שבוע הגנת הסייבר 2026: האיומים החדשים, המספרים שמאחוריהם והאנשים שבחזית ההגנה

מזינוק של כ-145% במתקפות הפישינג בישראל ועד התחזויות מבוססות AI, הונאות פיננסיות וטכניקות תקיפה חדשות. סקירת נתוני הסייבר של 2026 חושפת כיצד משתנה מפת האיומים, ומדוע ארגונים צריכים לעבור מהדרכות מודעות לניהול הסיכון האנושי.

מיליארדי דולרים בהונאות דיגיטליות, עלייה חדה במתקפות הפישינג בישראל, התחזויות מבוססות AI ושיטות תקיפה שמאתגרות גם את העובדים וגם את מערכות ההגנה.

מה מגלים דוחות הסייבר המובילים של 2026, ואיך עוברים ממודעות עובדים לניהול אמיתי של הסיכון האנושי?

אוקטובר היה חודש המודעות העולמי לסייבר. נובמבר הוא מבחן המציאות.

בין 8 ל-12 בנובמבר מציינים בישראל את שבוע הגנת הסייבר הלאומי, דווקא בתקופה שבה העולם הדיגיטלי עמוס במיוחד: מבצעי קניות, הודעות משלוח, עסקאות אונליין, שימוש גובר בכלי AI ושגרת עבודה ארגונית שלא עוצרת לרגע.

השנה מתקיים שבוע הגנת הסייבר הלאומי תחת המסר "הגנה בכף היד". המסר מדגיש את האחריות האישית שלנו לפעולות דיגיטליות בטוחות. בעולם הארגוני, ההגנה מתחילה במודעות העובדים וממשיכה בנהלים, בבקרות ובניהול סיכונים מתמשך.

אבל מאחורי ההודעות היומיומיות והקישורים התמימים לכאורה מתפתחת מציאות מורכבת יותר.

התוקפים כבר לא מסתפקים בהודעות פישינג המוניות ובניסיונות לנחש סיסמאות. הם לומדים את הארגון, מזהים בעלי תפקידים, מתחזים לספקים ולמנהלים ומשתמשים בבינה מלאכותית כדי לייצר תוכן שנראה, נשמע ומרגיש אמיתי. במקביל, חלק מהמתקפות מנסות להשפיע לא רק על האנשים שקוראים את ההודעות, אלא גם על כלי ה-AI שמסייעים להם בעבודה.

השאלה המרכזית כבר אינה רק האם העובדים יודעים לזהות הודעה חשודה, אלא האם הארגון יודע לזהות, למדוד ולנהל את הסיכונים שנוצרים במפגש בין אנשים, טכנולוגיה ותהליכים עסקיים.

לרגל שבוע הסייבר 2026, ריכזנו את הנתונים, המגמות ושיטות התקיפה הבולטות בישראל ובעולם, ובחנו מה הן מלמדות אותנו על עתיד אבטחת המידע ועל מקומו של הגורם האנושי בהגנה הארגונית.

חלק ראשון | תמונת המצב: איומי הסייבר במספרים

1. כמעט 21 מיליארד דולר: המחיר של פשיעת הסייבר

כדי להבין את ממדי התופעה, כדאי להתחיל דווקא בכסף.

לפי דוח פשיעת האינטרנט של ה-FBI לשנת 2025, שפורסם באפריל 2026, התקבלו במרכז IC3 למעלה ממיליון תלונות על פשיעת אינטרנט בארצות הברית. ההפסדים הכספיים המדווחים התקרבו ל-21 מיליארד דולר.

מתוך סכום זה, יותר מ-17.7 מיליארד דולר יוחסו להונאות שבוצעו באמצעות טכנולוגיות דיגיטליות. בין סוגי הפשיעה הבולטים במספר התלונות היו פישינג והתחזות, סחיטה והונאות השקעה.

לא כל פשיעת אינטרנט היא פריצה למערכת מחשוב, ולא כל אירוע סייבר מסתיים בגניבת כסף. ובכל זאת, הנתונים ממחישים את הממד הכלכלי של האיום.

