לא רק האקרים: תעשיית השירותים שמאפשרת לכופרה להפוך לכסף

כאשר ארגון נפגע מכופרה, תשומת הלב מתמקדת בדרך כלל בשאלות המיידיות: האם ניתן לשחזר את המערכות, איזה מידע נגנב והאם לשלם.

אלא שמאחורי דרישת הכופר פועלת כיום שרשרת כלכלית מורכבת של גורמים ושירותים שמאפשרים לעברייני סייבר לפעול בקנה מידה גדול, לקבל תשלומים ולהסתיר את מקור הכסף.

התמונה נעשית מורכבת עוד יותר כאשר הגבול בין פשיעת סייבר, פעילות אידאולוגית ופעילות מדינתית הולך ומיטשטש.

מאחורי דרישת הכופר: שרשרת הכסף שמניעה את תעשיית ה-Ransomware

מתקפות כופרה כבר מזמן אינן פעילות של האקר בודד שמפתח נוזקה, חודר לרשת וממתין להעברת Bitcoin.

עם השנים התפתחה סביב Ransomware כלכלה שלמה של שירותים: מפעילי כופרה, Affiliates, ספקי תשתיות, גורמים שמספקים שירותים עברייניים שונים ובקצה השרשרת גם שירותים שמסייעים בהעברת הכספים ובהסתרת מקורם.

ביוני 2026 קיבל האקוסיסטם הזה המחשה חריגה בעוצמתה. Europol ו-Eurojust הודיעו על פירוק שירות בשם AudiA6, שלפי הרשויות שימש קבוצות כופרה ורשתות פשיעת סייבר לצורך הלבנת נכסים דיגיטליים. השירות חשוד בהלבנת יותר מ-336 מיליון אירו בין 2022 ל-2025, ונקשר ליותר מ-15 חקירות בינלאומיות בתחום הסייבר.

המקרה ממחיש נקודה חשובה: מאחורי מתקפת כופרה קיימת כיום שרשרת אספקה פלילית שלמה.

כשמתקפות כופרה הפכו למודל עסקי – הכירו את RAAS

Ransomware as a Service או RaaS – שינה משמעותית את המבנה של שוק הכופרה.

לא כל מי שמעורב בתקיפה צריך לפתח בעצמו את כל היכולות הנדרשות. בעולם הפשיעה הדיגיטלי קיימת התמחות: גורמים שונים מספקים חלקים שונים מהתהליך, החל מתשתיות ושירותי גישה ועד שירותים פיננסיים שמסייעים להפוך את התקיפה לרווח.

Europol מתאר ב-2026 התמקצעות הולכת וגוברת של שירותי Cybercrime ואף מפנה במפורש לדיון ב-Ransomware as a Service ובהלבנת Cryptocurrency כחלק מאותה מגמה.

עבור הארגון המותקף, המשמעות היא שהוא אינו בהכרח מתמודד מול "קבוצת האקרים" אחת. מאחורי האירוע יכולה לפעול מערכת שלמה של גורמים, שלכל אחד מהם תפקיד אחר.

מידע נוסף במאמר – סיכוני סייבר לחברות וארגונים: האיומים המרכזיים, מגמות ודרכי ההתמודדות 2026

כשהגבול בין תעשיית הכופרה למלחמת סייבר מיטשטש

האקוסיסטם שהתפתח סביב פשיעת הסייבר אינו משמש בהכרח רק עבריינים שמחפשים רווח כספי.

בשנים האחרונות אנחנו רואים זליגה הולכת וגוברת בין תשתיות, כלים ושירותים שצמחו בעולם ה-Cybercrime לבין פעילות הקשורה לעימותים בין מדינות, מבצעי השפעה, Hacktivism ופעילות היברידית.

מחקר שפרסם INSS באוגוסט 2026, The Influence-Cybercrime Nexus, טוען כי תשתיות של פשיעת סייבר הפכו לחלק מהיכולת של שחקנים מדינתיים ואוטוריטריים להפעיל מבצעי השפעה ופעילות עוינת בקנה מידה רחב. המחקר אף מתאר את הקשר בין פעילות מדינתית לפשע מאורגן כקשר שהפך, במקרים מסוימים, לסימביוטי.

