כופרה (Ransomware) בעסק קטן: איך מתגוננים ומה עושים במתקפה

מה זה כופרה, ולמה היא מגיעה גם לעסקים קטנים

כופרה (Ransomware) היא תוכנה זדונית שמצפינה את הקבצים במחשבים ובשרתים של העסק, כך שאי אפשר לפתוח אותם, ומשאירה הודעה: שלמו, בדרך כלל במטבע קריפטוגרפי, ותקבלו מפתח לפענוח. כל מה שהמחשב הנגוע יכול לכתוב אליו נמצא בסיכון: הכונן המקומי, תיקיות משותפות ברשת, שרת הקבצים, ולפעמים גם הגיבויים.

קבוצות כופרה רבות מוסיפות היום שלב: לפני ההצפנה הן מעתיקות מידע החוצה, ואחריה מאיימות לפרסם אותו. השיטה נקראת סחיטה כפולה (Double Extortion), והמשמעות היא שגם עסק עם גיבוי מצוין עלול לעמוד מול איום של דליפת מידע על לקוחות.

עסק קטן הוא לא מטרה משנית. רבים מהתוקפים סורקים את האינטרנט באופן אוטומטי ונכנסים לכל מקום שנפתח. למשרד רואי חשבון, למרפאה או לחנות יש מידע רגיש ותלות מלאה במחשבים, ובדרך כלל אין להם איש אבטחה ייעודי.

איך כופרה נכנסת לעסק

מיילים מתחזים

פישינג (Phishing, מייל שמתחזה לגורם מוכר): חשבונית מספק, הודעה מחברת שליחויות, קובץ "משותף" מ‑OneDrive. הקובץ המצורף מריץ נוזקה, או שהקישור מוביל לעמוד התחברות מזויף שגונב את הסיסמה. מיילים כאלה נכתבים היום גם בעברית תקינה, ולפעמים נשלחים מתיבת דואר אמיתית של ספק שנפרץ.

שולחן עבודה מרוחק שפתוח לאינטרנט

RDP (Remote Desktop Protocol, החיבור המרוחק של Windows) מאפשר לעבוד על מחשב או שרת מרחוק. כשהוא פתוח ישירות לאינטרנט, בדרך כלל בפורט 3389, בוטים מוצאים אותו ומנסים סיסמאות בלי הפסקה. משתמש אחד עם סיסמה חלשה, או משתמש של עובד שעזב ואף אחד לא ביטל, מספיק כדי להיכנס.

ציוד ושרתים שלא עודכנו

חומת אש, שרת VPN, שרת דואר או NAS (כונן רשת) שמחוברים לאינטרנט הם יעד מועדף. כשמתפרסמת פרצה באחד מהם, תוקפים סורקים את האינטרנט ומחפשים מכשירים שעוד לא עודכנו. מכשיר כזה נותן להם דריסת רגל ברשת בלי שאף עובד לחץ על שום דבר.

סיסמאות שנגנבו

סיסמה שדלפה משירות אחר, או שנגנבה על ידי Infostealer (נוזקה שאוספת סיסמאות שמורות מהדפדפן), נמכרת ומשמשת להתחברות ל‑VPN, לדואר או לשירותי ענן. מבחינת המערכת, זה נראה כמו עובד שמתחבר כרגיל.

חשוב להבין שהכניסה וההצפנה הן לא אותו רגע. פעמים רבות התוקף מסתובב ברשת שעות, ימים ולפעמים יותר, מחפש את הגיבויים ואת השרתים החשובים, ורק אז מפעיל את ההצפנה.

גיבויים שהכופרה לא יכולה להגיע אליהם

הגיבוי הוא ההבדל בין כמה ימים של שחזור לבין משא ומתן עם עבריינים. אבל כונן חיצוני שמחובר כל הזמן, או תיקייה ברשת שהמחשבים כותבים אליה, יוצפנו יחד עם כל השאר. תוקפים מחפשים גיבויים במכוון, ומוחקים או מצפינים אותם לפני שהם מפעילים את הכופרה. מה כן עובד:

• גיבוי מנותק (Offline): עותק שאין אליו חיבור קבוע, למשל כונן שמחברים רק בזמן הגיבוי ומנתקים מיד אחריו, ושומרים מחוץ למשרד.
• גיבוי נעול לשינויים (Immutable): גיבוי שהמערכת נועלת לתקופה מוגדרת, כך שאי אפשר למחוק או לשנות אותו לפני שהתקופה נגמרת, גם לא עם הסיסמאות שהתוקף גנב מהרשת. מערכות גיבוי ושירותי אחסון ענן רבים תומכים בזה.
• הפרדת הרשאות: לחשבון הגיבוי יש סיסמה ואימות דו‑שלבי משלו, נפרדים מחשבונות המשרד. סיסמת מנהל הרשת שנגנבה לא תפתח גם את הגיבויים.
• מספיק היסטוריה: נקודות שחזור של ימים ושל שבועות אחורה. אם התוקף היה ברשת שבוע לפני ההצפנה, צריך לחזור לנקודה שלפני שהוא נכנס.
• בדיקת שחזור: פעם ברבעון משחזרים בפועל תיקייה, מחשב או שרת, ומודדים כמה זמן זה לוקח. כך יודעים מראש כמה זמן העסק יעמוד ביום אמת.

כשהנתונים יושבים על שרת במרכז נתונים, כמו במשרד בענן, יש שכבה נוספת: גיבויי Snapshot (תמונת מצב של השרת כולו) נלקחים ברמת התשתית, מחוץ למחשבים של העובדים. זה לא מחליף עותק מנותק משלכם, אבל יכול לקצר מאוד את הדרך חזרה.

לסגור את הדלתות

RDP לא פתוח לאינטרנט

זה הצעד המשתלם ביותר. סוגרים את הפורט בחומת האש ובנתב, ועובדים מרחוק רק דרך שכבה שדורשת זיהוי: VPN עסקי עם אימות דו‑שלבי, או גישת Zero Trust, שבה כל עובד מגיע רק למערכות שלו ולא לכל הרשת. בדיקה פשוטה ב‑PowerShell, ממחשב Windows שמחובר לרשת אחרת, למשל לנקודה חמה של הטלפון:

Test-NetConnection 203.0.113.10 -Port 3389

את הכתובת מחליפים בכתובת ה‑IP של המשרד. אם בתוצאה מופיע TcpTestSucceeded : True, הפורט פתוח לכל העולם. בדקו גם פורטים אחרים שהועברו בנתב (Port Forwarding), כי לפעמים RDP מוסתר בפורט לא סטנדרטי.

אימות דו‑שלבי בכל כניסה מבחוץ

דואר, VPN, גישה מרוחקת, ממשקי ניהול של שירותי ענן וחשבונות מנהל. סיסמה שנגנבה בלי השלב השני שווה הרבה פחות. מתחילים בחשבונות המנהלים ובתיבות הדואר, כי מי ששולט בדואר יכול לאפס דרכו סיסמאות רבות אחרות.

הרשאות לפי תפקיד

כופרה מצפינה כל מה שהמשתמש שהיא רצה תחתיו יכול לכתוב אליו. עובד בהנהלת חשבונות לא צריך גישת כתיבה לכל התיקיות במשרד, ועובדים רגילים לא צריכים להיות מנהלים מקומיים (Local Admin, משתמש שיכול להתקין תוכנות ולשנות הגדרות מערכת) על המחשב שלהם. חשבון מנהל הרשת משמש רק לניהול, לא לגלישה ולא לקריאת דואר.

עדכונים לפי סדר עדיפות

קודם כל מה שפונה לאינטרנט: חומת האש, ה‑VPN, שרת הדואר וה‑NAS. אחר כך Windows, הדפדפנים ותוכנות ה‑Office. ציוד שהיצרן הפסיק לעדכן מחליפים, ולא משאירים מחובר לאינטרנט.

עובדים: החוליה שאפשר לחזק

מייל מתחזה טוב יעבור לפעמים כל סינון. מה שעוצר אותו הוא עובד שעוצר לשנייה לפני שהוא לוחץ. הדרכות קצרות וחוזרות עובדות טוב יותר מהרצאה שנתית אחת, ואפשר לסכם אותן בכמה כללים:

• בקשה דחופה להתחבר, לשלם או לשנות פרטי חשבון בנק מאמתים בטלפון, במספר שכבר יש לכם, לא במספר שמופיע במייל.
• לא מזינים סיסמה בעמוד שנפתח מקישור במייל. נכנסים לשירות ישירות, מהמועדפים או מהאפליקציה.
• קובץ מצורף לא צפוי, במיוחד קובץ דחוס, קיצור דרך, או מסמך Office שמבקש להפעיל תוכן או פקודות מאקרו, לא פותחים לפני שמבררים מול השולח.
• מדווחים מיד על כל דבר חשוד, גם אם כבר לחצו. עובד שמדווח אחרי דקה חוסך שעות, ועובד שחושש מעונש פשוט ישתוק.

