בשבוע שעבר פרסמה Semperis – חברה אשר מוכרת הגנה ושחזור של מערכות זהות, את דוח הכופרה השנתי שלה (Ransomware Risk Report 2026). הדוח נשען על סקר של 1,200 אנשי IT ואבטחת מידע בארגונים שחטפו לפחות מתקפת כופרה מוצלחת אחת בשנה שחלפה, בתשע מדינות – ארצות הברית, בריטניה, צרפת, גרמניה, איטליה, ספרד, סינגפור, קנדה ואוסטרליה. הדוח מוביל בשני כיוונים. האחד טכנולוגי: לפי הנשאלים, ב‑ 84% מהמתקפות נעזרו התוקפים בבינה מלאכותית. השני אינו טכנולוגי בכלל: לחץ הסחיטה עובר מהמערכות אל האנשים. הפוסט הזה עוסק בשני.
מדוע עוברים פושעי הסייבר לאיום אישי
ההסבר לכך מגיע מהחברה שפרסמה את הדוח. מיקי ברסמן, מנכ"ל Semperis, מתאר שרשרת של התאמות מצד התוקפים: בגל הראשון המנוף היה ההצפנה עצמה; משהשתפרו מערכי הגיבוי והשחזור, נוספו גניבת מידע ואיום בפרסומו, מה שמכונה סחיטה כפולה; משהפכה גם הדליפה לסיכון מתומחר ומנוהל, נותר יעד אחד שקשה לגבות – האדם שמקבל את ההחלטה. כריס אינגליס, שהיה המנהל הראשון של מערך הסייבר הלאומי בארצות הברית וכיום יועץ אסטרטגי לחברה, מנסח זאת כחשבון של התוקף: להעלות את מחיר ההתנגדות עד שיעלה על מחיר הכניעה. לדבריו, האיום הפיזי הוא התופעה החדשה פשוט מפני שרוב הסיכונים האחרים כבר כוסו. זו פרשנות של שני בעלי עניין בתחום, לא ממצא מדוד.
המספרים ומה הם סופרים בדיוק
כאן נדרשת זהירות. הנתון שצוטט הכי הרבה – 40% מהמתקפות כללו איומים פסיכולוגיים או פיזיים על עובדים – מופיע כך בהודעה לעיתונות של Semperis עצמה. זהו סכום של שתי קטגוריות שונות: לפי הפירוט שפרסמה Dark Reading, 17% מהנשאלים דיווחו על איומים פיזיים ועוד 23% על הפחדה פסיכולוגית. גם הבסיס אינו אותו בסיס. ה‑ 40% מנוסח כאחוז מהמתקפות, הפירוט מנוסח כאחוז מהנשאלים. בדוח של השנה שעברה דווחו 40% איומים פיזיים; השנה הנתון הזה עומד על 17%. חלק מהסיקור הציג בכל זאת את ה‑ 40% של השנה כעלייה מול השנה שעברה.
בתוך קבוצת הנשאלים שדיווחה על איומים הפירוט הוא כזה: 57% קיבלו הודעות, מכתבים או חבילות מאיימות; 37% דיווחו על איומים כלפי בני משפחה או חברים; 19% על איום בפריצה פיזית למשרד או לבית; 17% על איום בחטיפה; 13% על איום בפגיעה גופנית; 6% על מעקב.
ב‑ 53% מהמקרים שבהם היה איום, דיווחו הנשאלים שהתוקפים אכן ביצעו את מה שאיימו לעשות. ברבע מהמקרים דווח שעובדים או בני משפחתם נזקקו לטיפול רפואי או נפשי בעקבות האיומים. בכמעט רבע מהמקרים נשכרה אבטחה אישית לעובד או לבני משפחתו. בכמעט רבע דווח על swatting – דיווח כזב למשטרה שמביא שוטרים לכתובת של האדם. שלושת הנתונים האלו אינם בהכרח קבוצות נפרדות.
מה עדיין לא הוכח
חובה לומר את זה במפורש: כל הנתונים האלו הם דיווח עצמי של קורבנות בסקר שמומן בידי ספק. Dark Reading ניסתה למצוא תקדים. בסיקור הדוח היא לא מצאה ולו מקרה מתועד אחד של אלימות שהופעלה כחלק מסחיטת כופר. Semperis, שנשאלה לדוגמה קונקרטית, הפנתה להודעה של יורופול על "אלימות כשירות" – אלא שיורופול אינה קושרת את התופעה הזו לכופרה.
מה שכן מתועד מגיע ממקומות אחרים. חברת אבטחת ה‑ Web3 בשם CertiK Skynet תיעדה 72 מקרים בשנת 2025 של "מתקפות מפתח ברגים" – תקיפה פיזית של מחזיק ארנק קריפטו כדי לחלץ ממנו את המפתח – עלייה של 75% מול 2024. גם Chainalysis זיהתה מגמה דומה. מה שנכון לעולם הקריפטו אינו בהכרח נכון למתקפות על ארגונים, שם מדובר בקבוצת קורבנות אחרת לגמרי. ה‑ FBI דיווח על זינוק בתלונות הכוללות איומי אלימות שאינם קשורים לסחיטה, מ‑ 1,360 ב‑ 2024 ל‑ 4,826 ב‑ 2025. את Silent Ransom Group תיעדו ה‑ FBI וחוקרי Mandiant באביב 2026 נכנסת פיזית למשרדים בתחפושת של טכנאי IT, כדי לגנוב מידע מעמדות הקצה.
