מתקפת סייבר: איך מזהים את סוג התקיפה ומה עושים מיד

מהי מתקפת סייבר ומה עושים כשעולה חשד

מתקפת סייבר היא ניסיון זדוני לפגוע במחשב, בחשבון מקוון, ברשת או בשירות דיגיטלי. הפגיעה יכולה להיות גניבת מידע, שינוי שלו, השתלטות על חשבון או חסימת הגישה לשירות. גם ניסיון שנבלם לפני שנגרם נזק יכול להצדיק בדיקה, במיוחד אם נחשפו פרטי כניסה.

כשעולה חשד, הפעולה הראשונה נקבעת לפי מה שנפגע. אם מחשב מצפין קבצים או מפיץ נוזקה, כדאי להגביל את החיבור שלו לרשת ולערב את האחראים למחשוב. אם החשד הוא להשתלטות על חשבון, ניגשים לשירות דרך האתר או היישומון המוכר, מאבטחים את הכניסה ובודקים פעילות חריגה. אתר שאינו עולה מחייב בירור עם ספק האחסון: השבתה לבדה אינה מוכיחה פריצה.

במקביל, מתעדים מה קרה ומתי, ושומרים הודעות והתראות. בעסק ממנים אדם שירכז את הטיפול ואת הקשר עם הספקים, כדי למנוע הוראות סותרות. ההנחיות הבריטיות לתגובה מדגישות שילוב של בירור טכני, הגבלת הפגיעה וניהול הפעילות העסקית. הנחיות לתגובה הראשונית לאירוע.

סוגי מתקפות נפוצים וההבדל ביניהם

שמות המתקפות מתארים לפעמים את דרך הכניסה ולפעמים את הנזק. דיוג יכול לגנוב סיסמה, והסיסמה יכולה לשמש בהמשך להשתלטות על חשבון. לכן אירוע אחד עשוי לכלול כמה סוגי תקיפה. מי עומד מאחורי תקיפות כאלה? אפשר לקרוא על ההבדל בין תוקף לבודק אבטחה.

נוזקה היא שם כללי לתוכנה זדונית; כופרה היא סוג שלה. מניעת שירות יכולה להשבית אתר בלי שנגנב ממנו מידע, וגניבת מידע יכולה להתרחש כשהמערכת ממשיכה לעבוד. ההבחנה הזאת קובעת אילו בדיקות נדרשות. לפרטים על הנושא ראו המדריך לזיהוי הודעות פישינג. הסבר על נוזקות וכופרה; הסבר על מניעת שירות.

איך מתקפה מתקדמת מהודעה תמימה לנזק

מתקפה יכולה להתחיל בהודעת דיוג, בתוכנה פגיעה או בפרטי כניסה שהגיעו לידי התוקף. אחרי הכניסה הראשונית, התוקף עשוי לחפש מידע נוסף או גישה למערכות אחרות. בחלק מאירועי הכופרה נגנב מידע לפני ההצפנה, ובהמשך מופעל לחץ באמצעות איום לפרסם אותו. המדריך הממשלתי האמריקאי לכופרה ולסחיטת מידע.

נניח שעובדת מקבלת הודעה שמתחזה לשירות אחסון מסמכים. היא מזינה סיסמה בעמוד מזויף, והתוקף משתמש בה כדי להיכנס לחשבון הדואר. אם יש לו גישה לתכתובות עם ספקים, הוא עשוי לנסות לשלוח בקשת תשלום שנראית קשורה לעבודה קיימת. זו דוגמה היפותטית שממחישה איך התחזות יכולה להפוך לגישה לחשבון ולניסיון הונאה.

הטיפול צריך לבדוק את כל מה שקרה אחרי ההודעה: האם הוזנה סיסמה, האם נפתח קובץ והאם התקבלה בקשת תשלום. מחיקת ההודעה לבדה אינה מטפלת בגישה שכבר נוצרה. הגנה מפני דיוג משלבת סינון טכני, הרשאות מתאימות ודרך נוחה לדווח על טעות, כפי שמסביר המרכז הבריטי לאבטחת סייבר.

אילו סימנים מצדיקים בדיקה

סימנים אפשריים כוללים נעילה מחוץ לחשבון, קבצים שאי אפשר לפתוח, הודעות שנשלחות בשמכם ודרישות תשלום שלא אישרתם. גם שינוי לא מוכר בהגדרות אבטחה או התראה על מכשיר חדש מצדיקים בירור. איטיות יכולה להופיע באירוע סייבר, אך אינה מספיקה לקביעה שיש מתקפה. אם הגיעה אליכם התרעת ריגול בטלפון, קראו איך מטפלים בחשד לפגסוס.