הסיכון העסקי אינו מסתכם בסכום שנגנב מחשבון בנק. אירוע סייבר יכול להוביל להשבתת מערכות, אובדן מידע, פגיעה בפעילות השוטפת, עלויות התאוששות, השלכות רגולטוריות ופגיעה באמון הלקוחות.

לפי דוח IBM Cost of a Data Breach 2026, העלות הממוצעת של אירוע דליפת מידע בארגונים שנכללו במחקר הגיעה ל-4.99 מיליון דולר, עלייה של 12% ביחס לשנה הקודמת.

אלה שני מדדים שונים: הפסדים מדווחים מפשיעת אינטרנט לעומת עלות ממוצעת של דליפת מידע, אבל שניהם מובילים לאותה מסקנה: סייבר הפך מזמן מסוגיה טכנולוגית לסיכון עסקי שדורש תשומת לב ניהולית.

2. דוחות מובילים, תמונה אחת של עולם האיומים

שנת 2026 מספקת שורה של מחקרים המאפשרים להבין לא רק את היקף התקיפות, אלא גם את השינוי בשיטות הפעולה של התוקפים.

דוח Verizon DBIR 2026 מצא כי ניצול חולשות תוכנה הפך לנתיב החדירה הראשוני הנפוץ ביותר בפריצות שנבדקו, עם שיעור של 31%. כופרה הייתה מעורבת ב-48% מהפריצות, וגם מעורבותם של ספקים וצדדים שלישיים הפכה למרכיב משמעותי יותר בסיכון הארגוני.

דוח Microsoft Digital Defense Report 2026 מדגיש את התקצרות הזמנים בין גילוי חולשה לניצולה, את ההתרחבות של מתקפות על זהויות ואת השימוש בבינה מלאכותית להאצת שלבים שונים בשרשרת התקיפה.

מחקרי Fortra, המתמקדים בין היתר בפישינג ובהונאות עסקיות, מדגישים צד נוסף של התמונה: גם כאשר קיימות שכבות הגנה טכנולוגיות, התוקפים ממשיכים לנסות להשפיע על ההחלטות והפעולות של המשתמשים.

כשמחברים את הממצאים, עולה תמונה של מתקפות מהירות, מגוונות וממוקדות יותר, שעוברות בין מערכות, זהויות, ספקים ואנשים.

אין צורך להעמיק כאן בכל נתוני Verizon. למי שרוצה להבין את משמעות הממצאים עבור המשק הישראלי, הרחבנו עליהם במאמר דוח DBIR 2026: מגמות הסייבר והמשמעות לישראל.

הלקח המרכזי הוא שההגנה הארגונית חייבת להיות רב-שכבתית. טכנולוגיה, עובדים, הרשאות, ספקים ותהליכי עבודה אינם עולמות נפרדים, הם חלקים של אותה מפת סיכונים.

3. ומה בישראל? עלייה חדה בפישינג ומציאות ביטחונית מורכבת

גם בישראל הנתונים מצביעים על התעצמות האיומים.

על פי נתוני מערך הסייבר הלאומי שפורסמו ב-4 בנובמבר 2026, מתחילת השנה התקבלו במערך יותר מ-26 אלף דיווחים מאזרחים ומארגונים על חשדות למתקפות סייבר מסוגים שונים. יותר מ-5,000 מהאירועים נגעו למערכות מחשוב ארגוניות.

הנתון הבולט במיוחד הוא עלייה של כ-145% במתקפות פישינג לעומת השנה הקודמת, לפי נתוני מערך הסייבר הלאומי.

חשוב להבחין בין דיווח על חשד למתקפה לבין פריצה שהצליחה בפועל.
לא כל אירוע מדווח מעיד על פגיעה או על נזק, אך היקף הדיווחים והעלייה בפישינג ממחישים את עומס האיומים שעמו מתמודדים הציבור והארגונים בישראל.

למציאות המקומית יש גם מאפיינים ייחודיים. לצד פשיעת סייבר שמטרתה רווח כספי, ישראל מתמודדת עם איומים על רקע גיאופוליטי, ניסיונות ריגול, פעילות של גורמי תקיפה מדינתיים ופגיעה אפשרית בארגונים ובתשתיות חיוניות.

