הקדמה
זה מתחיל כמעט תמיד באותה צורה. לקוח מתקשר ומספר שהאתר מפנה אותו לעמוד מוזר, גוגל מציג אזהרה אדומה, או שאתם פשוט נכנסים בבוקר ומגלים דף בית שלא אתם כתבתם. הלב צונח, הידיים מזיעות, והמחשבה הראשונה היא לתקן הכול מיד.
עצרו רגע. הדרך שבה תפעלו ב-48 השעות הקרובות תקבע לא רק כמה מהר תחזרו לאוויר, אלא גם כמה נזק ייגרם ללקוחות שלכם, למוניטין שלכם, ולפעמים גם לכיס שלכם. הנה תוכנית פעולה מסודרת, שלב אחרי שלב.
השעות הראשונות: קודם כול בידוד
הטעות הנפוצה ביותר היא לרוץ לתקן לפני שעוצרים את הדימום. כל דקה שהאתר הפרוץ נשאר פעיל, התוקף יכול להמשיך לגנוב מידע, להדביק גולשים ולהעמיק את האחיזה שלו במערכת.
הצעד הראשון: להוריד את האתר ממצב פעיל. העלו עמוד תחזוקה סטטי, או בקשו מחברת האחסון להשעות את האתר זמנית. אל תמחקו כלום ואל תדרסו כלום. השרת במצבו הנוכחי הוא זירת אירוע, והוא מכיל את הראיות שיסבירו לכם מה קרה.
מיד אחר כך: להחליף את כל הסיסמאות, מהמכשיר הנקי ביותר שיש לכם. לא רק את סיסמת הניהול של האתר, אלא הכול: פאנל האחסון, חשבון ה-FTP או ה-SSH, בסיס הנתונים, חשבון הדומיין וחשבון המייל שמקושר אליהם. תוקפים רבים משיגים דריסת רגל דרך חשבון מייל פרוץ, ולכן חשוב לוודא שגם שם הכול נקי, ושאימות דו-שלבי מופעל בכל מקום אפשרי.
בטלו מפתחות API וטוקנים של שירותים חיצוניים שמחוברים לאתר, כמו שערי סליקה, מערכות דיוור ושירותי ענן. אם יש חשד שפרטי אשראי או פרטי תשלום נחשפו, עדכנו את חברת הסליקה כבר בשלב הזה.
תיעוד: הרגע שבו רובנו מתפתים לדלג
לפני שנוגעים בקבצים, מתעדים. צלמו מסך של כל דבר חריג. שמרו עותק מלא של האתר במצבו הפרוץ, כולל קבצי הלוג של השרת, לוג הגישה ולוג השגיאות. רשמו ציר זמן: מתי שמתם לב לבעיה, מה בדיוק ראיתם ומה עשיתם.
התיעוד הזה חשוב משלוש סיבות. הוא יעזור לכם או לאיש אבטחה להבין איך התוקף נכנס. הוא יידרש אם תגישו תלונה במשטרה או תביעה לביטוח סייבר. והוא קריטי אם תצטרכו לדווח לרשות להגנת הפרטיות: לפי הדין בישראל, ארגון שנפגע נדרש להוכיח שפעל באופן סביר, ותיעוד מסודר הוא הדרך היחידה לעשות זאת.
חקירה קצרה: איך הם נכנסו
אין טעם לנקות בית כשהדלת עדיין פתוחה. לפני השחזור, נסו להבין את נקודת הכניסה. ברוב המכריע של המקרים מדובר באחת מאלה: תוסף או תבנית עם פרצה ידועה שלא עודכנו, סיסמה חלשה או ממוחזרת, מחשב נגוע של אחד מבעלי ההרשאות, או פרצה אצל ספק האחסון עצמו.
עברו על הלוגים של השרת וחפשו כניסות ממדינות לא צפויות, בקשות חריגות לקבצים רגישים, ומשתמשי ניהול חדשים שלא אתם יצרתם. בדקו את תאריכי השינוי של הקבצים באתר: קבצים שהשתנו בשעות מוזרות הם חשודים מיידיים.
אם זה מעבר ליכולות שלכם, זה בדיוק השלב לערב איש מקצוע. כמה שעות ייעוץ עולות הרבה פחות מפריצה חוזרת שבוע אחרי השחזור.
שחזור מגיבוי: הדרך הבטוחה חזרה
כאן מתגלה האמת על תרבות הגיבויים שלכם. גיבוי טוב הוא כזה שנשמר מחוץ לשרת הפרוץ, קיים בכמה גרסאות אחורה, וכולל גם את הקבצים וגם את בסיס הנתונים.
הכלל החשוב ביותר: שחזרו מגיבוי שנוצר לפני מועד הפריצה. אם התוקף ישב במערכת שבועיים לפני שהתגלה, גיבוי מאתמול משחזר גם את הדלת האחורית שהוא שתל. זו בדיוק הסיבה שחקרתם קודם מתי זה קרה.
