אבטחת מידע רפואי במבחן: Health-ISAC 2026 מפרסם זינוק של 49% במתקפות הכופרה. גניבת הזהויות והאיומים החדשים על ארגוני בריאות.
317 אירועי כופרה ברבעון אחד, 647 התרעות ממוקדות ופעילות גוברת של קבוצות המתמחות בגניבת מידע רפואי וארגוני. דוח Health-ISAC לרבעון השלישי של 2026 מציג תמונת מצב מטרידה של איומי הסייבר על מגזר הבריאות בעולם. מחקרים נוספים שפורסמו באותה תקופה מצביעים על מגמות דומות וממחישים מדוע בתי חולים, ארגוני בריאות וחברות טכנולוגיה רפואית חייבים להרחיב את תפיסת ההגנה שלהם.
מתקפות הכופרה על מגזר הבריאות הגיעו לשיא חדש
ב-21 באוקטובר 2026 פרסם ארגון Health-ISAC, המרכז ומשתף מודיעין סייבר עבור מגזר הבריאות העולמי, את דוח Health Sector Heartbeat לרבעון השלישי של 2026.
הדוח סוקר את פעילות קבוצות התקיפה, אירועי הכופרה, החולשות שהתגלו במערכות נפוצות וניסיונות לגניבת מידע רפואי וארגוני.
הממצא הבולט ביותר הוא העלייה במספר אירועי הכופרה שנצפו במגזר הבריאות.
ברבעון השלישי של 2026 תיעד הארגון 317 אירועים, לעומת 213 ברבעון השני. מדובר בעלייה של כ-49% בתוך שלושה חודשים.
המגמה משמעותית גם כאשר בוחנים את התקופה האחרונה:
- ברבעון הרביעי של 2025 תועדו 190 אירועים.
- ברבעון הראשון של 2026 תועדו 189 אירועים.
- ברבעון השני של 2026 תועדו 213 אירועים.
- ברבעון השלישי של 2026 כבר נרשמו 317 אירועים.
לפי Health-ISAC, מגזר הבריאות היווה 9.72% מכלל 3,260 האירועים שנוטרו במגזרי התשתיות הקריטיות ברבעון השלישי, לעומת ממוצע היסטורי של כ-7.5%.
חשוב לציין כי הנתונים מבוססים על פעילות הניטור ומקורות המידע של Health-ISAC, ואינם כוללים בהכרח כל אירוע שהתרחש בעולם.
עם זאת, הם מצביעים על מגמה שמנהלי אבטחת מידע בארגוני בריאות אינם יכולים להתעלם ממנה.
מחקרים נוספים מאוקטובר 2026 מחזקים את התמונה
דוח Health-ISAC אינו הפרסום היחיד שמצביע על עלייה משמעותית באיומי הסייבר על מגזר הבריאות.
ב-15 באוקטובר 2026 פרסמה חברת המחקר Comparitech סקירה עצמאית של מתקפות כופרה נגד ארגוני בריאות בעולם.
לפי המחקר, ברבעון השלישי של 2026 נרשמו 306 מתקפות כופרה מאומתות או כאלה שנטענו על ידי קבוצות תקיפה, לעומת 219 ברבעון השני. מדובר בעלייה של כ-40%.
מתוך האירועים שנסקרו, 192 יוחסו לבתי חולים, מרפאות וארגוני טיפול רפואי, ו-114 לחברות הפועלות בתעשיית הבריאות, ובהן יצרני ציוד רפואי וחברות טכנולוגיה.
חשוב להדגיש שלא מדובר באותם נתונים של Health-ISAC. לכל גוף שיטת איסוף וסיווג משלו, וחלק מהאירועים שנספרו על ידי Comparitech מבוססים על טענות של קבוצות תקיפה שטרם אומתו באופן עצמאי.
למרות ההבדלים, שני המחקרים מצביעים על אותה מגמה של עלייה חדה בנפח הפעילות נגד מגזר הבריאות.
הנתונים הללו משתלבים גם עם דוח מפת האיומים של ENISA לשנת 2026, שפורסם ב-22 בספטמבר 2026 ומבוסס על אירועים שנצפו במהלך 2025.
ENISA קובעת שמתקפות כופרה ממשיכות להיות אחד מסוגי האירועים בעלי ההשפעה המשמעותית ביותר בטווח הקצר על ארגונים, ומדגישה את הסיכונים הנובעים מתלות בספקים, בשירותים דיגיטליים ובתשתיות משותפות.
הדוחות אינם בוחנים את אותן אוכלוסיות או תקופות, אך הם מחזקים את ההבנה שמתקפות כופרה וסחיטת מידע ממשיכות להיות סיכונים מרכזיים עבור ארגונים המפעילים שירותים חיוניים.