ההשוואה לעולם אינה פשוטה: דוחות בינלאומיים מודדים לעיתים פריצות מאומתות, בעוד שגופים מקומיים מפרסמים גם נתוני דיווח וחשד. לכן לא ניתן לקבוע מהנתונים האלה שישראל מותקפת בשיעור מסוים יותר ממדינה אחרת.

אבל התמונה המקומית ברורה מספיק: ארגונים ישראליים נדרשים להביא בחשבון גם את מגמות התקיפה הגלובליות וגם את מאפייני האיום בסביבה שבה הם פועלים.

להרחבה על הענפים החשופים, שיטות התקיפה וההיערכות לשנה הבאה, אפשר לקרוא את מפת איומי הסייבר בישראל 2026.

חלק שני | מפת המתקפות: האיומים מגיעים קרוב יותר לאנשים

4. המנכ"ל שלח מייל דחוף. האם זה באמת הוא?

דמיינו עובד במחלקת הכספים שמקבל הודעה לכאורה מהמנכ"ל:

"צריך להסדיר את התשלום הזה עוד היום באישור שלי. בבקשה לטפל בדחיפות."

להודעה מצורפת חשבונית. שם הספק מוכר, הניסוח מקצועי ואפילו מופיעה שרשרת התכתבויות קודמת.

הבעיה? שום דבר מזה אינו מבטיח שההודעה אמיתית.

מתקפות Business Email Compromise, או BEC, מתבססות על התחזות לגורם עסקי מוכר כדי לגרום להעברת כספים, שינוי פרטי תשלום או חשיפת מידע רגיש.

המחקר של Fortra שפורסם במסגרת דוח APWG לרבעון השני של 2026 מצא עלייה של 88% במתקפות BEC המבקשות העברה בנקאית לעומת הרבעון הקודם. סכום ההעברה הממוצע שהתוקפים ביקשו הגיע ל-61,732 דולר.

אלה סכומים שהתוקפים ניסו לקבל, ולא בהכרח כסף שנגנב בפועל.

התקפות מסוג זה מדגימות כיצד הסיכון נוצר במפגש שבין האדם לתהליך העסקי. גם עובד שמכיר היטב את כללי אבטחת המידע עשוי להתקשות לזהות בקשה חריגה כאשר היא מגיעה לכאורה מגורם בכיר, בזמן לחץ ובתוך תהליך מוכר.

לכן, ההגנה אינה יכולה להסתפק בהדרכה. היא צריכה לכלול גם נוהלי אימות, הפרדת סמכויות, אישור כפול בעסקאות רגישות ואימות עצמאי של בקשות לשינוי פרטי תשלום.

5. Spear Phishing: כשהתוקף כבר יודע למי הוא פונה

אחד הטרנדים המשמעותיים בתחום ההנדסה החברתית הוא התרחבות היכולת לבצע פישינג ממוקד ומותאם אישית.

Spear Phishing אינו מושג חדש. מדובר במתקפה שמותאמת לאדם מסוים, לתפקיד שלו או לארגון שבו הוא עובד, בניגוד לפישינג כללי שנשלח למספר גדול של נמענים.

מה שהשתנה הוא היכולת של התוקפים לאסוף מידע גלוי, לנתח אותו ולנסח הודעות אישיות ומשכנעות במהירות באמצעות כלי AI.

מחקר שהוצג בכנס USENIX Security 2026, בהשתתפות 7,700 נבדקים, מצא כי הודעות Spear Phishing שהותאמו אישית באמצעות מודלי שפה השיגו שיעור הקלקה גבוה כמעט פי שלושה מהודעות פישינג כלליות במסגרת הניסוי.

התוצאה אינה אומרת שכל מתקפת AI מצליחה פי שלושה, אבל היא מדגימה את כוחה של התאמה אישית.

התוקף עשוי לדעת באיזה תפקיד העובד מועסק, עם אילו ספקים הוא עובד, אילו פרויקטים הוא מקדם ואילו אירועים ארגוניים עשויים להיות רלוונטיים עבורו.

במקום הודעה כללית על זכייה בפרס, העובד מקבל לכאורה מסמך שקשור למשימה שהוא באמת מבצע.

דווקא העובדה שהמייל נראה רלוונטי, מקצועי ואישי הופכת אותו למסוכן יותר.

