איומי אבטחת מידע: סוגים, דוגמאות ודרכי הגנה לעסק

ברגע זה ממש מישהו סורק אתרים באינטרנט ומחפש תוסף לא מעודכן, סיסמה חלשה או טופס שלא בודק מה מקלידים בו. רוב המתקפות לא מכוונות לעסק מסוים: בוטים עוברים על מיליוני אתרים ומנצלים כל פרצה שהם מוצאים. לכן גם עסק קטן, עם אתר תדמית וטופס יצירת קשר, הוא מטרה.

איום על אבטחת מידע הוא כל אירוע או פעולה שיכולים לפגוע במידע: כשנתונים מגיעים לידיים לא נכונות, משתנים בלי הרשאה או הופכים ללא זמינים. למשל, תוקף גונב את רשימת הלקוחות, משנה פרטי חשבון בנק בחשבונית, או נועל את כל הקבצים של העסק בעזרת תוכנת כופר.

במדריך הזה נסביר:

• מה זו אבטחת מידע ועל אילו שלושה עקרונות היא שומרת;
• מאיפה מגיעים האיומים ואיך מסווגים אותם;
• אילו מתקפות מאיימות דווקא על אתר של עסק;
• איך מוצאים חולשות ומעריכים כמה הן מסוכנות;
• מה החוק בישראל דורש מעסקים שמחזיקים מידע אישי;
• איך בונים תוכנית הגנה בסיסית בשבעה צעדים.

מהי אבטחת מידע: סודיות, שלמות וזמינות

אבטחת מידע היא תחום בתוך הגנת הסייבר שעוסק בהגנה על נתונים מפני דליפה, גניבה, שינוי, גישה לא מורשית, פישינג ונוזקות. המטרה היא לשמור על שליטה במידע לפי שלושה עקרונות, שמכונים במקצוע «משולש CIA».

סודיות (Confidentiality)

רק מי שמורשה רואה את המידע. דליפה של רשימת לקוחות, של מספרי טלפון מטופס באתר או של קובץ שכר היא פגיעה בסודיות. אמצעי ההגנה העיקריים: הרשאות לפי תפקיד, הצפנה, סיסמאות חזקות ואימות דו-שלבי.

שלמות (Integrity)

המידע מדויק ולא משתנה בלי אישור. אם תוקף שינה מחיר בחנות, הוסיף קישור זדוני לדף באתר או החליף מספר חשבון בנק בחשבונית שנשלחה ללקוח, השלמות נפגעה. בתחומים כמו כספים ורפואה גם שינוי קטן עלול לגרום נזק גדול.

זמינות (Availability)

מי שמורשה יכול לגשת למידע ולשירות כשהוא צריך. אתר שקרס בגלל מתקפת DDoS בדיוק ביום של מבצע, או מערכת הזמנות שננעלה בגלל תוכנת כופר, הן פגיעה בזמינות. כאן עוזרים גיבויים, תשתית מבוזרת ותוכנית התאוששות.

שלושת העקרונות קשורים זה בזה. הגנה טובה משלבת כלים טכנולוגיים, הדרכת עובדים, נהלים כתובים והגנה פיזית על הציוד. חוליה חלשה אחת מספיקה כדי לפרוץ את כל השאר.

מאיפה מגיעים איומי אבטחת מידע

כדי להתגונן צריך קודם להבין מאיפה מגיע הסיכון. נהוג לחלק את מקורות האיומים לשלוש קבוצות: גורם אנושי, תקלות טכנולוגיות ואירועי טבע וחירום.

גורם אנושי

כאן נכללות גם פעולות מכוונות וגם טעויות. עובד שמשאיר מחשב נייד לא מוצפן ברכב, מנהל ששולח קובץ לקוחות לכתובת מייל שגויה, או עובדת שלוחצת על קישור במייל מזויף, כולם מקור לאירוע אבטחה.

בשנים האחרונות נוספה לזה התחזות בעזרת AI. ב-2024 דווח שעובד בסניף הונג קונג של חברת ההנדסה Arup העביר לתוקפים סכום של כ-25 מיליון דולר אחרי שיחת וידאו שבה «המנהלים» שראה היו זיופים (deepfake). השיטה הזו כבר נגישה גם לנוכלים קטנים: מספיקה הקלטה קצרה של קול כדי לזייף הודעה קולית בוואטסאפ «מהבוס».