המסקנה הנכונה היא אפוא מדודה: הכיוון אמיתי ומתועד בשוליים, העוצמה שמשתקפת מהסקר אינה מוכחת. מנהל שבונה תרחיש צריך להתייחס לנתון כזה כתרחיש אפשרי, לא כסטטיסטיקה לצטט.
סיכון הסייבר האמיתי לארגון שלכם
ברגע שהלחץ עובר לאדם, ההחלטה אם לשלם יוצאת מידי מחלקת ה‑ IT. היא הופכת לשאלה של ההנהלה, של משאבי אנוש ושל הייעוץ המשפטי. היא נשאלת בלילה, תחת לחץ, בלי נוהל כתוב. Infosecurity מדגישה את הצד שקל לפספס: גם ארגון שבטוח ביכולתו לשחזר מגיבוי עשוי לשלם בכל זאת, מפני שהאיום אינו מופנה אל המערכת אלא אל אדם. ההמלצות אשר מלוות את הדוח הן בהתאם: לתעד מראש מי אחראי למה בתגובה לאירוע; לכלול נוהל גם לאיומים על אנשים שאינם במקום העבודה, כמו בני משפחה של עובדים; לבסס קשר עם רשויות אכיפת החוק לפני אירוע ולא במהלכו.
לצד זה מכיל הדוח נתונים מעשיים יותר, אם כי גם הם מגיעים מחברה המוכרת בדיוק את הפתרון שהם מצביעים עליו. לפי Help Net Security תקפו או ניצלו פושעי סייבר את מערכות הזהות – Active Directory, Entra ID, Okta – ב‑ 87% מהמקרים שנסקרו. ההודעה לעיתונות של החברה עצמה נוקבת במקום אחד ב‑ 87% ובמקום אחר בכמעט 75%, כך שגם כאן כדאי לקרוא את המספר בזהירות. רק כמחצית מהארגונים מחזיקים גיבוי נפרד למערך הזהויות. 60% מתוכניות ההתאוששות או התגובה למשבר אינן כוללות נוהל לשחזור מערכת הזהות. כמעט 70% מהארגונים שנסקרו חטפו יותר ממתקפת סייבר מוצלחת אחת באותה שנה ו‑ 59% מהנשאלים אמרו שהארגון שילם דמי כופר.
הדוח אינו מצליב בין מי ששילם לבין מי שהותקף שוב. מה שהוא כן מראה: 31% שילמו יותר מפעם אחת. Help Net Security מסבירה את מתקפות הסייבר החוזרות בכך שלחץ לחזור לפעילות מביא ארגונים לשחזר שירותים לפני שווידאו שהתוקף סולק. תשלום אינו קונה חסינות.
010 הגנה על מידע
- הגנה אקטיבית מכופרה. המטרה המעשית היא לקצר את הזמן שבין החדירה הראשונה לבין העצירה, כדי שהתוקף בכלל לא יגיע לשלב שבו הוא מנסח דרישה. ככל שהעצירה מוקדמת יותר, כך נמצא בידיו פחות מידע ויש לו פחות אפשרות מינוף.
- גיבוי והמשכיות עסקית. במסגרת הגיבוי וההמשכיות העסקית אנחנו בודקים שמערך הזהויות נכלל בתוכנית ובתרחיש השחזור, לא רק השרתים והנתונים. ארגון שאינו יודע כיצד הוא מחזיר את ה‑ Active Directory שלו אינו יודע כיצד הוא מתאושש בלי לשלם.
- מודעות עובדים לסייבר. התרחיש הזה מוסיף תוכן חדש להדרכה: מה עושה עובד שמקבל הודעה או חבילה מאיימת, למי הוא מדווח מיד, מדוע אין להשיב לתוקף ישירות ואין לנהל איתו משא ומתן לבד. ההנהלה צריכה להחליט מראש מי מדבר עם המשטרה.
- SIEM/SOC. אם רוב המתקפות נוגעות בשכבת הזהות, שם צריך להיות הניטור: שינוי הרשאות, יצירת חשבונות חדשים, התחברות חריגה למערכות הניהול.
- סקר סיכונים ומודיעין סייבר. שתי שאלות שראוי לענות עליהן בשקט לפני אירוע: אילו בעלי תפקיד בארגון חשופים בפומבי ומה ניתן למצוא עליהם ברשת; איזה מידע על הארגון נמצא כבר כעת במקומות שבהם נמכר מידע גנוב.
כאן נדרשת הבהרה כדי שלא תיווצר אי הבנה: אבטחה פיזית לאדם אינה שירות סייבר. מה שכן ניתן לעשות הוא לצמצם את המנוף – לקצר את זמן השהייה של התוקף, להבטיח שחזור שאינו תלוי בו, להכין את העובדים ואת ההנהלה לתרחיש ולחבר מראש את הגורמים שאליהם פונים.
הדוח הזה אינו ראיה לכך שקבוצות הכופרה הפכו לארגוני פשיעה אלימים. הוא כן סימן לכך שהן מחפשות מנוף חדש, מפני שהמנופים הקודמים נחלשו. ארגון שגיבוי הזהויות שלו מתורגל, שזמן הזיהוי שלו נמדד בדקות ושההנהלה שלו יודעת מראש מה עושים בשיחה כזו הוא ארגון שלתוקף נשאר פחות מנוף מולו.
למקור הידיעה ולקריאה נוספת לחצו כאן