לכן סימני האזהרה המסורתיים, כגון שגיאות כתיב או עיצוב לקוי, כבר אינם מספיקים. צריך לשים דגש על אימות מקור ההודעה, הקשר הבקשה, הרשאות הגישה והפעולה שהשולח מבקש לבצע.

על האופן שבו דיוג ממוקד פועל ועל הכלים לזיהויו הרחבנו במאמר Spear Phishing: כשהתוקף כבר יודע למי הוא פונה.

6. לא תמיד צריך לגנוב סיסמה: כשהתוקף גורם לעובד לבצע את הפעולה

לצד ההתחזויות המוכרות, מתרחבות שיטות שבהן התוקף אינו מבקש ישירות את הסיסמה, אלא גורם למשתמש לבצע בעצמו פעולה מסוכנת.

אחת מהן היא ClickFix.

העובד נתקל בהודעת שגיאה, בבדיקת CAPTCHA מזויפת או בהנחיה לתיקון בעיה בדפדפן. כדי להמשיך, הוא מתבקש להעתיק פקודה ולהריץ אותה במחשב.

לכאורה מדובר בפעולה טכנית פשוטה. בפועל, הפקודה עלולה להפעיל קוד זדוני.

לפי Microsoft Digital Defense Report 2026, בין פברואר לתחילת מאי 2026 זוהתה הפעלה של פקודות זדוניות בסגנון ClickFix ביותר מ-1.1 מיליון מכשירים ייחודיים בטלמטריה של Microsoft Defender.

שיטות נוספות מנסות לנצל תהליכי התחברות והרשאה, למשל באמצעות דפי כניסה מתחזים, קודי QR או בקשות לאישור גישה לאפליקציות ענן.

המסר לעובדים משתנה בהתאם:
לא מספיק להיזהר מקישור לא מוכר. חשוב להבין שגם בקשה להריץ פקודה, להזין קוד אימות או לאשר הרשאה חדשה עשויה להיות חלק ממתקפה.

ומה אם העובד כבר לחץ או אישר פעולה חשודה?

כאן נכנסים לתמונה גם זיהוי אירועים ותגובה מהירה.
במאמר לחצו על מייל פישינג? עכשיו מתחיל החלק החשוב באמת הסברנו מדוע טיפול מקצועי צריך לבחון גם מה קרה לאחר הפעולה, לרבות גניבת הרשאות, השתלטות על חשבון ופעילות חריגה במערכות הארגון.

7. המייל מסתיר טקסט שהעובד בכלל לא רואה – ASCII Smuggling

אחת ההתפתחויות המסקרנות של 2026 היא השימוש בתווים בלתי נראים בתוך הודעות דוא"ל.

במחקר שפרסמה Microsoft בספטמבר 2026 תואר קמפיין פישינג שהשתמש בתווי Unicode מוסתרים בתוך מילים בעלות הקשר פיננסי.

העובד רואה מילה רגילה, אך חלק ממנגנוני עיבוד הטקסט עלולים לקבל רצף תווים שונה. כך מנסים התוקפים להקשות על מערכות שמבוססות על זיהוי מילות מפתח או על ניתוח טקסט אוטומטי.

הטכניקה מוכרת בין היתר בשם ASCII Smuggling, אף שבמקרה שתיארה Microsoft השימוש המרכזי היה הסתרת חלקים ממילים ממערכות סינון, ולא החדרת הוראות למודל AI.

ביום שיא בפברואר 2026 זוהו יותר מ-2.3 מיליון הודעות שהתאימו לחתימת הזיהוי של הטכניקה. עם זאת, Microsoft ציינה שרובן זוהו גם באמצעות שכבות הגנה אחרות.

חשוב להבין: זו אינה מתקפה שהעובד אמור לזהות באמצעות הסתכלות על הטקסט. היא מדגישה דווקא את החשיבות של בקרות טכנולוגיות מתקדמות לצד מודעות אנושית.

בהמשך נראה כיצד טכניקות דומות משמשות גם להחדרת הוראות זדוניות לעוזרי AI.

8. נובמבר: כשהמבצע, המשלוח וההנחה הופכים להזדמנות לתקיפה

אם יש חודש שבו קל יותר לייצר תחושת דחיפות אצל הצרכנים, נובמבר הוא מועמד טבעי.

