איך מגינים על העסק מפני מתקפת כופרה?

מה בפועל קורה

דיאגרמת הסבר מקורית — בר-טק (לא צילום מוצר).

רוב המקרים מתחילים בדוא"ל, RDP חשוף, או חשבון עם הרשאות רחבות מדי. התוכנה מצפינה קבצים ו-share — לא "רק מחשב אחד".

תאריך אימות: 14.10.2026.

1. גיבוי — שאפשר לשחזר, לא רק "יש בקלוד"

• 3-2-1: 3 עותקים, 2 מדיה, 1 מחוץ לרשת (או immutable).
• Restore test — פעמיים בשנה. גיבוי שלא נבדק = ניחוש.
• Offline / immutable: snapshot שלא נמחק ב-batch script — קריטי נגד ransomware.

טעות: גיבוי על אותו NAS שממופה כ-Z: לכולם.

2. MFA וזהויות

• MFA על Microsoft 365, VPN, RDP Gateway, כלי ניהול.
• חשבון Domain Admin נפרד — לא לדוא"ל יומי.
• ביטול גישה ביום העזיבה.

3. Patch — prioritization

• Windows / macOS — automatic.
• FortiGate, VPN, NAS, ESXi — לא "כשיהיה זמן".
• עקבו אחרי Fortinet PSIRT אם יש FortiMail/FortiGate (ראו מאמר אוקטובר 2026).

4. Endpoint

• EDR / Defender for Business — לא רק antivirus ישן.
• חסימת macros לא מוכרות, הגבלת USB אם רלוונטי.

5. רשת — segmentation בסיסי

• VLAN: שרתים / עובדים / אורחים / מצלמות.
• RDP — לא פתוח ל-0.0.0.0; VPN + MFA.

6. ניטור והגיבוי לאירוע

• התראות על Volume Shadow Delete, mass rename, login ממדינה חריגה.
• תוכנית: מי מחליט לנתק VLAN? מי מדבר עם ביטוח?

בדיקת שחזור — שעה אחת שחוסכת שבועות

1. בחרו VM או תיקייה מתוך הגיבוי (לא production).
2. שחזרו למיקום מבודד — לא מעל הקבצים הקיימים.
3. פתחו קובץ Office/PDF אמיתי ובדקו hash או תאריך.
4. תעדו כמה זמן לקח — זה ה-RTO האמיתי שלכם, לא מה שכתוב בחוזה.

אם השחזור נכשל — תקנו לפני שיש אירוע.

פרופורציונלי ל-SMB

לא חייבים SOC 24/7 — חייבים גיבוי מוכח, MFA, patch חודשי, הרשאות.

מה לא לעשות

• לשלם כופר בלי ייעוץ — אין ערובה לשחזור.
• "יש לנו antivirus" בלי עדכון signatures / EDR.

מקורות

• CISA — Ransomware Guide (reference)