ב‑ 7 באוקטובר, בשעה 03:40 שעון מקומי, ספגה חברת IDC Frontier היפנית מתקפת כופרה. החברה, שהינה חברת בת של קונצרן SoftBank, מפעילה את פלטפורמת הענן IDCF Cloud — שירות תשתית כשירות שבו לקוחות שוכרים שרתים וירטואליים, אחסון ותקשורת להרצת אתרים, יישומים ומערכות עסקיות במרכזי נתונים ביפן. בהודעתה קבעה החברה כי "השיבוש ב‑ East Japan Region 1 נגרם ממתקפת כופרה". עוד נמסר כי נמשכת החקירה לגבי הסיבה המדויקת והיקף הפגיעה.
המספר שהופך את האירוע לחריג אינו נפח הנתונים: החברה מסרה כי המתקפה משפיעה על 495 חברות ורשויות מקומיות המשתמשות בשירות הענן שלה. ספק אחד הותקף, מאות ארגונים נפגעו.
מה קרה בפועל
החברה בודדה והשביתה את המערכות הנגועות כדי לעצור את ההתפשטות. בצעד נוסף היא ניתקה את הלקוחות מקונסולות הניהול בכל האזורים — גם באלו שלא הותקפו — עד לאימות אבטחתן. בעדכון מאוחר יותר התבררה התמונה הקשה: שרתים וירטואליים בארבעה אזורי זמינות נעצרו ואינם מצליחים לעלות. החברה הודיעה כי יהיה קשה לשחזר את הנתונים מהתשתית הפגועה. בניסוח רשמי שתורגם מיפנית היא המליצה: "בהתחשב במצב הנזק הנוכחי ובשיקולי אבטחה, אנו ממליצים לכם להכין סביבה נפרדת ולבנות את המערכת שלכם מחדש". זהו כנראה המשפט החשוב באירוע כולו: הספק החזיר את האחריות על השחזור ללקוח, אל הגיבויים שהלקוח מחזיק בעצמו.
רשימת הנפגעים חוצה מגזרים: המגזר הציבורי, לוגיסטיקה, חינוך ופיננסים. בפועל זה נראה כך — ספק אינטרנט שרשתות ה‑ Wi-Fi שלו נותרו בלי שירות אימות; חברת תוכנה ארגונית שמערכות הטלפוניה שלה בענן הופלו. לפי דיווח של שירות הידיעות MLex, מחוז יפני אחד לפחות מסר שלא הצליח לגשת לנתוני הגיבוי שלו לאחר שמערכות הספק נפלו.
על קונסולת הפלטפורמה השאיר התוקף הודעה באנגלית, שצילומי מסך שלה הגיעו מלקוחות לפני שנחסמה. הוא התרברב כי לקח לו שבע דקות להפוך את האזור כולו ל"טקסט מוצפן". עוד טען כי הצפין 225 מחסני נתונים (datastores — יחידות האחסון שמחזיקות את הדיסקים של המכונות הווירטואליות) בנפח 3.6 פטה‑בייט, הגיע ל‑ 239 שרתי אירוח ומחק 554,153 תצלומי מצב. אלו טענות של התוקף, שהחברה לא אישרה.
הסבר: למה פגיעה בשכבת הווירטואליזציה הרסנית כל כך
כדי להבין מדוע פריצה לספק אחד פוגעת ב‑ 495 ארגונים, יש להסתכל על שכבת הווירטואליזציה. מתחת לשרתים הווירטואליים של כל לקוח יושבים שרתי אירוח (hypervisors) — המכונות הפיזיות שמריצות אותם. תוקף שמשיג הרשאות בשכבה הזאת אינו נדרש לפרוץ כל מערכת בנפרד: הוא מכבה מכונות בהמוניהן, מוחק את תצלומי המצב ששימשו לשחזור מהיר ומצפין את מחסני הנתונים. הנזק מוכפל במספר הלקוחות אשר רצים על אותה חומרה.