מבחינת ארגונים בישראל, זו אינה הבחנה אקדמית בלבד. כאשר ארגון נפגע, לא תמיד ניתן לדעת בזמן אמת אם המניע הוא פיננסי בלבד, אידאולוגי, מדינתי או שילוב ביניהם.

במאמר נוסף שהתקיפה לא מסתיימת ברשת: האם הארגון שלכם ערוך למתקפת סייבר שמטרתה גם להשפיע?, סקרנו כיצד תקיפה טכנולוגית יכולה להתחבר לדליפת מידע, פגיעה באמון, Hack-and-Leak ומבצעי השפעה. המאמר מדגיש כי הגבול בין Cybercrime לבין פעילות שמטרתה לייצר אפקט ציבורי או לאומי נעשה פחות חד.

החיבור הזה חשוב גם בהקשר הפיננסי. אם זהות הגורם שמאחורי התקיפה אינה ברורה לחלוטין, גם ההחלטה האם לנהל משא ומתן ומי עלול בסופו של דבר לקבל את הכסף הופכת מורכבת יותר.

AudiA6: שירות פיננסי לתעשיית הסייבר העבריינית

לפי Europol ו-Eurojust, AudiA6 שימש עברייני סייבר לצורך Cash-out והסתרת תנועת כספים בלתי חוקיים.

Eurojust מסר כי לקוחות עברייניים היו מעבירים נכסים דיגיטליים לארנקים שבשליטת הקבוצה שמאחורי השירות, ולאחר תהליך שנועד לטשטש את מקורם היו מקבלים כספים שהופרדו לכאורה מהמקור הפלילי.

Europol תיאר את הפעילות כשירות הלבנת Cryptocurrency בקנה מידה משמעותי, ששירת בין היתר קבוצות כופרה ורשתות פשיעת סייבר.

מבחינת ארגון שנפגע, אין צורך להבין את המנגנון הטכני של הלבנת הכספים. הנקודה החשובה היא אחרת:

הכסף שמשולם בעקבות אירוע סחיטה אינו בהכרח נשאר אצל האדם או הקבוצה שאיתם הארגון מתקשר. הוא יכול להיכנס למערכת פיננסית עבריינית רחבה בהרבה.

למה עולם הכופרה זקוק לשירותים פיננסיים עברייניים?

היכולת לקבל את הכופר היא רק חלק מהאתגר של קבוצות פשיעה.

השלב הבא הוא לנסות להרחיק את הרווחים מהעבירה שיצרה אותם ולהקטין את היכולת של רשויות אכיפה ומוסדות פיננסיים לקשור בין מקור הכסף לבין פעילות עבריינית.

הצורך הזה יצר שוק לשירותי הלבנת הון מקצועיים ולגורמים נוספים שמסייעים בהעברת נכסים דיגיטליים.

FATF ממשיך להזהיר ב-2026 מפני פערים ביישום רגולציה על Virtual Assets ועל Virtual Asset Service Providers. העדכון השביעי שפרסם הארגון ביולי 2026 בוחן באופן מפורש את הפערים שנותרו ביישום דרישות AML/CFT בעולם הנכסים הווירטואליים.

גם בישראל, הרשות לאיסור הלבנת הון ומימון טרור ממשיכה לעדכן את ההנחיות והמסגרות החלות על נותני שירותים פיננסיים, לרבות שירותים בנכסים פיננסיים.

ומה לגבי גורמים לגיטימיים שמסייעים לארגון בזמן אירוע?

כאן חשוב לבצע הבחנה ברורה.

יש הבדל מהותי בין שירות פיננסי פלילי שנועד להסתיר הכנסות עברייניות, לבין חברות Incident Response, יועצים משפטיים, חברות ביטוח, חוקרים או גורמים אחרים שמלווים ארגון לגיטימי בזמן אירוע.

עם זאת, עצם השימוש בגורם מקצועי אינו פוטר את הארגון מבדיקות.

