוות שיודע בדיוק מה לעשות בשעה הראשונה מקצר את זמן ההתאוששות באופן דרמטי, לפי נתוני IBM Cost of a Data Breach.

לשלם או לא לשלם: השיקולים המעשיים

ה-FBI וגורמי אכיפה נוספים ממליצים שלא לשלם כופר, מכיוון שתשלום מממן פשיעה נוספת ואינו מבטיח קבלת מפתח פענוח תקין — ב-2021 מחקר של Sophos מצא כי רק כ-65% מהארגונים ששילמו קיבלו בחזרה את כלל הנתונים. בישראל, גם רשות התקיפה הלאומית להגנת סייבר ממליצה לדווח על כל אירוע ולהימנע מתשלום ככל האפשר, ולפנות לגורמים מקצועיים לניהול האירוע. בפועל, ההחלטה תלויה בחומרת הפגיעה, קיום גיבויים תקינים, והשלכות עסקיות-משפטיות — ולכן קריטי לבנות מראש תהליך קבלת החלטות ברור, ולא לאלתר תחת לחץ בזמן אמת.

שאלות נפוצות

מהו ההבדל בין תוכנת כופר רגילה לבין “סחיטה כפולה” (Double Extortion)?

בהצפנה רגילה התוקף חוסם גישה לקבצים ודורש כופר לפענוח. בסחיטה כפולה התוקף גם גונב את הנתונים מראש ומאיים לפרסם אותם ברשת אם לא ישולם כופר — כך שגם ארגון עם גיבויים תקינים עדיין נמצא תחת לחץ סחיטה בשל חשש מדליפת מידע.

האם תשלום הכופר מבטיח קבלת הנתונים בחזרה?

לא. מחקרים מראים ששיעור ניכר מהארגונים ששילמו לא קיבלו בחזרה את מלוא הנתונים, ולעיתים מפתח הפענוח שסופק היה פגום או לא הביא לשחזור מלא. גורמי אכיפה ממליצים באופן עקבי שלא לשלם.

מהו הצעד הראשון והחשוב ביותר שארגון צריך לנקוט כדי להתגונן מתוכנת כופר?

הפעלת אימות רב-שלבי (MFA) על כל נקודות הגישה מרחוק, לצד תחזוקת גיבויים מבודדים ובלתי ניתנים לשינוי — שני האמצעים הללו חוסמים את מרבית וקטורי ההדבקה הנפוצים ומאפשרים שחזור ללא תלות בתשלום כופר.