Black Friday, Shopping IL, Cyber Monday ושלל מבצעי קניות מייצרים זרם של פרסומות, הודעות משלוח, אישורי תשלום, קופונים ועדכוני הזמנה.

בתוך העומס הזה, הודעה על חבילה שממתינה לשחרור או בקשה לעדכן פרטי תשלום עשויה להיראות הגיונית לחלוטין.

לכן לתקופות קניות יש ערך מיוחד עבור תוקפים. הם יכולים להשתמש באירועים אמיתיים כדי להפוך הודעות מתחזות למשכנעות יותר.

ב-1 בנובמבר 2026 פרסם מערך הסייבר הלאומי אזהרה ייעודית לחודש הקניות, ובה התייחס לאתרי קניות מתחזים, הודעות משלוח מזויפות ולשימוש בבינה מלאכותית ליצירת תשתיות הונאה.

לא כל הונאות הקניות מתרחשות דווקא בנובמבר, ולא כל מחקר מצביע על אותו שיא עונתי. אבל ברור שהתוקפים מנצלים אירועים, חגים, מבצעים ונסיבות אקטואליות כדי להתאים את המסרים שלהם להתנהגות המשתמשים.

החיבור לאבטחת המידע הארגונית חשוב במיוחד.

העובד הוא גם צרכן פרטי. לעיתים הוא משתמש באותו טלפון לצורך עבודה וקניות, באותו דפדפן ובאותם שירותי דוא"ל וענן.

גניבת פרטי גישה, התקנת אפליקציה זדונית או פגיעה במכשיר שמשמש גם לעבודה עלולות ליצור חשיפה החורגת מהמרחב האישי.

ריכזנו המלצות מעשיות במדריך חודש הקניות ברשת: 12 טיפים לקנייה בטוחה ולהגנה מפישינג.

הרגלים דיגיטליים בטוחים אינם מסתיימים בכניסה למשרד. הם מלווים את העובד לאורך כל היום.

חלק שלישי | עידן הבינה המלאכותית: כשהגבול בין אמיתי למזויף מיטשטש

9. Deepfake, שכפול זהות, קול והתחזות: האם אפשר לסמוך על מה שרואים ושומעים?

עד לא מזמן, שיחת טלפון ממנהל מוכר או שיחת וידאו עם אדם שמזהים היו עשויות להיתפס כאמצעי אימות משכנע.

היום, גם זה כבר אינו מובן מאליו.

כלי בינה מלאכותית מאפשרים לייצר קולות סינתטיים, תמונות, סרטונים וטקסטים משכנעים. הם יכולים לסייע לתוקפים לחקות סגנון דיבור, להתחזות לאדם מוכר ולייצר תחושת אמינות סביב בקשה מזויפת.

לפי מחקר IBM לשנת 2026, אחת מכל ארבע פריצות זדוניות במדגם כללה שימוש של התוקפים ב-AI. מספר המתקפות הללו גדל ב-56% לעומת השנה הקודמת, כאשר התחזויות Deepfake ונוזקות בסיוע AI נמנו עם השיטות הבולטות.

הנתון אינו אומר שכל מתקפת סייבר משתמשת ב-Deepfake, אבל הוא מצביע על מגמת האצה ברורה.

דמיינו מנהל כספים שמקבל שיחת טלפון בקולו המוכר של המנכ"ל, עם בקשה דחופה לבצע העברה או לשנות פרטי תשלום.

גם אם הקול נשמע מוכר, ההחלטה אינה יכולה להתבסס על הזיהוי הקולי בלבד.

ארגונים צריכים להגדיר כללי אימות עצמאיים לבקשות רגישות, במיוחד כאשר מדובר בהעברות כספים, שינוי הרשאות או שיתוף מידע סודי.

במקביל, נדרשת גם אוריינות חדשה של העובדים – היכולת להבין מה AI מסוגל לעשות, היכן הוא עלול להטעות וכיצד משתמשים בו באופן בטוח. על כך הרחבנו במאמר AI Literacy: האוריינות החדשה שכל ארגון צריך להכיר.