כאשר צד שלישי מעורב במשא ומתן, בבדיקת האפשרויות או בתהליך הקשור להעברת כספים, הנהלה צריכה להבין:

• מי הגורם שנבחר ומה הניסיון שלו
• אילו בדיקות Due Diligence בוצעו
• לאיזה מידע הוא נחשף
• האם קיימים ניגודי עניינים
• באילו תחומי שיפוט הוא פועל
• מהן ההשלכות הרגולטוריות והמשפטיות האפשריות

כשהגורם שאמור לעזור הופך לחלק מהסיכון

אירועי אכיפה שפורסמו בארה"ב ב-2026 חשפו סיכון חריג אך חשוב:
אנשי מקצוע מתוך תעשיית ה-Incident Response והמו״מ מול קבוצות כופרה ניצלו את הגישה והאמון שניתנו להם כדי לשתף פעולה עם תוקפים.
באחד המקרים שתועדו על ידי משרד המשפטים האמריקאי, ransomware negotiator העביר ל-BlackCat/ALPHV מידע חסוי על עמדות מו"מ, גבולות ביטוח ושיקולים פנימיים של לקוחות, מידע שסייע לתוקפים להגדיל את דרישות הכופר. במקרים נוספים, אנשי סייבר השתמשו בעצמם בתשתית BlackCat כדי לתקוף קורבנות ולחלוק את ההכנסות עם מפעילי הקבוצה.

חשוב להדגיש: המקרים האלה אינם מעידים על תופעה מערכתית בקרב חברות Incident Response, אלא על ניצול לרעה של תפקיד, מידע וגישה מצד אנשי מקצוע בודדים. עם זאת, הם ממחישים היטב מדוע גם בזמן משבר אסור לוותר על Due Diligence, הפרדת סמכויות, בקרה על מידע רגיש וניהול סיכוני צד שלישי.

ארגון שנעזר בגורם חיצוני לניהול משא ומתן או לטיפול באירוע צריך לדעת מי נחשף למידע, אילו אינטרסים קיימים, מי מפקח על התהליך ואילו מנגנוני בקרה פועלים סביב ההתקשרות.

תשלום כופר אינה רק החלטת IT!

אחת הטעויות הניהוליות האפשריות בזמן אירוע כופרה היא לצמצם את הדיון לשאלה:

כמה יעלה לשלם לעומת כמה יעלה לא לשלם?

בפועל, ההחלטה יכולה לכלול היבטים נוספים:

• משפטיים
• רגולטוריים
• פיננסיים
• ביטוחיים
• פרטיות
• תדמית ומוניטין
• ואף גיאו־פוליטיים.

בארצות הברית, OFAC ממשיך לפעול נגד גורמים שמספקים שירותים לתעשיית הכופרה. ביולי 2026, לדוגמה, משרד האוצר האמריקאי הטיל סנקציות על ספקי תשתיות ושירותים שלפי הממשל סייעו לפעילות של קבוצות כופרה ופושעי סייבר.

לכן, בארגונים הפועלים בזירות בינלאומיות, החלטה משמעותית הקשורה לתשלום אינה צריכה להיות החלטה של צוות IT בלבד.

היא עשויה לערב:

• הנהלה בכירה.
• CISO וצוות Incident Response.
• ייעוץ משפטי.
• Privacy ו-Compliance.
• חברת הביטוח.
• אנשי כספים.
• ובמקרים מסוימים גם רשויות וגופי אכיפה.

הזווית הישראלית: כופרה, קריפטו ורגולציה

גם בישראל החיבור בין עולם הנכסים הדיגיטליים לבין סיכוני הלבנת הון מקבל תשומת לב רגולטורית.

ביולי 2026 פרסם הפיקוח על הבנקים טיוטת עדכון לאסדרה העוסקת בניהול סיכוני איסור הלבנת הון ומימון טרור בעת מתן שירותי תשלום הקשורים לפעילות במטבעות וירטואליים.

במקביל, הרשות לאיסור הלבנת הון ומימון טרור ממשיכה לפרסם ולעדכן מסגרות פיקוח לנותני שירותים פיננסיים, והפעילות מול נכסים דיגיטליים היא כיום חלק בלתי נפרד מעולם ה-AML/CFT בישראל.

• משטרת ישראל ממליצה ככלל שלא לשלם כופר, בין היתר משום שאין ודאות שהתשלום יביא להשבת המידע והוא עלול לעודד המשך סחיטה.
• מערך הסייבר הלאומי מצדו מדגיש שהדרך המרכזית לצמצם את הנזק היא היערכות מוקדמת: גיבויים, הקשחה, ניהול מערכות, מודעות עובדים ותכנון תגובה לאירוע.

