בקצרה
מנהל סיסמאות הוא אפליקציה או תכונה בדפדפן שיוצרת סיסמאות, שומרת אותן וממלאת אותן, כך שלכל חשבון יכולה להיות סיסמה ייחודית [1][2]. מנהלי סיסמאות טובים מצפינים את הכספת במכשיר שלכם [5]. הם אינם חפים מסיכון, ופריצות ומחקרים חשפו בהם חולשות [6][8]. ה-NCSC הבריטי ו-CISA האמריקנית עדיין ממליצים להשתמש בהם [1][3].
עיקרי הדברים
- מנהל סיסמאות מאפשר להשתמש בסיסמה חזקה אחרת לכל חשבון, וכך פריצה אחת אינה מתפשטת לחשבונות האחרים שלכם [1].
- המילוי האוטומטי מסייע נגד פישינג, משום שהסיסמה מתמלאת רק באתר הנכון [1].
- מנהלי סיסמאות בענן כמו Bitwarden מצפינים את הכספת במכשיר שלכם, וסיסמת האב לעולם אינה נשלחת לשרתי החברה [5].
- ב-2026 דיווחו חוקרים מ-ETH Zurich ומ-USI על 31 מתקפות נגד ארבעה מנהלי סיסמאות בענן, בתרחיש של שרת זדוני; הספקים עודכנו והתיקונים בעבודה [6].
- הרגולטור הבריטי הטיל על LastPass קנס של 1.2 מיליון ליש״ט בדצמבר 2025 בשל הפריצה ב-2022, אם כי לא מצא ראיות לכך שסיסמאות הלקוחות פוענחו [8].
- הגנו על מנהל הסיסמאות עצמו בצירוף סיסמה ארוך ובאימות דו־שלבי [1][3], והשתמשו במפתחות גישה (passkeys) כשאתר מציע אותם [11].
בעמוד הזה 11 חלקים
מהו מנהל סיסמאות?
מנהל סיסמאות הוא תוכנה שמפיקה, שומרת וממלאת את הסיסמאות שלכם [2]. הוא יכול להיות מובנה בדפדפן או בטלפון, או אפליקציה נפרדת של צד שלישי [1]. פותחים אותו בסיסמה ראשית אחת (שנקראת לרוב סיסמת אב), כך שצריך לזכור רק סיסמה חזקה אחת [2].
היתרון העיקרי הוא שאפשר להשתמש בסיסמה ייחודית לכל שירות, כי כבר אין צורך לזכור את כולן [1]. הדבר חשוב משום שסיסמאות בשימוש חוזר מפיצות את הנזק. ה-NCSC מסביר שאם חשבון אחד נפרץ, האקר יכול לנסות את אותה סיסמה בחשבונות האחרים שלכם [1].
רוב מנהלי הסיסמאות מציעים גם [1]:
- הפקת סיסמאות: יצירת סיסמה חזקה וייחודית לכל חשבון.
- מילוי אוטומטי: הזנת הסיסמה במקומכם, מה שמסייע גם נגד פישינג, כי היא מתמלאת רק באתר הנכון.
- סנכרון: הנגשת הסיסמאות בכל המכשירים שלכם.
- התראות על דליפות: הודעה כשסיסמה שמורה דלפה.
האם סוכנויות אבטחה ממליצות עליהם?
כן. CISA, הסוכנות האמריקנית לאבטחת סייבר, ממליצה להשתמש במנהל סיסמאות לאחסון כל הסיסמאות ולהגן על הכספת בצירוף סיסמה חזק [3]. ההנחיות של NIST משנת 2025 הולכות רחוק יותר לגבי אתרים: שירותים חייבים לאפשר מנהלי סיסמאות ומילוי אוטומטי, וצריכים לאפשר הדבקת סיסמאות [4].
איך מנהל סיסמאות שומר על הסיסמאות מאובטחות?
הסיסמאות השמורות שלכם נמצאות בקובץ מוצפן שנקרא כספת. מסמך האבטחה שפרסמה Bitwarden הוא דוגמה מפורטת לאופן שבו מנהל סיסמאות מבוסס ענן מגן עליה [5]:
- סיסמת האב עוברת מתיחה באמצעות פונקציה לגזירת מפתחות, PBKDF2-SHA256 עם 600,000 איטרציות כברירת מחדל, כדי ליצור מפתח הצפנה. המשתמשים יכולים לעבור במקום זאת ל-Argon2id [5].
- הכספת מוצפנת במכשיר שלכם ב-AES-256 לפני שמשהו מועלה [5].
- סיסמת האב ומפתחות ההצפנה שנגזרים ממנה לעולם אינם נשלחים לשרתי Bitwarden ואינם נשמרים בהם; השרת מקבל רק גיבוב (hash) של סיסמת האב, שמשמש לאימות הכניסה [5].
- השרתים שומרים ומסנכרנים את נתוני הכספת רק בצורה מוצפנת, ולדברי Bitwarden העובדים שלה אינם יכולים לראות את הסיסמאות שלכם [5].
