העסק נפרץ? הצעדים הראשונים שחייבים לעשות אחרי מתקפת סייבר

ידיעות על מתקפות סייבר נגד חברות גדולות, בתי חולים וגופים ציבוריים הפכו לחלק קבוע מסדר היום בישראל. אבל מאחורי הכותרות מסתתרת מציאות שפחות מדברים עליה: עסקים קטנים ובינוניים הם יעד נפוץ לא פחות. מספרת, משרד רואי חשבון, חנות מקוונת או קליניקה יכולים למצוא את עצמם בוקר אחד מול מחשבים נעולים, אתר שהושחת או חשבון מייל שנגנב. מה עושים ברגע כזה, ואיך נערכים מראש?

למה דווקא עסקים קטנים

תוקפים רבים פועלים בשיטה של רשת רחבה. הם לא בוחרים דווקא את העסק שלכם, אלא סורקים אלפי מערכות ומחפשים את החלשות שבהן: סיסמה פשוטה, תוכנה שלא עודכנה, עובד שלחץ על קישור בהודעה מזויפת. לעסקים קטנים יש בדרך כלל פחות שכבות הגנה ואין להם צוות אבטחת מידע ייעודי, ולכן הם מטרה קלה יחסית.

בנוסף, לעסקים קטנים יש לעיתים קרובות גישה למידע רגיש של לקוחות, כמו פרטים מזהים, מסמכים פיננסיים או מידע רפואי. המידע הזה שווה כסף בעיני התוקפים, גם אם העסק עצמו אינו גדול.

השעות הראשונות: לא להיכנס לפאניקה

הדבר הראשון שצריך לעשות כשמגלים פריצה הוא לעצור ולחשוב. החלטות נמהרות, כמו מחיקת קבצים או כיבוי כל המערכות באופן לא מבוקר, עלולות להשמיד ראיות ולהקשות על השחזור. במקום זאת, יש לנתק את המחשבים או השרתים שנפגעו מהרשת, כדי למנוע התפשטות, ולתעד את מה שרואים: צילומי מסך, הודעות שהופיעו, שעות וסימנים חריגים.

במקביל, כדאי להחליף מיד סיסמאות של חשבונות חיוניים, כמו המייל העסקי, חשבון הבנק המקוון ומערכות ניהול האתר, מתוך מכשיר שלא נפגע. אם קיים אימות דו-שלבי, ודאו שהוא פעיל. אם לא, זה הזמן להפעיל אותו.

לפנות לגורמים המקצועיים

לא כל בעל עסק יודע להתמודד לבד עם אירוע סייבר, וגם לא אמור לדעת. בישראל פועל מערך הסייבר הלאומי, שמפעיל מוקד לדיווח וקבלת סיוע ראשוני על אירועים. בנוסף, יש חברות מקצועיות לתגובה לאירועים, שיכולות לאתר את מקור הפריצה, להעריך את היקף הנזק ולסייע בשחזור.

אם לעסק יש פוליסת ביטוח סייבר, יש לעדכן את חברת הביטוח מוקדם ככל האפשר. פוליסות רבות כוללות גישה לצוות תגובה ולייעוץ משפטי, ולעיתים מחייבות דיווח בתוך פרק זמן מוגדר. כדאי לבדוק את תנאי הפוליסה כבר עכשיו, לפני שמשהו קורה.

חובות דיווח ולקוחות

כשמדובר בדליפת מידע אישי, עשויות לחול על העסק חובות דיווח לפי דיני הגנת הפרטיות. העסק עשוי להידרש לדווח לרשות להגנת הפרטיות ולעיתים גם לעדכן את הלקוחות שנפגעו. מאחר שהכללים מורכבים ותלויים בסוג המידע ובהיקף האירוע, מומלץ מאוד להתייעץ עם עורך דין שמתמחה בפרטיות ואבטחת מידע.

גם בלי חובה משפטית, שקיפות מול הלקוחות היא בדרך כלל ההחלטה הנכונה. לקוח שמגלה מגורם אחר שהמידע שלו דלף יאבד אמון הרבה יותר מלקוח שקיבל הודעה ברורה, הסבר על מה שקרה והנחיות כיצד להגן על עצמו.