אנחנו ממליצים לבחון את הסיכונים ולקבל החלטה הנכונה לארגון.
אבל לפני הכל, ההמלצה שלנו היא עריכת סקר סיכונים לפני שהכל מתחיל על מנת לצמצם הסיכון.

תשלום כופר הוא החלטת ניהול סיכונים

לפני שהנהלה מקבלת החלטות בזמן אירוע, כדאי לענות על מספר שאלות:

מי הגורם שמולו אנחנו מתקשרים?

מה ידוע על קבוצת הסחיטה, ועד כמה ניתן לסמוך על הזיהוי?

מהן המגבלות המשפטיות והרגולטוריות?

האם קיימת חשיפה לסנקציות, מגבלות תשלום, חובות דיווח או דרישות אחרות במדינות שבהן הארגון פועל?

מי הגורמים שמלווים אותנו?

כיצד נבחרו ספקי Incident Response, יועצים או גורמים אחרים, ומהן הבקרות החלות עליהם?

איזה מידע כבר נחשף?

כופרה מודרנית אינה תמיד רק הצפנה. הרשות להגנת הפרטיות מדגישה שאירוע מסוג זה עלול ליצור גם פגיעה קיימת או עתידית בפרטיות כאשר מידע אישי נחשף או קיים חשש שידלוף.

מי מוסמך לקבל החלטה?

האם לארגון קיימת מדיניות מסודרת, מנגנון הסלמה והגדרת סמכויות?

אלו שאלות שעדיף לענות עליהן בשגרה ולא כאשר המערכות מושבתות והארגון נמצא תחת לחץ.

דברו עם המומחים שלנו לייעוץ ראשוני וסקרי סיכונים

הבעיה מתחילה הרבה לפני דרישת התשלום

הדרך האפקטיבית ביותר לצמצם את הסיכון הכלכלי, התפעולי והרגולטורי של כופרה היא להקטין מראש את הסיכוי להגיע בכלל לנקודה שבה הארגון נאלץ לדון בתשלום.

ארגון צריך לבחון באופן שוטף:

• מיפוי נכסים ומידע קריטי
• ניהול הרשאות וזהויות
• הקשחת מערכות
• גיבויים ותרגילי שחזור
• ניהול חולשות ועדכונים
• ניטור וזיהוי אירועים
• הגנה על מידע רגיש
• הדרכות מודעות עובדים לאבטחת מידע
• תרגילי פישינג
• ניהול ספקים וצדדים שלישיים.
• Incident Response ו-BCP.

מידע נוסף במאמר – ניהול סיכוני סייבר בארגון

כדאי לתרגל גם את תרחיש התשלום

ארגונים רבים מבצעים Tabletop Exercise שמתמקד בחדירה, השבתת מערכות או דלף מידע.

אבל תרגיל כופרה איכותי צריך להגיע גם לנקודה שבה ההנהלה נדרשת לקבל החלטות מורכבות:

• האם בכלל מנהלים משא ומתן?
• מי משתתף בקבלת ההחלטה?
• האם פונים לרשויות?
• מהן חובות הדיווח?
• מה קורה אם מידע אישי נגנב?
• ומה עושים אם מתברר שקיימת מגבלה משפטית או רגולטורית על האפשרויות שעומדות בפני הארגון?

המטרה אינה לתרגל כיצד לשלם כופר. המטרה היא לתרגל את תהליך קבלת ההחלטות.

גם הנחיות החירום הממשלתיות בישראל מדגישות שאירוע סייבר אינו אירוע טכנולוגי בלבד ושעלולות להיות לו השלכות תפקודיות, עסקיות ותדמיתיות המחייבות מעורבות של ההנהלה הבכירה.

לא רק Cyber Risk – גם Third-Party Risk

אירוע כופרה מכניס לעיתים במהירות גורמים חיצוניים לתהליכים רגישים מאוד בארגון.

חברות Incident Response, מומחי Forensics, עורכי דין, חברות ביטוח וספקים נוספים עשויים לקבל גישה למידע עסקי, מערכות ותהליך קבלת ההחלטות בזמן שבו הארגון נמצא במצב פגיע במיוחד.