אם אין גיבוי נקי, נדרש ניקוי ידני, וזו עבודה קפדנית: התקנה מחדש של ליבת המערכת מקבצים רשמיים, התקנה מחדש של כל התוספים והתבניות מהמקור (לא מהעותק שבשרת), סריקת בסיס הנתונים לאיתור משתמשים זרים וקוד מוזרק, ובדיקה ידנית של קבצי ההגדרות וקובץ ה-htaccess. חפשו במיוחד קבצים עם שמות תמימים במיקומים מוזרים, כי כך נראות רוב הדלתות האחוריות.
לפני החזרה לאוויר: הקשחה
אל תחזירו את האתר לאוויר במצב שבו נפרץ. לפני ההשקה מחדש ודאו:
- כל רכיבי המערכת מעודכנים לגרסה האחרונה.
- תוספים ותבניות שאינם בשימוש הוסרו.
- כל משתמשי הניהול מוכרים לכם ומאובטחים באימות דו-שלבי.
- הותקנה חומת אש אפליקטיבית (WAF) וסריקה שוטפת לזיהוי שינויים בקבצים.
- הוגדר גיבוי אוטומטי יומי לענן חיצוני.
הפריצה הזו כבר קרתה, אבל היא יכולה להיות האחרונה.
אם גוגל סימן את האתר כמסוכן, הגישו בקשת בדיקה מחדש דרך Search Console אחרי הניקוי. הסרת האזהרה לוקחת בדרך כלל בין יום לכמה ימים.
הדיווח: החלק שאסור לדחות, במיוחד אחרי תיקון 13
כאן מגיע החלק שהרבה בעלי אתרים מעדיפים להדחיק, ובטעות. אם האתר שלכם אוסף מידע אישי, כמו פרטי לקוחות, טפסי יצירת קשר, היסטוריית הזמנות או פרטי תשלום, אתם ככל הנראה מנהלים מאגר מידע כהגדרתו בחוק הגנת הפרטיות. תיקון 13 לחוק, שנכנס לתוקף באוגוסט 2025, שינה את כללי המשחק מהיסוד.
עיקרי חובת הדיווח: במקרה של אירוע אבטחה חמור קיימת חובת דיווח מיידי לרשות להגנת הפרטיות. הדיווח צריך לכלול את מהות האירוע, את היקף הנפגעים ואת הצעדים שננקטו. הרשות רשאית להורות לכם להודיע גם לנושאי המידע עצמם, כלומר ללקוחות שהפרטים שלהם נחשפו. אירוע אבטחה חמור כולל, בין השאר, מצב שבו נעשה שימוש במידע ללא הרשאה או שנפגעה שלמותו, ובמאגרים רגישים או גדולים הרף נמוך עוד יותר.
והנה הסיבה שאסור להתעלם: תיקון 13 העניק לרשות סמכויות אכיפה עם שיניים. אי-דיווח מיידי על אירוע חמור חשוף לעיצומים כספיים של עשרות עד מאות אלפי שקלים, בהתאם לרמת האבטחה של המאגר, והעיצומים על הפרות שונות מצטברים. יתרה מזאת, אחרי אירוע אבטחה הנטל עליכם להוכיח שנקטתם אמצעים סבירים, ולנושאי משרה בארגון עשויה לקום גם אחריות אישית. במילים פשוטות: הדיווח הוא כמעט תמיד הצעד הזול, והשתיקה היא היקרה.
מעבר לרשות להגנת הפרטיות, שקלו גם:
- דיווח למערך הסייבר הלאומי במוקד 119, שמעניק סיוע ראשוני ללא עלות.
- הגשת תלונה במשטרה, ביחידת הסייבר.
- עדכון חברת הביטוח, אם יש לכם פוליסת סייבר.
אם נחשפו פרטי לקוחות, עדכון יזום, כן ושקוף מצדכם יפגע במוניטין הרבה פחות מגילוי מאוחר דרך התקשורת.
סיכום: 48 השעות במבט אחד
ביום הראשון: מבודדים את האתר, מחליפים את כל הסיסמאות, מתעדים הכול, מבינים איך התוקף נכנס, ומדווחים לרשות להגנת הפרטיות אם מדובר באירוע חמור.
ביום השני: משחזרים מגיבוי נקי או מנקים ידנית, מקשיחים את המערכת, מחזירים את האתר לאוויר, ומעדכנים את הלקוחות במידת הצורך.
פריצה לאתר היא חוויה מטלטלת, אבל היא לא סוף הדרך. עסקים שמגיבים מהר, בשקיפות ובשיטתיות, יוצאים ממנה לרוב מחוזקים: עם מערכת מאובטחת יותר ועם לקוחות שדווקא למדו לסמוך עליהם. ההכנה הטובה ביותר לפריצה הבאה מתחילה היום: גיבוי חיצוני אוטומטי, עדכונים שוטפים, אימות דו-שלבי, ונוהל תגובה כתוב שיושב במגירה ומחכה ליום שבו תקוו שלא תצטרכו אותו.
האמור במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל הנוגע לחובות הדיווח לפי תיקון 13 מומלץ להתייעץ עם עורך דין המתמחה בהגנת פרטיות.