למה ארגוני בריאות נמצאים בסיכון גבוה במיוחד?
בניגוד לארגונים רבים אחרים, מערכות בריאות נדרשות להבטיח זמינות רציפה של מידע ושירותים, לעיתים גם במצבים שבהם עיכוב קצר עלול לפגוע בטיפול במטופלים.
בתי חולים, קופות חולים, מעבדות ומרכזים רפואיים מחזיקים מידע רפואי אישי, תוצאות בדיקות, היסטוריות טיפול, מידע פיננסי ומערכות תפעוליות המשמשות צוותים רפואיים.
במקביל, סביבת המחשוב הרפואית נעשית מורכבת יותר. מערכות מידע רפואיות מחוברות למכשור רפואי, לספקים חיצוניים, לשירותי ענן, לפלטפורמות SaaS ולמערכות המאפשרות טיפול מרחוק.
החיבורים הללו חיוניים לפעילות הרפואית, אך הם גם מרחיבים את משטח התקיפה.
פגיעה במערכת מרכזית עלולה לשבש גישה למידע קליני, לעכב תהליכי עבודה ולפגוע ברציפות השירות. גניבת מידע רפואי עלולה לגרום לפגיעה בפרטיות המטופלים ולהשלכות נוספות גם לאחר שהמערכת חוזרת לפעול.
זו הסיבה שאבטחת מידע רפואי מחייבת התייחסות רחבה יותר מהגנה על שרתים ותחנות עבודה בלבד.
במאמר שלנו על אבטחת מידע והגנת הפרטיות בארגוני בריאות הרחבנו על הקשר שבין הגנה על מידע רפואי, אבטחת מערכות קליניות, ניהול סיכונים ורגולציה.
ShinyHunters: כשהמתקפה מתחילה בשיחת טלפון
אחד הנושאים המרכזיים בדוח Health-ISAC הוא פעילות קבוצת התקיפה ShinyHunters.
בניגוד לקבוצות כופרה מסורתיות, המתמקדות בהצפנת מערכות ודרישת תשלום לשחרורן, פעילות ShinyHunters מתמקדת בעיקר בגניבת מידע ובסחיטה באמצעות איום בפרסומו.
השיטה המתוארת בדוח מתחילה פעמים רבות בהנדסה חברתית.
התוקפים מתחזים לנציגי תמיכה טכנית ופונים לעובדים או למוקדי Helpdesk בניסיון להשיג גישה לחשבונות ארגוניים. חלק מהפעילות מתבצע באמצעות פישינג קולי, המכונה Vishing.
התוקפים עשויים לנצל את האמון שניתן באנשי התמיכה כדי לגרום לשינוי אמצעי אימות, למסירת פרטי גישה או לאישור פעולות התחברות.
לאחר השגת גישה לחשבון ארגוני, הם מנסים להגיע לשירותים המחוברים למערכת ההזדהות המרכזית, ובהם Microsoft 365, SharePoint, Salesforce ומערכות SaaS נוספות.
כך, פגיעה בזהות ארגונית אחת עלולה להוביל לחשיפת מידע ממספר מערכות.
הבעיה המרכזית היא שמתקפה מסוג זה אינה מחייבת השבתה או הצפנה של מערכות. הארגון עשוי להמשיך לפעול כרגיל בזמן שמידע רגיש מועתק מתוך מערכות הענן שלו.
הדוח מייחס לפעילות ההתחזות של ShinyHunters חלק משמעותי מהעלייה הכוללת באירועי הסייבר שנצפו במגזר. עם זאת, אין להסיק מכך שכל אירועי הכופרה שנכללו בנתוני הרבעון בוצעו על ידי הקבוצה.
פישינג והנדסה חברתית הם כבר לא רק בעיה של מודעות עובדים
כאשר תוקפים פונים ישירות לעובדי תמיכה, למנהלי מערכות או לבעלי הרשאות רגישות, הדרכת מודעות כללית אינה מספיקה.
נדרש לשלב בין הכשרת העובדים לבין מנגנוני אימות, הפרדת סמכויות ובקרות על פעולות רגישות.
למשל, שינוי של אמצעי MFA או איפוס הרשאות בחשבון בעל גישה למידע רפואי צריך להתבצע באמצעות תהליך אימות ברור, ולא רק על סמך שיחת טלפון נכנסת.
במאמר Spear Phishing: כשהתוקף כבר יודע למי הוא פונה הסברנו כיצד מתקפות מותאמות אישית מנצלות מידע על עובדים ותהליכים עסקיים כדי להגדיל את הסיכוי להטעיה.