בדקו את היקף הבעיה לפני שאתם מנסים פתרונות שונים. האם רק עובד מסוים אינו מצליח להיכנס, או שכל העסק מושבת? האם התקלה מוגבלת ליישומון מסוים? האם לקוחות מדווחים על הודעות חשודות שנשלחו מהכתובת שלכם? המידע הזה יעזור לאיש המקצוע להפריד בין בעיית שירות לבין חשד לפעילות זדונית.

• רשמו מתי הבחנתם בבעיה ומי דיווח עליה ראשון.
• ציינו אילו חשבונות, מחשבים ושירותים נפגעו.
• תעדו אם יש סימנים למידע שנמחק, שונה או נחשף.
• שמרו את נוסח ההתראות ואת תוצאות הבדיקות שכבר נעשו.

תיעוד שימושי מתאר את מה שנצפה בפועל: למשל, שהתקבלה התראת כניסה ולאחריה השתנתה כתובת השחזור. הפרידו בין הממצאים לבין ההשערה לגבי הסיבה. שאלות לזיהוי ולהערכת אירוע סייבר.

מה עושים מיד כשמחשב נפגע או קבצים מוצפנים

בחשד לנוזקה פעילה, המטרה הדחופה היא להגביל את הנזק ולשמור מידע שיאפשר להבין מה קרה. בעסק פועלים בתיאום עם צוות המחשוב או ספק התגובה, במיוחד כשהמחשב מחובר לשרתים ולתיקיות משותפות. כדי להבין למי לפנות, אפשר לקרוא על סוגי חברות אבטחת המידע בישראל.

1. הודיעו לאחראי המחשוב ותארו את הסימנים המדויקים. השתמשו בערוץ חלופי אם יש חשש שהדואר הארגוני נפרץ.
2. בודדו את המחשב החשוד מהרשת, בהתאם להנחיית הגורם המטפל. במחשב בודד אפשר לנתק כבל רשת וחיבור אלחוטי.
3. שמרו צילום של דרישת הכופר או ההתראה. אל תפרמטו ואל תמחקו קבצים לפני תיאום לגבי שמירת ראיות.
4. אל תחברו כונן גיבוי למחשב החשוד. יש לבדוק שהסביבה נקייה לפני שחזור.
5. רכזו את הפעולות שבוצעו ואת הזמנים שלהן, כדי שמי שימשיך את הטיפול יקבל תמונה ברורה.

ניתוק מהרשת עשוי לצמצם התפשטות ולשמר ראיות, אך אינו מבטיח לעצור תהליך זדוני שכבר פועל במחשב. כיבוי יכול לעצור תהליכים, ובמקביל לאבד ראיות מהזיכרון. ההחלטה תלויה באירוע ובהנחיה מקצועית. שיקולים לניתוק ולכיבוי מערכות.

תשלום כופר אינו מבטיח שחזור או מחיקת מידע שנגנב. לפני פעולה מול התוקפים, פנו לסיוע ובדקו את אפשרויות ההתאוששות. הנחיות בנושא דרישות כופר.

איך מטפלים בחשבון שנפרץ או באתר שהושבת

חשבון דואר או שירות מקוון

ממכשיר שאינו חשוד כנגוע, היכנסו לשירות דרך הכתובת המוכרת. החליפו את הסיסמה ובדקו מכשירים מחוברים, פרטי שחזור ויישומונים שקיבלו גישה. אם השתמשתם באותה סיסמה בשירותים אחרים, החליפו אותה גם בהם. אחרי הטיפול כדאי ללמוד צעדים להגנה על הרשת בבית ובעסק.

בדואר אלקטרוני בדקו גם כללי העברה ומסננים שלא אתם הגדרתם. בהנחיות Google מופיעות בדיקות אלה לצד בדיקת פעילות אבטחה והסרת מכשירים לא מוכרים. הפעילו אימות נוסף ושמרו את אפשרויות השחזור במקום מוגן. להוראות הפעלה בשירותים נפוצים אפשר להיעזר במדריך לאימות דו שלבי. הנחיות Google לאבטחת חשבון שנפגע.

אתר שאינו זמין

פנו לספק האחסון או למפעיל האתר ובקשו לבדוק אם מדובר בתקלה, בעומס רגיל או בתעבורה זדונית. במתקפת מניעת שירות, סינון אצל ספק התקשורת או שירות ההגנה עשוי להיות חלק מרכזי מהתגובה.

שמרו זמני השבתה והודעות מהספק. אל תסיקו שהמידע נגנב רק מפני שהאתר נפל; בדיקת זמינות ובדיקת גישה למידע הן בדיקות נפרדות. תוכנית תגובה למניעת שירות.

למי מדווחים בישראל ואיזה מידע מכינים

מערך הסייבר הלאומי מפעיל קו דיווח חינמי, 119, שפועל 24 שעות ביממה ומיועד לדיווח על מתקפת סייבר או על חשד למתקפה. אפשר לדווח גם באמצעות הטופס המקוון באתר המערך.