דמי כופר: לשלם או לא לשלם

במתקפות כופרה, התוקפים מצפינים את הקבצים ודורשים תשלום, לרוב במטבע דיגיטלי, תמורת מפתח הפענוח. הפיתוי לשלם ולהמשיך הלאה מובן, אבל גורמי המקצוע ממליצים בדרך כלל שלא לעשות זאת. אין שום ערובה שהתוקפים יעמדו בהבטחה, תשלום מסמן את העסק כיעד משתלם למתקפות נוספות, ובמקרים מסוימים התשלום עצמו עלול להיות בעייתי מבחינה חוקית.

הדרך הטובה ביותר להימנע מהדילמה הזאת היא גיבוי. עסק שיש לו גיבוי עדכני, שמור במקום נפרד ומנותק מהרשת, יכול לשחזר את המערכות בלי לנהל משא ומתן עם עבריינים.

איך מצמצמים את הסיכון להבא

אחרי שהאבק שוקע, זה הזמן לחזק את ההגנות. רוב הצעדים אינם יקרים ואינם מסובכים:

• גיבוי קבוע ואוטומטי של כל המידע החשוב, עם עותק אחד לפחות שמנותק מהרשת.
• אימות דו-שלבי בכל החשבונות הקריטיים, ובראשם המייל והבנק.
• עדכון שוטף של מערכות הפעלה, תוכנות ותוספים לאתר.
• סיסמאות חזקות ושונות לכל שירות, בעזרת מנהל סיסמאות.
• הדרכה קצרה לעובדים על זיהוי הודעות מזויפות וקישורים חשודים.
• הגבלת הרשאות, כך שכל עובד ניגש רק למה שהוא באמת צריך.

לבנות תוכנית תגובה מראש

עסקים שמתמודדים הכי טוב עם מתקפות הם אלה שהכינו תוכנית מראש. לא צריך מסמך של עשרות עמודים. מספיק דף אחד שמפרט מי אחראי על מה, את מי מתקשרים ראשונים, איפה נמצאים הגיבויים ואיך משחזרים אותם. התוכנית צריכה להיות שמורה גם מחוץ למחשבים של העסק, למשל בעותק מודפס, כי ייתכן שבזמן אירוע לא תהיה גישה למערכות.

כדאי לתרגל את התוכנית לפחות פעם בשנה. תרגול פשוט, שבו מנסים לשחזר קובץ מגיבוי או מדמים מצב שבו המייל העסקי אינו זמין, חושף פערים שקל לתקן בזמן רגיל וקשה מאוד לתקן בזמן משבר.

ספקים חיצוניים כנקודת תורפה

לעיתים קרובות הפריצה אינה מגיעה ישירות לעסק, אלא דרך ספק. חברת אחסון, מתכנת חיצוני, ספק מערכת הנהלת חשבונות או טכנאי מחשבים שיש לו גישה מרחוק עלולים להפוך לדלת כניסה לתוקפים. לכן חשוב לדעת אילו ספקים מחזיקים בגישה למערכות העסק, ולוודא שהם מקפידים על נהלי אבטחה בסיסיים.

כדאי לבדוק מדי פעם מי מחזיק בהרשאות, להסיר גישה של ספקים שכבר אינם עובדים עם העסק ולהחליף סיסמאות לאחר כל שינוי. צעד פשוט כזה סוגר פרצות שרבים כלל לא מודעים לקיומן.

לסיכום, מתקפת סייבר היא אירוע מלחיץ, אבל לא חייבת להיות אסון. עסק שפועל בקור רוח, מנתק את המערכות שנפגעו, פונה לגורמים המקצועיים ומתקשר בשקיפות עם הלקוחות, יכול לחזור לשגרה מהר יותר. וחשוב מכול, עסק שמשקיע מראש בגיבוי ובהגנות בסיסיות מקטין משמעותית את הסיכוי שזה יקרה מלכתחילה.