הדוח החדש ממחיש מדוע יש להרחיב את ההגנה גם לתהליכי התמיכה, ההזדהות וניהול חשבונות המשתמשים.
לא רק זהויות: גם מערכות ההגנה עצמן הופכות ליעד
דוח Health-ISAC מתייחס גם לניצול חולשות קריטיות במערכות המשמשות ארגונים לצורכי תקשורת, גישה מרחוק וניהול אבטחת מידע.
בין היתר מוזכרות חולשות במוצרי Citrix NetScaler ובמערכות Check Point Security Gateway ו-Security Management, אשר לפי הדוח זוהו ניסיונות ניצול שלהן במהלך הרבעון השלישי.
המשמעות אינה שכל ארגון המשתמש במוצרים הללו נפגע.
עם זאת, המקרים ממחישים מדוע מערכות גישה מרחוק, התקני קצה של הרשת ומערכות ניהול האבטחה עצמן דורשים תשומת לב מיוחדת.
כאשר רכיב חשוף לאינטרנט ומתגלה בו חולשה חמורה, הארגון נדרש להבין במהירות אם הוא מושפע, מהי מידת החשיפה ומה סדר העדיפויות לטיפול.
יש לזכור שהתקנת עדכון אבטחה אינה בהכרח מספיקה אם המערכת כבר נפגעה לפני שהתיקון הותקן.
לכן ניהול חולשות צריך לשלב מעקב אחר עדכוני יצרנים, מיפוי נכסים, בדיקת אפקטיביות של בקרות וניטור סימנים לפעילות חריגה.
עבור חברות MedTech ו-Digital Health, האתגר מורכב אף יותר. אבטחת המוצר הרפואי צריכה לכלול גם רכיבי ענן, ממשקי API, אפליקציות, רכיבי תוכנה חיצוניים ותהליכי תחזוקה לאורך מחזור החיים.
על הגישה הזו הרחבנו במאמר MEDSEC: אבטחת סייבר, פרטיות ורגולציה לחברות MedTech ולמערכות רפואיות.
647 התרעות ברבעון אחד: החשיבות של מודיעין סייבר ותגובה מהירה
במהלך הרבעון השלישי של 2026 הפיץ Health-ISAC מספר שיא של 647 התרעות ממוקדות לחבריו.
התרעות מסוג זה נועדו לסייע לארגונים לזהות איומים העשויים להשפיע עליהם, ובהם פעילות התחזות, ניסיונות גניבת זהויות וניצול חולשות אבטחה.
בנוסף, הארגון מדווח על שיתוף של 126 אינדיקטורים לפעילות זדונית, המכונים Indicators of Compromise.
האינדיקטורים מאפשרים לצוותי אבטחה לזהות סימנים לפעילות חריגה ולבדוק אם קיימת התאמה בין התרעות חיצוניות לממצאים במערכות הארגון.
אולם עצם קבלת ההתרעה אינה מבטיחה שהארגון מוגן.
כדי להפוך מודיעין סייבר להגנה אפקטיבית נדרשים תהליכים ברורים לבחינת ההתרעה, הערכת הסיכון, קבלת החלטות וביצוע פעולות בהתאם לצורך.
אם לא הוגדר מי אחראי לטפל בהתרעה, כיצד מתבצעת הסלמה ומתי יש להפעיל תוכנית תגובה לאירוע, גם מידע מודיעיני איכותי עלול שלא להוביל לפעולה בזמן.
הנושא מקבל חיזוק גם מדוח אחר שפרסם Health-ISAC ב-5 באוקטובר 2026, המסכם תרגיל בין ארגוני להתמודדות עם אירועי סייבר ותשתיות מורכבים.
הדוח מדגיש את חשיבות התיאום בין ארגוני בריאות, ספקים וגופים ממשלתיים, במיוחד כאשר מדובר באירועים בעלי השפעה רחבה.
עבור ארגונים רפואיים, התובנה ברורה. לצד מניעת מתקפות, יש לתרגל גם את אופן התגובה אליהן.
במאמר תרגיל שולחן בסייבר: כך בודקים מוכנות לאירוע לפני שהוא מתרחש הסברנו כיצד ניתן לבחון את תהליכי קבלת ההחלטות, התקשורת וההתאוששות במסגרת תרגול מבוקר.
HIPAA ו-ISO 27799: כיצד הופכים את ההגנה לדרישות ולבקרות מעשיות?
כאשר מדובר במידע רפואי, אי אפשר להפריד בין אבטחת סייבר לבין פרטיות ורגולציה.