לכן כדאי להגדיר מראש רשימה של ספקים מאושרים ולבחון:

• מה תפקידו של כל ספק.
• לאיזה מידע הוא מקבל גישה.
• אילו חובות סודיות ואבטחת מידע חלות עליו.
• האם קיימים ניגודי עניינים.
• מי מאשר את פעילותו בזמן האירוע.
• ומהן דרישות ה־Compliance הרלוונטיות.

מאקוסיסטם פלילי לחוסן ארגוני

פרשת AudiA6 מראה עד כמה הכופרה התפתחה מעבר למודל הפשוט של "תוקף מול קורבן".

• יש תשתיות
• יש התמחות
• יש שירותים פיננסיים
• יש גם חיבור הולך וגדל בין Cybercrime לבין אינטרסים אידאולוגיים, מדינתיים וגיאו-פוליטיים

עבור CIO, CISO, DPO והנהלות, הלקח המרכזי אינו הצורך להבין כיצד עבריינים מלבינים Cryptocurrency.

הלקח הוא להבין ש-אירוע כופרה הוא אירוע עסקי, משפטי, פיננסי, רגולטורי ולעיתים גם גיאו־פוליטי, בנוסף להיותו אירוע טכנולוגי.

ולכן ההיערכות אליו חייבת להיות ארגונית.

כיצד אינפוגארד יכולה לסייע?

אינפוגארד מסייעת לארגונים לבחון את רמת המוכנות שלהם לאירועי סייבר וכופרה באמצעות סקרי סיכונים, סקירות מערכות ותהליכים, בחינת מדיניות ונהלים, היערכות רגולטורית ופרטיות, הדרכות עובדים ותרגילי Incident Response להנהלות.

המטרה היא לא רק לצמצם את הסיכוי לאירוע, אלא לוודא שכאשר הוא מתרחש קיימים מראש בעלי תפקידים, סמכויות, נהלים ותהליך מסודר לקבלת החלטות.

צרו קשר עם המומחים שלנו לפני Incident Response

אקוסיסטטם ושמו תעשיית הכופרה

תעשיית הכופרה אינה מורכבת רק מתוקף וקורבן, אלא מאקוסיסטם רחב של תשתיות, שירותים וגורמים פיננסיים שמאפשרים לפשיעה לפעול בקנה מידה גדול. במקביל, הגבול בין Cybercrime לבין פעילות מדינתית ומבצעי השפעה הולך ומיטשטש.
עבור ארגונים, המשמעות היא שתשלום כופר אינו רק החלטה טכנולוגית או כספית, אלא החלטה שיכולה לערב משפט, רגולציה, פרטיות, סנקציות וניהול סיכונים.
ארגון שמתכונן מראש — באמצעות סקר סיכונים, תוכנית Incident Response, בחינת ספקים ותרגול הנהלה — נמצא בעמדה טובה יותר לקבל החלטות גם תחת לחץ.

מקורות מרכזיים

• Europol, Ransomware gangs cut off from EUR 336 million ‘AudiA6’ crypto laundering pipeline, 11.6.2026.
• Eurojust, Cryptocurrency money laundering site shut down thanks to coordinated investigation, 11.6.2026.
• INSS, Ari Ben-Am & Vera Michlin-Shapir, The Influence-Cybercrime Nexus, 23.8.2026.
• FATF, Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs, 16.7.2026.
• U.S. Department of the Treasury / OFAC, סנקציות נגד ספקי תשתיות שסייעו לפעילות Ransomware, 13.7.2026.
• בנק ישראל – הפיקוח על הבנקים, טיוטת עדכון לאסדרה בתחום AML/CFT ופעילות במטבעות וירטואליים, 14.7.2026.
• מערך הסייבר הלאומי, מתקפת כופרה, זה העסק שלך! — עודכן 7.9.2025.
• הרשות להגנת הפרטיות, הנחיות בנושא אירועי כופרה והשלכותיהם על מידע אישי.
• משטרת ישראל, מדריך בנושא מתקפות כופרה והמלצה ככלל שלא לשלם דמי כופר.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.

באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב פרטיות,אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).