ארגון עם שלוש מאות עובדים נמצא בנקודה לא נוחה: הוא גדול מכדי שהשבתה תעבור בשקט, וקטן מכדי להחזיק צוות שמנטר את המערכות מסביב לשעון. הפער הזה הוא המקום שבו נגרם הנזק – ולא בגלל שההגנה לא זיהתה.
הדרך הטובה ביותר להסביר את זה היא ציר זמן. מתקפת כופרה מוצלחת אינה רגע אחד אלא תהליך שנמשך שעות, וכל שלב בו משאיר סימנים.
20:15 – הכניסה
עובד סורק קוד QR שהגיע במייל שנראה כמו הודעה מספק, ומזין פרטי התחברות בעמוד שנפתח. זו כבר לא שיטה שולית: לפי דוח האיומים של ESET למחצית הראשונה של 2026, זיהויי פישינג באמצעות קודי QR הגיעו לממוצע של כ-100,000 בחודש, ולפי הדוח קודי QR הופיעו בכ-11% מהודעות הפישינג שזוהו.
בשלב הזה אין נוזקה ואין נזק. יש פרטי גישה תקינים בידיים הלא נכונות.
22:40 – ההתמצאות
מהחשבון שנפרץ מתחילות שאילתות: אילו מכונות יש ברשת, איפה יושבים הקבצים המשותפים, מי חבר בקבוצת מנהלי הדומיין. הפעולות האלה מייצרות תעבורה שנראית שונה לחלוטין מכל עובד רגיל, והן נרשמות.
אף אחד לא קורא אותן. איש ה-IT התורן ישן.
01:20 – הרחבת הרשאות ותנועה לרוחב
התוקף עובר בין מכונות ומשיג הרשאות רחבות יותר תוך ניצול פרצות אבטחה שונות בתוכנות ובמערכת ההפעלה. כאן נוצרים הסימנים הברורים ביותר בכל הלילה – התחברויות של אותו חשבון לכמה מכונות בזמן קצר, שינויי חברות בקבוצות, שימוש בכלי ניהול מרחוק בשעה שאף אחד לא עובד.
02:50 – השתקת ההגנה
לפני ההצפנה, התוקף מנסה לנטרל את מה שיכול לעצור אותו. זה השלב שהפך לתעשייה: אותו דוח של ESET מתאר מיפוי של מעל 100 כלים שנועדו להשתיק, להקפיא או לעוור תוכנות אבטחה לפני הפעלת כופרה.
ההגנה מזהה את הניסיון ומתריעה. זו ההתראה החשובה ביותר של הלילה, והיא נשלחת לתיבה משותפת ב-02:50.
03:30 – נטרול הגיבויים
התוקף מחפש את הגיבויים ומנסה למחוק או להצפין אותם. השלב הזה קריטי במיוחד, כי הוא מה שקובע אם הארגון יוכל לשקם.
ויש לו משמעות כספית ישירה. לפי אותו דוח, מתקפות הכופרה המשיכו לגדול במחצית הראשונה של 2026, אבל שיעור הנפגעים ששילמו ירד ל-14 עד 28 אחוזים. ארגונים לומדים לשקם במקום לשלם – וזה עובד רק אם הגיבוי שרד, כלומר רק אם האירוע נעצר לפני 03:30.
04:40 – ההצפנה
רק כאן מתחיל הנזק שאותו הארגון יראה. בשמונה בבוקר מגלים שהשרת המשותף לא נגיש.
שווה לסכם את הלילה: עברו שמונה שעות וחצי מהכניסה עד ההצפנה, ובכל אחת מהן נוצרו אינדיקציות. אף אחת מהן לא הייתה שקטה. כולן נרשמו.
למה זה נופל בין הכיסאות
בארגון בגודל הזה יש בדרך כלל צוות IT של שלושה עד שישה אנשים, ולעיתים איש אבטחת מידע אחד – כולם עסוקים במשרה מלאה בתפעול. ניטור אבטחה אינו משהו שנעשה בזמן שנשאר, כי אין זמן שנשאר.
וגם אילו היה: כיסוי מסביב לשעון דורש שלוש משמרות כל יום בשבוע, מה שמתורגם לחמישה עד שמונה אנליסטים. זו לא הוצאה שארגון בגודל הזה יכול להצדיק, וזו גם לא משרה שאנליסט טוב נשאר בה כשהוא רואה אירוע אמיתי פעם בכמה שבועות.
מה שירות חיצוני עושה בציר הזמן הזה
ההבדל בין שירות מנוהל למערכת שמתריעה הוא שהשירות מגיב ולא רק מודיע. באותו לילה, ההתראה של 02:50 הייתה מגיעה לאנליסט ער, שהיה מבודד את המכונה תוך דקות – לפני ניטרול הגיבויים ובוודאי לפני ההצפנה.
ולמעשה, גם ההתראה של 22:40 הייתה נבדקת. צוות שרואה אירועים במאות סביבות מזהה תבנית התמצאות ברשת כחריגה, במקום שהיא תיראה כמו רעש.
מה נשאר באחריות הארגון
שירות ניטור לא מסדר היגיינה בסיסית: בלי ניהול עדכוני אבטחה, בלי צמצום הרשאות מנהל ובלי גיבוי שנבדק בשחזור, הניטור יזהה יותר אירועים ולא ימנע את הנזק.
והוא לא מקבל שתי החלטות שהארגון חייב לקבל מראש: מי מוסמך לאשר בידוד תחנה של מנהל בכיר בשתיים בלילה, ומה מותר לצוות החיצוני לעשות בלי לשאול. הגדרה בממשק ניהול שווה כאן יותר מכל סעיף בהסכם.
איך זה נראה ב-ESET
שירות ESET MDR נשען על התשתית שכבר מותקנת – ESET PROTECT להגנה וניהול ו-ESET Inspect לזיהוי וחקירה – ומוסיף מעליה צוות אנליסטים בשילוב AI שמנטר, חוקר ומגיב מסביב לשעון. אין פרויקט הטמעה מחדש: מי שכבר מוגן מוסיף את שכבת האנשים על מה שקיים.
ההתראה של 02:50
הלילה הזה לא נכשל בזיהוי. הוא נכשל בכך שההתראה החשובה ביותר בו הגיעה לתיבה שאף אחד לא פתח עד הבוקר. התוקף לא הימר על זה – הוא תכנן לפי זה, וכך עשו גם מי שבנו את מעל 100 הכלים להשתקת הגנות. ניטור חיצוני סוגר בדיוק את החלון הזה.