הכינו תיאור קצר ומדויק: מה קרה, מתי התגלה האירוע, אילו מערכות נפגעו ומה כבר עשיתם. צרפו צילומי מסך ואת הודעת הדואר המקורית, אם היא רלוונטית. אם איש המחשוב אסף יומני מערכת או כתובות הקשורות לאירוע, אפשר לצרף גם אותם בערוץ הדיווח המתאים.

בעסק, עדכנו במקביל את ספק המחשוב ואת האדם שמוסמך לקבל החלטות על השבתת שירותים. אם יש חשד להונאה כספית או לחשיפת פרטי בנק, פנו גם לבנק בערוץ מוכר. מסרו עובדות מאומתות והבהירו אילו פרטים עדיין נבדקים, כדי שהגורמים המטפלים יוכלו לתאם ביניהם. לאחר שהאירוע מטופל, אפשר לבדוק את ההגנות בעסק באמצעות ביקורת אבטחת מידע בעסק.

הדיווח למערך אינו מחליף דיווח למשטרה, ואינו מחליף חובת דיווח אחרת שחלה על הארגון. בדקו עם הגורם המשפטי המתאים אם נדרשים דיווחים נוספים בהתאם לנסיבות. שירות הדיווח של מערך הסייבר הלאומי; המרכז הארצי לניהול אירועי סייבר; כתבה על קו 119 (באנגלית).

איך מחזירים את העבודה ובודקים שהטיפול הושלם

החזרת קובץ או אתר לפעולה היא חלק מההתאוששות. צריך גם לברר איך נוצרה הגישה, אילו חשבונות נפגעו ואילו תיקונים נדרשים. ספק מקצועי עשוי להמליץ על ניקוי מחשבים, התקנה מחדש, עדכוני תוכנה או החלפת פרטי כניסה, לפי ממצאי האירוע. צעדים לפתרון האירוע.

1. קבעו אילו פעולות עסקיות חייבות לחזור ראשונות ואילו מערכות הן דורשות.
2. בדקו שהגיבוי זמין, תקין ומתאים לנקודת הזמן שרוצים לשחזר.
3. שחזרו לסביבה שנבדקה והחזירו שירותים בהדרגה, תוך מעקב אחר פעילות חריגה.
4. תעדו מה חזר לפעול, מה עדיין מוגבל ומי אחראי להמשך הבירור.

נניח שחנות מקוונת יכולה שוב לקבל הזמנות, אך מערכת המלאי עדיין משוחזרת. קבעו איך יתועדו ההזמנות הזמניות ואיך יותאמו בהמשך למערכת שחזרה, כדי שלא יאבדו במהלך ההתאוששות. הנחיות לשחזור פעילות ולפתרונות זמניים.

לקראת האירוע הבא, בדקו בפועל שחזור של מידע נבחר. ודאו שיש גרסאות קודמות מוגנות ושהרשאות לניהול הגיבויים מוגבלות. תיקייה מסונכרנת עלולה להעביר גם שינויים מזיקים, ולכן יש לבדוק מה שירות הגיבוי מאפשר לשחזר ומי יכול למחוק את העותקים. עקרונות להגנת גיבויים מפני כופרה.

שאלות נפוצות

לחצתי על קישור חשוד. האם בהכרח נפרצתי?

לחיצה לבדה אינה מוכיחה שהייתה פריצה. בדקו אם הזנתם פרטים, הורדתם קובץ או הענקתם הרשאה, ודווחו לאחראי המחשוב אם זה מכשיר עבודה.

האם צריך לכבות מיד מחשב שנפגע?

ההחלטה תלויה באירוע. ניתוק מהרשת יכול להגביל התפשטות ולשמר ראיות, בעוד שכיבוי עשוי לעצור תהליכים פעילים אך לאבד מידע מהזיכרון. פנו להנחיה מקצועית.

האם שינוי סיסמה מספיק אחרי פריצה לחשבון?

צריך לבדוק גם מכשירים מחוברים, פרטי שחזור והרשאות ליישומונים. בחשבון דואר בדקו גם כללי העברה ומסננים שלא הגדרתם.

האם אתר שנפל במתקפה מעיד שמידע הלקוחות נגנב?

השבתת אתר אינה מוכיחה גניבת מידע. מתקפת מניעת שירות פוגעת בזמינות, ואת החשד לגישה למידע צריך לבדוק בנפרד.

לאן פונים בישראל בחשד למתקפת סייבר?

אפשר לפנות לקו 119 של מערך הסייבר הלאומי או לדווח בטופס שבאתר המערך. הדיווח אינו מחליף דיווח למשטרה או דיווח אחר הנדרש מהארגון.