סוג נפרד הוא איום פנימי (insider threat): עובד או עובד לשעבר עם גישה למידע רגיש, שמעביר אותו החוצה מכוונה או מרשלנות. לכן חשוב לבטל הרשאות מיד כשמישהו עוזב, גם אם הפרידה הייתה בהסכמה.

תקלות טכנולוגיות

שרת שנשבר, גיבוי שלא רץ חודשים בלי שאף אחד שם לב, עדכון שהשבית את האתר. בנוסף, כל חולשה בתוכנה, מתוסף וורדפרס ועד מערכת ההפעלה של השרת, היא דלת פוטנציאלית לתוקפים. ספקי ענן גדולים, כמו Google ו-Cloudflare, מדווחים בשנים האחרונות על מתקפות DDoS בהיקפים של מאות מיליוני בקשות בשנייה. הם עמדו בהן בזכות תשתית מבוזרת ענקית, ושרת יחיד של עסק קטן לא היה מחזיק מעמד.

אירועי טבע וחירום

שריפה, הצפה, הפסקת חשמל ממושכת ובישראל גם מצבי חירום ביטחוניים. כל אלה עלולים להשמיד ציוד, לנתק משרד מהרשת או להשבית מחשבים מקומיים. גם הבלגן בזמן חירום מגדיל את הסיכון: נהלים נשכחים, עובדים עובדים מהבית מרשתות לא מאובטחות, ותוקפים מנצלים את הלחץ למתקפות פישינג בנושא החדשות.

איך מסווגים איומים

מומחי אבטחת מידע משתמשים בכמה סיווגים, והבחירה תלויה בהקשר. בחברה מחלקים לפעמים לאיומים פנימיים וחיצוניים, ובמרפאה שמים דגש על מידע רפואי. שלושה סיווגים שימושיים לכל עסק:

לפי היקף הפגיעה

איום מקומי פוגע ברכיב אחד, למשל מחשב אחד שנדבק בנוזקה או חשבון מייל אחד שנפרץ. איום גלובלי פוגע בכל המערכת, כמו תוכנת כופר שמצפינה את כל השרתים. אם מחשב בהנהלת החשבונות נדבק, מנתקים אותו מהרשת מיד, סורקים אותו בסביבה מבודדת ובודקים את הפעולות הכספיות של הימים האחרונים, כדי שהאירוע לא יתפשט.

לפי כוונה

איום מכוון הוא פעולה של תוקף: פישינג, נוזקה, גניבת נתונים. איום לא מכוון הוא טעות או תקלה: מישהו מחק תיקייה משותפת, או שרת נכבה בגלל התחממות. ההגנה מפני פישינג, למשל, בנויה מכמה שכבות: סינון דואר, הדרכת עובדים, אימות דו-שלבי וניטור כניסות חשודות. אם שכבה אחת נכשלה, כמו עובד שלחץ על הקישור, השכבה הבאה עוצרת את התוקף.

לפי אופן הביצוע

• טכני: ניצול חולשות בתוכנה ובחומרה, כמו נוזקות ופרצות באתר.
• חברתי (הנדסה חברתית): הונאת אנשים, כמו שיחת טלפון מ«התמיכה של הבנק» או הודעת SMS על «חבילה שמחכה במכס».
• פיזי: גישה ישירה לציוד: גניבת מחשב נייד, כניסה לחדר שרתים או הצפה במשרד.

האיומים הנפוצים על אתר של עסק

רוב העסקים בישראל לא מחזיקים חדר שרתים, אבל כמעט לכולם יש אתר, טפסים, מייל עסקי וחיבורים למערכות כמו CRM וסליקה. אלה המתקפות שאנחנו פוגשים הכי הרבה סביב אתרים.

פישינג והשתלטות על חשבונות

מייל «מ-Google» או «מ-Webflow» שמבקש לאשר את החשבון, דף כניסה מזויף, ואחרי זה התוקף נכנס לממשק הניהול של האתר או לתיבת המייל. ההגנה: אימות דו-שלבי בכל מערכת, עדיף passkeys או אפליקציית אימות במקום SMS, ומנהל סיסמאות כמו 1Password או Bitwarden.

תוספים ותבניות לא מעודכנים

באתרי וורדפרס רוב הפריצות מגיעות דרך תוספים ותבניות ישנים, לא דרך הליבה עצמה. תוסף שהמפתח הפסיק לתחזק הוא פרצה פתוחה. כתבנו על זה גם במדריך איך בונים אתר בוורדפרס: מעט תוספים, רק ממקורות אמינים, ועדכונים קבועים.