זאת אינה אנקדוטה. לפי מחקר אבטחה של גוגל, שיעור אירועי הכופרה שבהם הותקפה תשתית וירטואליזציה עלה מ‑ 29% מהאירועים שבהם טיפלה החברה ב‑ 2024 לכ‑ 43% ב‑ 2025. הדפוס שחוזר שם מוכר: תסריט אוטומטי ניגש לשרתי האירוח, מכבה מכונות וירטואליות ומוחק תצלומי מצב וגיבויים. ההצפנה מופעלת רק בסוף. מחיקת הגיבוי אינה תופעת לוואי של המתקפה, אלא שלב מתוכנן בה.
הסיכון לארגון הישראלי
מעבר לענן אינו מעביר את האחריות לענן. השאלה שכל ארגון צריך לשאול את עצמו פשוטה: אם מערכות הליבה שלו רצות אצל ספק אחד, היכן יושב הגיבוי שלהן — ואולי אצל אותו ספק ממש, באותו אזור? אירוע IDCF Cloud מראה מה קורה אז. הקונסולה שדרכה מנהלים את השחזור מושבתת, הספק עובר לשחזור ידני לפי פנייה פרטנית של כל לקוח, הלקוח מתבקש לבנות סביבה חדשה מאפס. ארגון שאין לו עותק גיבוי מחוץ לספק פשוט ממתין.
שני סיכונים נוספים ראויים לתשומת לב. האחד הוא ריכוזיות: כאשר ספק אחד מחזיק את התשתית של מאות לקוחות, אירוע אחד הופך למערכתי. השני הוא זמן ההתאוששות האמיתי, שכן יעד שנרשם במסמך אינו שווה דבר אם לא נבדק בתרגיל שחזור מלא.
ההקשר היפני מחזק את התמונה: חברת האבטחה Macnica תיעדה מתחילת 2026 ועד 6 באוקטובר 119 אירועי אבטחה שכללו גניבה או חשיפה של מידע אישי, לעומת 84 בכל 2025.
010 הגנה על מידע והמשכיות עסקית
האירוע הזה נוגע ישירות בשירות גיבוי והמשכיות עסקית של 010. העיקרון שמנחה אותנו פשוט: גיבוי ראוי לשמו נמצא מחוץ לתחום ההשפעה של המתקפה. עותק שאינו תלוי בספק המרכזי, הגנה מפני מחיקה או שינוי של העותק עצמו, לצד הפרדת הרשאות כך שחשבון שנפרץ בסביבת הייצור אינו יכול למחוק את הגיבוי. חשוב מכך — גיבוי שלא נבדק בתרגיל שחזור אינו גיבוי אלא הנחה. התרגיל הוא שמודד את הזמן האמיתי לחזרה לפעילות.
לצדו, סקר סיכונים ממפה את התלות בספקים ואת נקודות הכשל הבודדות: היכן יושבות מערכות הליבה, היכן יושב הגיבוי שלהן ומה קורה כאשר שתי התשובות זהות. הגנה אקטיבית מכופר מיועדת לזהות הצפנה המונית ומחיקת תצלומי מצב בשלב שבו עוד אפשר לבלום אותן. SIEM/SOC מספק את הניטור והתגובה סביב שכבת הניהול והווירטואליזציה, שהיא בדיוק המקום שבו האירוע היפני הוכרע. עדכוני תוכנה ואבטחה מצמצמים את צוהר הכניסה הראשוני. נתיב החדירה ל‑ IDCF Cloud טרם פורסם, אך בגל האירועים ביפן בחודשים האחרונים חוזר ועולה דפוס של ניצול חולשות מוכרות שלא נסגרו.
השורה התחתונה פשוטה: בענן ההסכם מגדיר אחריות, אך אינו מבצע שחזור. היכולת לחזור לפעילות נמדדת בעותק שנמצא במקום אחר ובתרגיל שהוכיח שהוא עובד.
למקור הידיעה ולקריאה נוספת לחצו כאן