10. הסיכון החדש: לא רק להטעות את העובד, אלא גם את כלי ה-AI שלו

הבינה המלאכותית משנה את עולם הסייבר משני כיוונים.

מצד אחד, תוקפים משתמשים בכלי AI כדי לשפר מתקפות.
מצד שני, עובדים משלבים AI בשגרת העבודה: כתיבת מסמכים, סיכום הודעות, ניתוח קבצים, שירות לקוחות וקבלת החלטות.

השימוש הזה מייצר שתי חשיפות חדשות.

הראשונה היא חשיפת מידע ארגוני.

עובד שמעלה מסמך סודי, מידע על לקוחות או נתונים עסקיים לכלי AI חיצוני ללא אישור עלול ליצור סיכון אבטחת מידע ופרטיות, גם כאשר מטרתו היא רק לייעל את העבודה.

התופעה מוכרת בשם Shadow AI, וניתן להעמיק בה במאמר Shadow AI בארגון: סיכונים, אבטחת מידע וממשל AI.

החשיפה השנייה חדשה ומורכבת יותר: החדרת הוראות זדוניות למערכות AI, המכונה Prompt Injection.

באוקטובר 2026 פרסמה חברת Sublime Security מחקר על ניסיון הונאת חשבוניות שנשא שני מסרים שונים בתוך אותה הודעת דוא"ל.

לעובד האנושי הוצגה בקשה דחופה לתשלום חשבונית מזויפת בסכום של כ-88 אלף דולר, כולל שרשרת התכתבויות לכאורה והתחזות לבכירים.

אבל בתוך תוכן ההודעה הוטמעו גם הוראות מוסתרות, שנועדו להשפיע על עוזר AI שקורא את הדוא"ל ולגרום לו להעביר את ההודעה והחשבונית לגורם במחלקת הנהלת החשבונות.

לא פורסמה הוכחה לכך שעוזר AI אכן ביצע את הפעולה או שהכסף הועבר. מדובר בניסיון תקיפה שתועד ונחקר.

ובכל זאת, המשמעות מרחיקת לכת.

כאשר מערכת AI יכולה לקרוא מיילים, לגשת למסמכים ולהפעיל פעולות בשם המשתמש, תוכן חיצוני אינו רק מידע לקריאה – הוא עלול להיות גם מקור להוראות זדוניות.

ההתמודדות עם סיכון כזה אינה מסתכמת בהדרכת העובד. נדרשים ניהול הרשאות, הפרדה בין מידע להוראות, בקרות על אוטומציה ואישור אנושי לפעולות רגישות.

זו גם הסיבה שתחום AI Governance וניהול סיכוני AI בארגון הופך לחלק בלתי נפרד מאסטרטגיית אבטחת המידע.

חלק רביעי | הגורם האנושי: מחוליה חלשה לשכבת הגנה משמעותית

11. הגורם האנושי במספרים: עד כמה העובדים מעורבים באירועי סייבר?

אחרי שסקרנו את שיטות התקיפה, קל להבין מדוע הגורם האנושי נמצא במוקד תשומת הלב של ארגונים.

לפי Verizon DBIR 2026, הגורם האנושי היה מעורב ב-62% מהפריצות שנבדקו.

אבל חשוב לדייק: מעורבות של הגורם האנושי אינה אומרת שכל אותן פריצות נגרמו מרשלנות עובדים.

היא עשויה לכלול הנדסה חברתית, גניבת פרטי גישה, שימוש לרעה בהרשאות וטעויות אנוש. במקרים אחרים, דווקא היעדר בקרות ארגוניות מתאימות מאפשר לתוקף לנצל פעולה אנושית רגילה.

ממצאים מעניינים נוספים מגיעים ממחקר Fortra שהתפרסם ביוני 2026.

דוח 2025 Phishing Simulation Benchmark Report התבסס על כ-14 מיליון נמענים בסימולציות פישינג, ביותר מ-7,500 קמפיינים.

הממצאים המרכזיים:

• 5.42% הקליקו על קישור בהודעת פישינג מדומה.
• 1.99% הזינו פרטים בטופס פישינג מדומה.
• 10.5% בלבד דיווחו על הודעות הפישינג המדומות.

מקור: Fortra Phishing Simulation Benchmark Report.