הזרקת SQL ו-XSS

בהזרקת SQL התוקף שולח דרך טופס או כתובת URL קוד שמגיע ישירות לשאילתה במסד הנתונים, וכך יכול לקרוא טבלאות של משתמשים וסיסמאות. ב-XSS הוא מחדיר JavaScript לדף, למשל דרך שדה חיפוש שלא מסנן את הקלט, והקוד רץ בדפדפן של המבקרים. ההגנה היא בצד הפיתוח: בדיקת קלט, שאילתות עם פרמטרים, Content Security Policy וספריות מוכרות במקום פתרונות ביתיים. רשימת OWASP Top 10 היא נקודת פתיחה טובה כדי להכיר את החולשות הנפוצות בפיתוח ווב.

מתקפות DDoS

הצפת האתר בבקשות עד שהוא מפסיק להגיב. ההגנה המעשית לעסק קטן היא רשת הפצת תוכן עם הגנת DDoS ו-WAF (חומת אש לאפליקציות ווב), כמו Cloudflare. הסברנו את זה בפירוט במדריך מה זה CDN ולמה האתר שלכם צריך אותו.

תוכנות כופר

נוזקה שמצפינה את הקבצים ודורשת תשלום כדי לשחרר אותם, ולפעמים גם מאיימת לפרסם את המידע. ההגנה הכי חשובה היא גיבוי שהתוקף לא יכול להגיע אליו: עותק מנותק או גיבוי בענן עם גרסאות שאי אפשר למחוק.

התחזות דרך המייל של הדומיין

אם לא הוגדרו לדומיין רשומות SPF, DKIM ו-DMARC, כל אחד יכול לשלוח מייל שנראה כאילו נשלח מהעסק שלכם, למשל חשבונית מזויפת ללקוחות. מאז 2024 גם Google ו-Yahoo דורשות את ההגדרות האלה משולחים בהיקפים גדולים, כך שהן חשובות גם לאבטחה וגם להגעה לתיבת הדואר.

איך מוצאים חולשות ומעריכים את חומרתן

חולשה היא נקודה חלשה במערכת שתוקף יכול לנצל: באג בקוד, הגדרה שגויה בשרת, פורט פתוח, תוסף ישן. הערכת חולשות בזמן מאפשרת לסגור קודם את המסוכנות ביותר.

ארבע שיטות עיקריות

• ביקורת אבטחה (audit): בדיקה מקיפה של המערכות והנהלים. מבקר עשוי לגלות, למשל, שעובדים משתמשים בסיסמה אחת לכמה מערכות, או שהגיבוי האחרון ששוחזר בהצלחה היה לפני שנה.
• סורקי חולשות: תוכנות שבודקות אוטומטית חולשות מוכרות, כמו גרסת שרת ישנה, תוסף עם פרצה ידועה או פורט ניהול שפתוח לכל האינטרנט. לאתרי וורדפרס יש סורקים ייעודיים, כמו WPScan ו-Wordfence.
• מבדק חדירה (penetration test): מומחה מדמה מתקפה אמיתית באישור העסק: מנסה להיכנס דרך האתר, הרשת האלחוטית או מייל פישינג לעובדים.
• Fuzzing: שליחת אלפי קלטים אקראיים ושגויים לטופס או ל-API כדי לגלות קריסות והתנהגות לא צפויה.

איך מדרגים חומרה: CVSS

לא מספיק למצוא חולשה, צריך להבין כמה היא מסוכנת. השיטה הנפוצה היא CVSS (Common Vulnerability Scoring System), שנותנת לכל חולשה ציון בין 0 ל-10. הגרסה העדכנית היא CVSS 4.0, ומאגר NVD האמריקאי מציע מחשבון חינמי. הציון נקבע לפי שאלות כמו: האם אפשר לתקוף דרך האינטרנט, כמה מסובכת המתקפה, האם צריך חשבון במערכת, האם הקורבן צריך ללחוץ על משהו, ומה הנזק לסודיות, לשלמות ולזמינות.

נניח שבאתר יש שדה חיפוש שלא מסנן קלט, וזה מאפשר XSS משתקף: התוקף שולח קישור, והקוד רץ אצל מי שלחץ עליו. אפשר לתקוף מרחוק, קל לבצע ואין צורך בחשבון, אבל הקורבן חייב ללחוץ על הקישור, והשרת עצמו לא נפגע. חולשה כזו מקבלת בדרך כלל ציון בינוני (ב-CVSS 3.1 הציון האופייני הוא 6.1). זה לא מקרה חירום, אבל צריך לתקן מהר, כי דרכה אפשר לגנוב סשן של משתמש ולהשתלט על החשבון שלו.

