בסוף אפריל 2026 זיהתה חברת התגובה לאירועי סייבר Profero נוזקה בסביבת לקוח, ודיווחה עליה למערך הסייבר הלאומי ולמשטרה. החקירה שהתפתחה מאותו זיהוי הובילה לפי הפרסומים למעצרו של תושב אשקלון כבן 40, החשוד בהחדרת נוזקה לעשרות עד מאות חברות ישראליות ובאיסוף מידע רגיש מהן. החשדות שיוחסו לו הן עבירות על חוק המחשבים, האזנת סתר ופגיעה בפרטיות.
הפרט שמעניין ארגון שקורא את הידיעה הזאת הוא לא היקף התקיפה אלא התפקיד. לפי הדיווחים, החשוד עבד כאיש אבטחת מידע בחברת אינטגרציה ישראלית גדולה – כלומר בצד המגן. אין כאן טענה של פריצה מתוחכמת. יש כאן גישה שניתנה במסגרת עבודה לגיטימית. אלה חשדות בשלב חקירה, והחשוד לא הורשע.
למה הארכיטקטורה הארגונית לא מזהה את זה
כל בקרת אבטחה כמעט בנויה סביב הבחנה בין חוץ לפנים. חומת אש מפרידה ביניהם, שער דואר מסנן את מה שנכנס, ומערכת הזדהות מוודאת שמי שנכנס הוא מי שהוא טוען. ספק אינטגרציה עובר את שלושתן כחלק מהעבודה, מפני שבדיוק בשביל זה הוא הובא.
הזהות של הספק היא אמיתית, ההרשאה שלו אושרה, והפעולות שלו נראות כמו עבודה שהוא מבצע כל שבוע. התקנה של סוכן על שרת, שינוי תצורה, חיבור מרוחק בשעה לא שגרתית – כל אלה הם השגרה של אינטגרטור, ולכן אין להם חתימה שמערכת יכולה לסמן.
המספר שמסביר את גודל החשיפה
דוח התגובה לאירועים הגלובלי של Unit 42 לשנת 2026, שמבוסס על יותר מ-750 אירועים, מצא שחולשות בתחום הזהויות מילאו תפקיד מהותי בכמעט 90 אחוזים מהחקירות. באותו דוח נבחנו יותר מ-680 אלף זהויות בסביבות ענן, ו-99 אחוזים מהמשתמשים, התפקידים והשירותים החזיקו הרשאות עודפות – חלקן ללא שימוש למשך 60 יום ומעלה.
תשעים ותשעה אחוזים הוא מספר שקשה להפריז בו. הוא אומר שכמעט כל זהות בכל ארגון יכולה לעשות יותר ממה שהיא צריכה, וכשמדובר בזהות של ספק חיצוני, ההיקף העודף הזה הוא בדיוק המרחב שבו אירוע כמו זה שתואר למעלה מתרחב מלקוח אחד לעשרות.
ארבע שאלות שאפשר לענות עליהן השבוע
הבדיקה הזאת לא דורשת פרויקט. היא דורשת רשימה, ומרבית הארגונים בישראל לא מחזיקים אותה במקום אחד.
מי מחזיק גישה חיצונית בפועל, ולא מי אמור להחזיק. הפער בין השניים נובע מספקים שהפרויקט שלהם הסתיים לפני שנתיים ושהחשבון שלהם נשאר פעיל, מפני שאיש לא היה אחראי לסגור אותו.
האם הגישה מוגבלת בזמן. חשבון ספק שפעיל תמידית הוא חשיפה תמידית. חשבון שנפתח לחלון של שש שעות מול קריאת שירות מסוימת מצמצם את החשיפה לאותו חלון.
האם קיים תיעוד נפרד לפעולות ספקים. אם הפעולות של הספק מעורבבות בלוג הכללי, השאלה "מה הוא עשה בשלושת החודשים האחרונים" תדרוש שבועות של עבודה בדיוק ברגע שאין בו שבועות.
ומה קורה כשעובד של הספק מסיים את תפקידו אצל הספק. ההרשאה שלכם ניתנה לחברה, אבל היא מופעלת בידי אדם, והארגון שלכם לרוב לא מקבל הודעה כשאותו אדם מתחלף.
מה שמפריד בין נוהל לבין הוכחה
בהסכם מול ספק יש כמעט תמיד סעיף אבטחת מידע, ולעיתים גם התחייבות לעמידה בתקן. שני אלה הם הצהרות. מה שנדרש בעת אירוע הוא ראיה: רשומה של מי התחבר, מתי, מאיפה, לאיזו מערכת ומה שינה.
ארגון שמחזיק את הרשומה הזאת מסיים בדיקת היקף בימים. ארגון שמסתמך על ההצהרה מגלה שהוא לא יכול לשלול מעורבות ולא יכול לאשר אותה, וזו העמדה הגרועה ביותר גם מול ההנהלה, גם מול הלקוחות שלו וגם מול הרגולטור.
מאיפה מתחילים כשאין צוות שמוקדש לזה
בארגון בינוני, הבעיה היא בדרך כלל לא לדעת שצריך לנהל גישות והרשאות, אלא למצוא את הזמן והמשאבים לבדוק אותן באופן שוטף. לכן נקודת הפתיחה לא צריכה להיות פרויקט גדול, אלא תמונת מצב ברורה: מי מחזיק היום בגישה למערכות הארגון, לאיזו מטרה, לכמה זמן, והאם הגישה הזאת עדיין נדרשת.
כאן בדיוק נכנסת מעטפת הסייבר של קומסקיור. באמצעות שירותי סייבר מקצועיים הכוללים בין היתר סקרי סיכונים, בדיקות חדירות, CISO as a Service ובדיקות הקשורות להרשאות ולמאגרי מידע, ניתן לזהות נקודות חולשה ולהגדיר פעולות לצמצום הסיכון. לצד השירותים המקצועיים, פתרונות כמו Safetica מאפשרים להגן על מידע רגיש, לנטר את השימוש בו ולצמצם את הסיכון לדליפת מידע, ו-ESET MDR מספק ניטור, זיהוי ותגובה לאיומים מסביב לשעון.
המטרה היא לא להסתכל על גישת ספק כעל נושא אדמיניסטרטיבי נפרד, אלא כחלק מתמונת הסיכון של הארגון.
ואם רוצים להתחיל כבר השבוע, יש בדיקה אחת פשוטה: שלפו את רשימת החשבונות החיצוניים הפעילים ובדקו מי עומד מאחורי כל חשבון, למה הוא עדיין פתוח ומתי נעשה בו שימוש לאחרונה. כל חשבון שאין לו עוד צורך עסקי הוא חשיפה שאפשר לצמצם עוד לפני שרוכשים כלי נוסף או מתחילים פרויקט חדש.