השעות הראשונות אחרי מתקפה

הודעת כופר על המסך, קבצים עם סיומת מוזרה, שרת שלא נפתח. ההחלטות בשעה הראשונה קובעות כמה נזק יהיה בסוף. הסדר:

1. מנתקים מהרשת: כבל רשת, Wi-Fi וגם VPN. מנתקים את המחשבים והשרתים שנפגעו, ואם לא ברור מה נפגע, את כל המשרד מהאינטרנט. עדיף לא לכבות, כי בזיכרון המחשב יש מידע שעוזר לחקירה. אם אי אפשר לנתק, כיבוי עדיף על התפשטות.
2. לא מוחקים ולא מתקינים כלום: לא מוחקים את הקבצים המוצפנים או את הודעת הכופר, ולא מתקינים מחדש את מערכת ההפעלה. כל אלה הם ראיות, ולפעמים הדרך היחידה לפענח את הקבצים בהמשך.
3. מתעדים: מצלמים את ההודעה, רושמים מתי זה התגלה, מה ראיתם ומה עשיתם. שומרים לוגים של חומת האש, השרתים והדואר לפני שהם נדרסים.
4. עוברים לערוץ נקי: התוקף עשוי לקרוא את הדואר שלכם. מתאמים בטלפון, ומחליפים סיסמאות רק ממכשיר שלא היה מחובר לרשת שנפגעה, קודם לחשבונות המנהלים, לדואר ולגיבויים.
5. פונים לאנשי מקצוע: איש ה‑IT שלכם וחברה שמתמחה בטיפול באירועי סייבר. אם יש ביטוח סייבר, מעדכנים את חברת הביטוח מוקדם ובודקים מה הפוליסה דורשת. בישראל אפשר לדווח ולקבל הכוונה במוקד 119 של מערך הסייבר הלאומי. אם ייתכן שנחשף מידע אישי של לקוחות, מתייעצים עם עורך דין לגבי חובות דיווח.

חזרה לעבודה: שחזור מגיבוי נקי

הפיתוי הוא לשחזר מהר ולחזור לעבוד. אבל אם הדלת שדרכה התוקף נכנס עדיין פתוחה, הוא יחזור, ולפעמים הוא כבר השאיר לעצמו דרך נוספת פנימה. לכן:

• מבינים, יחד עם אנשי המקצוע, איך התוקף נכנס, וסוגרים את הפרצה לפני שמחזירים מערכות לרשת.
• מתקינים מחדש מחשבים ושרתים שנפגעו, במקום לנסות לנקות אותם.
• משחזרים מגיבוי שנוצר לפני שהתוקף נכנס, ולא רק לפני ההצפנה, וסורקים אותו לפני שחוזרים להשתמש בו.
• מחליפים את כל הסיסמאות, כולל חשבונות שירות, הנתב וה‑VPN, ומבטלים חשבונות שאינם בשימוש.
• מחזירים מערכות בהדרגה, לפי סדר חשיבות, ועוקבים אחרי הלוגים בימים הראשונים.

ומה עם תשלום הכופר?

זו החלטה קשה, ואין לה תשובה אחת שמתאימה לכולם. כמה דברים שכדאי לדעת לפניה:

• אין שום ערובה: התוקף יכול לקחת את הכסף ולא לשלוח מפתח, לשלוח מפתח שעובד רק חלקית, או לדרוש עוד. גם כשהמפתח עובד, הפענוח יכול להיות איטי ולהשאיר קבצים פגומים.
• תשלום לא מחזיר את המידע שנגנב: הבטחה לא לפרסם אותו היא הבטחה של עבריינים.
• יכולות להיות לזה השלכות משפטיות, ולכן לא מחליטים בלי עורך דין.
• רשויות אכיפה בעולם ממליצות בדרך כלל לא לשלם, בין היתר כי כל תשלום מממן את המתקפה הבאה.

לפני כל החלטה בודקים אם יש כלי פענוח חינמי לסוג הכופרה שתקף אתכם, למשל באתר No More Ransom, ומתייעצים עם אנשי מקצוע ועם הרשויות. ועסק שיש לו גיבוי מנותק ובדוק מגיע לרגע הזה בעמדה אחרת לגמרי: הוא לא צריך את המפתח של התוקף כדי לחזור לעבוד.