בעמוד הזה
מה זה כופרה?
כופרה (Ransomware) היא אחד האיומים המשמעותיים על ארגונים. התוקפים נכנסים לרשת, לרוב דרך פישינג, סיסמה שנגנבה או חולשה בשרת חשוף, נעים בה לפעמים ימים ושבועות, משיגים הרשאות ניהול ומוחקים גיבויים. רק אז הם מפעילים הצפנה על כל המערכות בבת אחת.
היום רוב הקבוצות פועלות במודל של סחיטה כפולה: הן גונבות מידע לפני ההצפנה ומאיימות לפרסם אותו. חלקן אף מוותרות על ההצפנה ומסתפקות בגניבה ובאיום.
דוגמה מהשטח
יום שני בבוקר, שום מחשב לא עולה. במשרדים של חברת לוגיסטיקה כל המסכים מציגים הודעת כופר. החקירה מגלה שהתוקפים נכנסו שלושה שבועות קודם דרך חשבון VPN בלי MFA, מחקו את הגיבויים המקוונים והוציאו כמות גדולה של מידע. החברה מתאוששת מגיבוי לא מקוון, אבל עדיין צריכה לטפל בדליפה ובדיווח לרשויות.
להתגונן לפני, בזמן ואחרי
| שלב | מה עושים |
|---|---|
| לפני | MFA, עדכוני אבטחה, EDR, גיבויים לא מקוונים ותרגול |
| בזמן | בידוד מחשבים, ניתוק מהרשת, הפעלת צוות תגובה |
| אחרי | שחזור מסודר, חקירה, דיווח לרשויות ותיקון הפרצה |
רכיבים מרכזיים
איך זה עובד
- חדירה
התוקף משיג גישה ראשונית לרשת.
- התבססות
הרשאות ניהול, מיפוי הרשת ומחיקת גיבויים.
- גניבה
הוצאת מידע רגיש מהארגון.
- הצפנה
הפעלת הכופרה על כל המערכות.
- סחיטה
דרישת תשלום ואיום בפרסום המידע.
שאלות נפוצות
האם לשלם כופר?
רשויות האכיפה ממליצות לא לשלם: אין ערובה שהמפתח יעבוד או שהמידע יימחק, והתשלום מממן את המתקפה הבאה. ההחלטה צריכה להתקבל עם יועץ משפטי וצוות תגובה מקצועי.
האם גיבוי מספיק נגד כופרה?
גיבוי לא מקוון ומתורגל הוא קריטי לשחזור, אבל הוא לא מונע את הדליפה. לכן צריך גם מניעה, ניטור ותגובה מהירה.
איך מזהים כופרה לפני ההצפנה?
עם ניטור EDR וצוות SOC שמזהים את השלבים המוקדמים: התחברות חריגה, השגת הרשאות, מחיקת גיבויים והוצאת מידע בכמות גדולה.