אחד התקנים המרכזיים בעולם הבריאות הוא ISO 27799, המספק הנחיות ובקרות ייעודיות לניהול אבטחת מידע רפואי.
התקן מבוסס על עקרונות ISO/IEC 27002 ומותאם לאתגרים הייחודיים של מערכות בריאות, ובהם ניהול הרשאות, הגנת מידע רפואי, ניהול ספקים, אבטחת מערכות קליניות והיערכות לאירועים.
עבור ארגוני בריאות בישראל, התקן רלוונטי במיוחד גם בשל דרישות משרד הבריאות והמסגרות המקצועיות החלות על המגזר.
באינפוגארד ניתן לקבל ליווי ליישום תקן ISO 27799 לאבטחת מידע רפואי, הכולל מיפוי סיכונים, בחינת פערים, הגדרת בקרות ובניית תהליכי עבודה מתועדים.
ומה לגבי HIPAA?
בארצות הברית, מסגרת HIPAA מגדירה חובות בתחום ההגנה על מידע רפואי אישי עבור גופים הכפופים לה.
ה-HIPAA Security Rule מתייחסת להגנה על מידע רפואי אלקטרוני, ePHI, וכוללת דרישות הנוגעות לבקרות ניהוליות, פיזיות וטכנולוגיות.
באוקטובר 2026 פרסם משרד הבריאות האמריקאי, HHS, עדכון מקצועי בנושא אבטחת סייבר, ובו הודגשו בין היתר הדרכות עובדים למניעת פישינג, אימות רב שלבי, ניהול סיסמאות ותוכניות תגובה לאירועים.
העדכון מחזק את העיקרון שלפיו הגנה על מידע רפואי אינה מסתכמת באמצעי הגנה טכנולוגיים, אלא מחייבת גם תהליכים והכשרת עובדים.
עבור חברות ישראליות המספקות שירותים, מערכות או פתרונות טכנולוגיים לארגוני בריאות בארה"ב, HIPAA עשויה להיות רלוונטית בהתאם לסוג הפעילות, למעמד החברה, להסכמים ולמידע המעובד.
חשוב להדגיש ש-HIPAA אינה חלה באופן אוטומטי על כל ארגון בריאות בישראל או על כל חברת MedTech.
למידע נוסף ניתן לעיין בעמוד HIPAA Compliance: הגנת פרטיות ואבטחת מידע רפואי של אינפוגארד.
ומה המצב בישראל?
דוח Health-ISAC אינו מציג פילוח ייעודי של אירועי כופרה או גניבת מידע במערכת הבריאות הישראלית, ולכן אין להסיק ממנו על מספר התקיפות או על שיעור העלייה בישראל.
עם זאת, האיומים המתוארים בו רלוונטיים גם לבתי חולים, לקופות חולים, למעבדות רפואיות ולחברות Digital Health ישראליות המשתמשות במערכות ענן, בשירותי SaaS ובתשתיות גישה מרחוק.
בישראל קיימת גם מסגרת ייעודית להגנת סייבר במגזר הבריאות, הכוללת את תורת ההגנה של משרד הבריאות והנחיות בנוגע להגנה על מערכות רפואיות, ניהול סיכונים, מוכנות למשברים והגנת מידע רפואי.
ארגונים נדרשים לבחון גם את חובותיהם לפי חוק הגנת הפרטיות ותקנות אבטחת המידע, בהתאם לסוג המידע, לפעילות ולדרישות החלות עליהם.
המשמעות המעשית היא שהגנה על מידע רפואי בישראל צריכה להתייחס במקביל לשלושה יעדים: שמירה על פרטיות המטופלים, זמינות השירותים הרפואיים והיכולת לזהות אירוע סייבר ולהתמודד איתו בלי לפגוע ככל האפשר ברציפות הטיפול.
מה ארגוני בריאות צריכים לעשות עכשיו?
דוח Health-ISAC והפרסומים הנוספים מצביעים על מספר תחומים שראוי לכלול בתוכנית העבודה הארגונית.
1. לבדוק את ההרשאות למידע רפואי ולמערכות ענן
יש לבחון מי מורשה לגשת למידע רפואי רגיש, אילו הרשאות ניתנו לספקים ולחשבונות שירות והאם קיימת גישה רחבה מהנדרש.
2. לחזק מנגנוני אימות זהויות
מומלץ לבחון אימות רב שלבי העמיד בפני פישינג, בדגש על משתמשים בעלי הרשאות נרחבות, צוותי תמיכה ומנהלים.
3. להקשיח תהליכי Helpdesk
יש להגדיר נהלים ברורים לאימות משתמשים לפני איפוס סיסמאות, שינוי אמצעי אימות או הענקת הרשאות.