מדובר בנתוני סימולציות של ארגונים שהשתתפו במחקר, ולא בשיעורי הצלחה של פריצות אמיתיות.

אחד הממצאים החשובים ביותר אינו דווקא שיעור ההקלקות – אלא שיעור הדיווח.

הרי עובד שלא הקליק על הודעה חשודה עשה צעד נכון. אבל עובד שמזהה ניסיון תקיפה ומדווח עליו מאפשר גם לצוות האבטחה לבדוק האם אותה הודעה הגיעה לעובדים נוספים ולפעול לפני שנגרם נזק.

כאן נכנס לתמונה המושג Human Firewall – חומת האש האנושית. בדומה למערכות ההגנה הטכנולוגיות, גם העובדים יכולים לשמש שכבת הגנה פעילה בארגון. עובדים שמזהים ניסיונות התחזות, מאמתים בקשות חריגות ומדווחים על איומים בזמן, מסייעים לבלום מתקפות לפני שהן מתפתחות לאירוע סייבר. כדי לבנות חומת אש אנושית אפקטיבית, ארגונים צריכים לשלב הדרכות, תרגול מתמשך, נהלים ברורים ותרבות דיווח חיובית.

ההבדל בין עובד שלא נפל בפח לבין עובד שמסייע למנוע מתקפה ארגונית הוא משמעותי.

כאן בדיוק משתנה התפיסה: העובדים אינם רק מקור אפשרי לסיכון. כשהם מקבלים ידע, כלים ונהלים מתאימים, הם יכולים להיות שכבת זיהוי והגנה חשובה.

לכן חשוב גם לשנות את אופן המדידה.

במקום להסתפק בשאלה כמה עובדים השתתפו בהדרכה, כדאי לבחון אילו תפקידים נמצאים בחשיפה גבוהה יותר, אילו טעויות חוזרות בסימולציות, כמה עובדים מדווחים על איומים וכיצד ההתנהגות משתפרת לאורך זמן.

הדרכות מודעות לאבטחת מידע הן חלק חשוב מהתהליך, אבל הן צריכות להתאים לאנשים, לתפקידים ולסיכונים האמיתיים בארגון.

גם תרגילי פישינג מתקדמים אינם צריכים להיות רק מבחן הקלקות, אלא כלי לתרגול, לזיהוי פערים ולשיפור מוכנות העובדים מול מתקפות שמשתנות לאורך הזמן.

השלב הבא הוא להפוך את חומת האש האנושית ממושג של מודעות לתהליך מדיד של ניהול הסיכון האנושי בארגון – Human Risk Management.

12. מהדרכות מודעות לניהול הסיכון האנושי: השלב הבא בהגנה הארגונית

השאלה שארגונים צריכים לשאול אינה רק האם העובדים מכירים את איומי הסייבר.

השאלה החשובה יותר היא: האם הארגון יודע היכן נמצאים הסיכונים הקשורים לגורם האנושי, מהי משמעותם העסקית וכיצד ניתן לצמצם אותם?

במשך שנים התמקדו תוכניות מודעות בהדרכות תקופתיות, במצגות ובתרגילי פישינג. פעילויות אלה חשובות גם היום, אך כאשר סביבת האיומים משתנה במהירות, נדרש להסתכל על התמונה הרחבה.

הגישה של Human Risk Management, או ניהול הסיכון האנושי, מחברת בין מודעות, התנהגות, חשיפה, תהליכים עסקיים ובקרות אבטחת מידע.

המשמעות היא לעבור ממדידה של פעילויות למדידה של סיכונים.

למשל, במקום להסתפק בנתון שלפיו 95% מהעובדים עברו הדרכת אבטחת מידע, ננסה להבין האם העובדים במחלקת הכספים יודעים לזהות ניסיון הונאה, האם הם פועלים בהתאם לנוהל אימות התשלומים והאם קיימות בקרות שמונעות העברה לא מורשית.

במקום להסתפק בהדרכה כללית על AI, נבחן אילו מחלקות משתמשות בכלים חיצוניים, איזה מידע הן משתפות והאם קיימת מדיניות ברורה לגבי מידע שאסור להזין למערכות אלה.