אבטחת מידע והחוק בישראל

בישראל אבטחת מידע היא לא רק עניין טכני. חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע) מחייבים כל מי שמחזיק מאגר מידע אישי, וגם רשימת לקוחות או פניות מטופס באתר יכולות להיחשב מאגר כזה, לאבטח אותו לפי רמת הרגישות שלו.

• תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים משמעותיים, וחיזק את החובות של עסקים שמעבדים מידע אישי.
• דיווח על אירוע: במקרים מסוימים, בעיקר במאגרים ברמת אבטחה בינונית וגבוהה, התקנות מחייבות לדווח לרשות על אירוע אבטחה חמור.
• ספקים: אם האתר, ה-CRM או הדיוור מנוהלים אצל ספק חיצוני, האחריות לאבטחת המידע נשארת גם עליכם. כדאי להסדיר את זה בהסכם.
• סיוע: מערך הסייבר הלאומי מפעיל מוקד 119 לדיווח על אירועי סייבר ולקבלת עזרה, ומפרסם באתר שלו המלצות לעסקים קטנים.

המידע כאן כללי. כדי לדעת אילו חובות חלות על העסק שלכם, התייעצו עם עורך דין שמתמחה בפרטיות.

תוכנית הגנה בשבעה צעדים לעסק

לא צריך מחלקת אבטחה כדי להוריד את רוב הסיכונים. הצעדים האלה מכסים את רוב התרחישים שאנחנו רואים אצל עסקים קטנים ובינוניים.

צעד 1: ממפים מה יש לכם

רשימה פשוטה: אילו מערכות יש לעסק (אתר, מייל, CRM, סליקה, הנהלת חשבונות), איזה מידע יושב בכל אחת, ולמי יש גישה. אי אפשר להגן על מה שלא יודעים שקיים.

צעד 2: אימות דו-שלבי בכל מקום

מייל, ממשק הניהול של האתר, רשם הדומיין, חשבונות הפרסום ב-Meta וב-Google, הבנק. זה הצעד הזול ביותר שעוצר את רוב ההשתלטויות על חשבונות.

צעד 3: מנהל סיסמאות והרשאות לפי תפקיד

לכל עובד חשבון משלו, בלי סיסמה משותפת לכולם. כל אחד מקבל רק את ההרשאות שהוא צריך, וכשמישהו עוזב, מבטלים את הגישה שלו באותו יום.

צעד 4: עדכונים קבועים

מערכות הפעלה, דפדפנים, ליבת וורדפרס, תוספים ותבניות. באתרים מנוהלים כמו Webflow ו-Wix את השרת והתוכנה מעדכנת הפלטפורמה, אבל קוד מותאם, סקריפטים חיצוניים ואינטגרציות עדיין באחריותכם.

צעד 5: גיבויים לפי כלל 3-2-1

שלושה עותקים של המידע, בשני סוגי אחסון שונים, ואחד מהם מחוץ לעסק או בענן עם גרסאות שאי אפשר למחוק. והכי חשוב: לבדוק מדי פעם שאפשר באמת לשחזר מהגיבוי.

צעד 6: הגנה על האתר

תעודת SSL ו-HTTPS בכל הדפים, CDN עם WAF והגנת DDoS, הגנה מספאם בטפסים (reCAPTCHA או Cloudflare Turnstile), ניטור זמינות והתראה כשהאתר נופל. ב-Google Search Console כדאי לבדוק את דוח «בעיות אבטחה», שמתריע אם Google זיהתה פריצה או קוד זדוני באתר.

צעד 7: הדרכה ותוכנית תגובה

הדרכה קצרה לעובדים פעמיים בשנה: איך מזהים פישינג, ולמה מאמתים כל בקשה להעברת כסף בטלפון למספר מוכר. ודף אחד עם תוכנית לשעת אירוע: למי מתקשרים, איך מנתקים מערכת, איפה הגיבויים ומתי מדווחים.

טעויות נפוצות של עסקים באבטחת מידע

«אנחנו קטנים מדי, אף אחד לא יתקוף אותנו»

רוב המתקפות אוטומטיות ולא בוחרות קורבן לפי הגודל. דווקא לעסקים קטנים יש פחות הגנות, ולכן הם מטרה נוחה.