4. לנהל חולשות באופן מתמשך
יש למפות את המערכות החשופות, לעקוב אחר התרעות אבטחה ולתעדף תיקונים לפי הסיכון וההשפעה האפשרית על הפעילות הרפואית.
5. לשפר את המוכנות לאירועי סייבר
ארגונים צריכים לתרגל תרחישי כופרה, גניבת זהויות ודליפת מידע רפואי, ולוודא שקיימים תהליכי קבלת החלטות, דיווח והתאוששות.
6. להפוך הדרכות מודעות לחלק מתוכנית ניהול הסיכונים
לפי דוח Health-ISAC, ההנדסה החברתית ממשיכה להיות מרכיב משמעותי בפעילות התקיפה.
המשמעות היא שנדרשת תוכנית הכשרה המתייחסת לתפקידים ולסיכונים השונים, ולא רק הדרכה כללית אחת לכל העובדים.
במאמר Human Risk Management: ניהול הסיכון האנושי בסייבר הסברנו כיצד ניתן לשלב בין הדרכות, סימולציות, נהלים ומדידה של התנהגות עובדים כדי לחזק את מערך ההגנה הארגוני.
גם המאמר שלנו על שבוע הגנת הסייבר 2026 והאיומים החדשים על עובדים וארגונים מרחיב על השינויים בפישינג ובהתחזות ועל הצורך לעדכן את תוכניות המודעות.
מסקר סיכונים לתוכנית עבודה
הדרך הנכונה להתחיל אינה בהכרח ברכישת פתרון אבטחה נוסף, אלא בבחינה מסודרת של הסיכונים הקיימים.
באמצעות סקר סיכוני אבטחת מידע וסקר פערים ניתן למפות את הנכסים הקריטיים, לבחון בקרות והרשאות, לזהות חשיפות ולבנות תוכנית טיפול בהתאם לרמת הסיכון.
במגזר הבריאות, חשוב במיוחד שתוכנית זו תביא בחשבון לא רק את הסיכון לפגיעה במידע, אלא גם את ההשלכות האפשריות על פעילות רפואית רציפה.
סיכום: מתקפות הסייבר משתנות, וגם ההגנה על מידע רפואי חייבת להשתנות
דוח Health-ISAC לרבעון השלישי של 2026 מציג עלייה משמעותית באירועי הכופרה נגד מגזר הבריאות, אך גם שינוי בשיטות הפעולה של התוקפים.
לצד קבוצות המצפינות מערכות ודורשות כופר, מתרחבות מתקפות המבוססות על גניבת זהויות, גישה לשירותי ענן וסחיטה באמצעות מידע רגיש.
הממצאים מחזקים את הצורך להגן על ארגוני בריאות בכמה שכבות במקביל: אבטחת מערכות, ניהול הרשאות, הגנת מידע רפואי, מודעות עובדים, ניטור ומוכנות לתגובה.
גם תקנים ורגולציות כמו ISO 27799 ו-HIPAA, בהתאם לתחולתם, יכולים לסייע לארגונים לבסס מסגרת עבודה סדורה לניהול הסיכונים והבקרות.
באינפוגארד אנו מסייעים לארגוני בריאות ולחברות MedTech לחבר בין אבטחת מידע, פרטיות, ניהול סיכונים ועמידה בדרישות רגולציה. באמצעות סקרי סיכונים, בחינת בקרות, ליווי לתקינה והדרכת עובדים ניתן לזהות פערים ולבסס תוכנית הגנה המותאמת לאופי הפעילות ולרגישות המידע.
במגזר הבריאות, אבטחת מידע אינה רק הגנה על מערכות. היא חלק מהאחריות לשמור על המידע הרפואי, על זמינות השירותים ועל אמון המטופלים.
מקורות מקצועיים
- Health-ISAC, Health Sector Heartbeat Q3 2026, אוקטובר 2026
- Comparitech, Healthcare Ransomware Roundup Q3 2026, אוקטובר 2026
- ENISA, Threat Landscape 2026, ספטמבר 2026
- Health-ISAC, Americas Hobby Exercise After Action Report, אוקטובר 2026
- HHS Office for Civil Rights, Cybersecurity Newsletter, אוקטובר 2026
- HHS, הסבר רשמי על HIPAA Security Rule
- משרד הבריאות, תורת ההגנה בסייבר לארגון במגזר הבריאות
המאמר מבוסס על מקורות מקצועיים ורשמיים ונועד להציג מגמות והמלצות כלליות. התאמת בקרות ודרישות רגולטוריות מחייבת בחינה של סביבת הארגון והדין החל עליו.