ובמקום למדוד רק הקלקות בסימולציות פישינג, נבחן גם דיווחים, זמני תגובה, שיפור התנהגותי וסיכונים חוזרים.

ניהול הסיכון האנושי אינו ניסיון להטיל על העובדים את האחריות הבלעדית לאבטחת המידע. להפך: הוא נועד לחבר בין העובדים, ההנהלה, נהלי העבודה ושכבות ההגנה הטכנולוגיות.

הרחבנו על השינוי הזה במאמר Human Risk Management: איך הופכים את הסיכון האנושי לסיכון שאפשר לנהל?.

בפועל, התהליך מתחיל במיפוי של תפקידים, נכסי מידע, התנהגויות ותהליכים עסקיים בעלי חשיפה מוגברת. ממשיך בהגדרת תוכנית הדרכות ותרגול מותאמת, ומשלב בקרות, מדידה ופעולות לשיפור מתמשך.

כך, לדוגמה, אפשר לחבר את הממצאים מתרגילי פישינג או מבדיקות מודעות לתהליכי סקר סיכוני אבטחת מידע וסקרי פערים, ולבחון את הסיכון האנושי כחלק מתמונת הסיכונים הכוללת של הארגון.

זו תפיסה שמאפשרת להנהלה לקבל החלטות טובות יותר: היכן להשקיע בהדרכה, היכן נדרשת בקרה נוספת, אילו אוכלוסיות חשופות יותר וכיצד מודדים את השינוי לאורך זמן.

כאשר שבוע הסייבר מסתיים, האחריות להגנה על המידע נשארת.

שבוע הגנת הסייבר הלאומי הוא הזדמנות מצוינת להעלות את הנושא לסדר היום הארגוני. אבל המסקנה מהנתונים ומהמגמות של 2026 ברורה:
אי אפשר לבסס הגנה ארגונית על שבוע מודעות אחד, על הדרכה שנתית או על מערכת אבטחה בודדת.

המתקפות מתפתחות. הן מנצלות חולשות טכנולוגיות, זהויות, יחסי אמון, הרגלי עבודה, שירותי ענן וכלי AI.

התגובה הארגונית צריכה להתפתח בהתאם.

באינפוגארד אנחנו מאמינים שהגנת סייבר אפקטיבית מתחילה בהבנה של הסיכונים האמיתיים לארגון, וממשיכה בחיזוק האנשים, התהליכים ושכבות ההגנה שמסביבם.

המטרה אינה לייצר עובדים שחוששים מכל הודעה או קישור. המטרה היא לבנות תרבות ארגונית שבה עובדים יודעים לזהות חריגות, לאמת בקשות רגישות, לדווח בזמן ולפעול במסגרת תהליכים בטוחים.

זו הדרך לעבור מהדרכות מודעות נקודתיות לניהול סיכונים מתמשך, ממדידת ידע למדידת מוכנות, ומהתייחסות לגורם האנושי כאל חוליה חלשה להתייחסות אליו כחלק משמעותי ממעטפת ההגנה.

InfoGuard – מחזקים את הגורם האנושי. מנהלים את הסיכונים. יוצרים סביבה ארגונית בטוחה יותר.
ה-Scope, דרך Risk Assessment, מדיניות, בקרות ו-Evidence ועד למוכנות מלאה להסמכת ISO 27001.

דברו איתנו

מקורות מרכזיים

• מערך הסייבר הלאומי – נתוני איומי הסייבר בישראל ושבוע הגנת הסייבר 2026
• FBI – 2025 Internet Crime Report (IC3), April 2026
• Verizon – 2026 Data Breach Investigations Report (DBIR)
• IBM – Cost of a Data Breach Report 2026
• Microsoft – Digital Defense Report 2026
• Fortra – 2025 Phishing Simulation Benchmark Report, June 2026
• APWG / Fortra – Phishing Activity Trends Report, Q2 2026
• USENIX Security 2026 – A Large-Scale Study of Personalized Phishing Using Large Language Models
• Microsoft Security Research – ASCII Smuggling: From AI Prompt Injection to Phishing Evasion, September 2026
• Sublime Security – Invoice Fraud Campaign Adds Prompt Injection Aimed at Email AI Agents, October 2026

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.

באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.
ואנחנו נשמח לעזור.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).