גיבוי שאף פעם לא נבדק

גיבוי שלא שוחזר אף פעם הוא רק תקווה. הרבה עסקים מגלים בזמן אירוע שהגיבוי לא רץ חודשים או שהוא נמצא על אותו שרת שנפרץ.

גישה של ספקים ועובדים לשעבר

פרילנסר שבנה את האתר לפני שלוש שנים עדיין מנהל בממשק, וחשבון של עובדת שעזבה עדיין פעיל. כדאי לעבור על רשימת המשתמשים בכל מערכת לפחות פעם ברבעון.

יותר מדי תוספים וסקריפטים

כל תוסף, פיקסל או ווידג'ט חיצוני הוא קוד של מישהו אחר שרץ באתר שלכם. מה שלא בשימוש, מוחקים.

הכול נשען על אדם אחד

רק אדם אחד יודע את הסיסמה לדומיין, והוא בחופשה או כבר לא עובד איתכם. גישה לנכסים קריטיים, כמו הדומיין, האחסון וחשבון המייל הראשי, צריכה להיות מתועדת ובבעלות העסק.

איך RJL Studio שומרת על האתר שלכם מאובטח

ב-RJL Studio אנחנו בונים ומתחזקים אתרים ב-Webflow, וורדפרס ו-Wix עם אבטחה כחלק מהעבודה: הרשאות נכונות ואימות דו-שלבי, עדכוני תוספים ותבניות, גיבויים, SSL, הגדרות SPF, DKIM ו-DMARC לדומיין, הגנה על טפסים, CDN וניטור זמינות. כשאנחנו מחברים את האתר ל-CRM, לסליקה ולכלי אוטומציה דרך API ו-webhooks, אנחנו דואגים שהמפתחות יישמרו בצורה בטוחה ושכל מערכת תקבל רק את ההרשאות שהיא צריכה. אם האתר שלכם בנוי בוורדפרס ולא עודכן מזמן, נתחיל מבדיקה שלו.

רוצים לבדוק כמה האתר שלכם מוגן? קראו על תחזוקה ופיתוח אתרי וורדפרס ועל אתרים ב-Webflow, או השאירו פרטים ונחזור אליכם.

שאלות נפוצות על איומי אבטחת מידע

מה ההבדל בין אבטחת מידע לסייבר?

הגנת סייבר היא התחום הרחב, שכולל את כל ההגנה על מערכות, רשתות ומכשירים. אבטחת מידע היא חלק ממנו שמתמקד בנתונים עצמם: שיישארו סודיים, מדויקים וזמינים, בין אם הם בשרת, בענן או על נייר.

האם אתר Webflow או Wix בטוח יותר מוורדפרס?

בפלטפורמות מנוהלות, כמו Webflow ו-Wix, הפלטפורמה אחראית לשרת, לעדכונים ול-SSL, ולכן יש פחות דברים שיכולים להישאר לא מעודכנים. וורדפרס יכול להיות בטוח באותה מידה, אבל הוא דורש תחזוקה קבועה של התוספים והאחסון. בכל פלטפורמה החשבון של מנהל האתר צריך אימות דו-שלבי.

מה עושים אם האתר נפרץ?

מחליפים מיד את כל הסיסמאות ומוודאים שיש אימות דו-שלבי, מגבים את המצב הנוכחי לצורך בדיקה, משחזרים מגיבוי נקי, מעדכנים את כל הרכיבים ובודקים ב-Google Search Console אם יש התראת אבטחה. אם דלף מידע אישי, בדקו עם עורך דין אם צריך לדווח לרשות להגנת הפרטיות. אפשר גם לפנות למוקד 119 של מערך הסייבר הלאומי.

כל כמה זמן צריך לבדוק את האבטחה של האתר?

עדכונים וגיבויים בודקים כל שבוע או חודש, לפי הפלטפורמה. רשימת משתמשים והרשאות עוברים פעם ברבעון. סריקת חולשות מלאה כדאי לעשות לפחות פעם בשנה ואחרי כל שינוי גדול באתר, כמו חנות חדשה או אינטגרציה חדשה.

האם צריך מבדק חדירה לעסק קטן?

לרוב העסקים הקטנים מספיקים בהתחלה הצעדים הבסיסיים וסריקה אוטומטית. מבדק חדירה מקצועי כדאי כשהאתר מחזיק מידע רגיש, כמו מידע רפואי או פיננסי, כשיש אזור אישי ללקוחות, או כשלקוח עסקי גדול דורש אותו כתנאי לעבודה משותפת.