תכנון כזה משווק לרוב כהצפנת אפס ידע (zero-knowledge): החברה לא אמורה להיות מסוגלת לקרוא את הכספת שלכם גם אם השרתים שלה נפרצו. החוקרים מציינים שההצהרות של הספקים מרמזות על הגנה אפילו מפני שרת זדוני לחלוטין [6]. מתיחת המפתח הופכת כל ניחוש של סיסמת האב לאיטי, ולכן סיסמת אב ארוכה חשובה אם כספת מוצפנת נגנבת אי־פעם; חוקרים הצביעו על סיסמאות אב חלשות ועל מספרי איטרציות נמוכים בחשבונות LastPass ישנים [9].
ומה לגבי מנהלי הסיסמאות של הדפדפן והטלפון?
לדברי ה-NCSC, בטוח לתת לדפדפן או למערכת ההפעלה לשמור סיסמאות במכשירים שלכם, ו-Chrome, Edge ו-Safari מציעים כולם אפשרות כזו [1]. אפליקציית Passwords של Apple, שהוצגה עם iOS 18, שומרת סיסמאות, מפתחות גישה, סיסמאות Wi-Fi וקודי אימות. היא גם מזהירה מפני סיסמאות שקל לנחש, שנמצאות בשימוש חוזר או שנמצאו בדליפות מידע ידועות [10]. ה-NCSC מציין שסיסמאות השמורות בדפדפן בטוחות רק במידה שבה המכשירים והחשבונות שלכם בטוחים, ולכן השאירו את עדכוני האבטחה האוטומטיים פעילים [1].
האם מנהלי סיסמאות בטוחים?
מנהלי סיסמאות מרכזים את הסודות שלכם במקום אחד, ולכן האבטחה שלהם נבחנה בפומבי, הן על ידי תוקפים והן על ידי חוקרים. כדאי להכיר שני מקרים.
מה קרה בפריצה ל-LastPass?
באוגוסט 2022 פרצו תוקפים ל-LastPass בשני אירועים קשורים. בשני מביניהם הם ניצלו פרצה בתוכנת שרת מדיה במחשב האישי של מהנדס בכיר והתקינו רושם הקשות (keylogger) כדי לגנוב את סיסמת האב שלו [8]. כך השיגו את המפתחות הדרושים להורדת מסד הנתונים של הגיבויים של LastPass [8]. בדצמבר 2025 הטיל משרד נציב המידע הבריטי (ICO) על LastPass קנס של 1.2 מיליון ליש״ט. הוא קבע שהחברה לא יישמה אמצעי אבטחה חזקים דיים [8]. עד 1.6 מיליון משתמשים בבריטניה נפגעו. נגנבו שמות, כתובות דוא״ל, מספרי טלפון וכתובות URL של אתרים שנשמרו [8].
ה-ICO לא מצא ראיות לכך שסיסמאות הלקוחות פוענחו [8]. בנפרד, ב-2023 קשרו חוקרי אבטחה יותר מ-150 קורבנות וגניבות מטבעות קריפטוגרפיים בסך של יותר מ-35 מיליון דולר לצירופי שחזור (seed phrases) שנשמרו ב-LastPass. הם חשדו שסיסמאות אב חלשות בכספות שנגנבו נפרצות במצב לא מקוון [9]. החוקרים אמרו שכנראה לא יוכלו לקשור באופן חד־משמעי את הגניבות לפריצה, ולכן מדובר בחשד ולא בממצא מאושר [9].
מה מצא המחקר של ETH Zurich מ-2026?
חוקרים מהמכון הטכנולוגי של ציריך (ETH Zurich) ומאוניברסיטת שווייץ דוברת האיטלקית (USI) בדקו אם הצהרות "אפס הידע" של ארבעה מנהלי סיסמאות בענן עומדות במבחן כשהשרת של החברה זדוני לחלוטין, למשל אחרי פריצה [6]. הם הציגו 12 מתקפות שונות נגד Bitwarden, 7 נגד LastPass, 6 נגד Dashlane ו-6 נגד 1Password [6]. רובן מאפשרות לשחזר סיסמאות, והחמורות שבהן מגיעות עד לפריצה מלאה לכל הכספות בארגון [6].
ההקשר חשוב. המתקפות מניחות שהתוקף כבר שולט בשרתי הספק [7]. רבות מהן דורשות לאחר מכן פעולות רגילות של המשתמש, כמו כניסה או סנכרון; אחרות דורשות פעולות כמו שיתוף או החלפת מפתחות [7]. החוקרים מסרו את הממצאים לספקים, והתיקון נמצא בעבודה [6]. Dashlane מסרה שהסירה את הקריפטוגרפיה הישנה שעמדה מאחורי הבעיה החמורה ביותר שלה, ו-LastPass חלקה על חלקים מהערכת החומרה [7]. החוקרים אמרו שאינם יכולים לשלול שתוקפים מתקדמים כבר מכירים את החולשות האלה [7].
אז האם עדיין כדאי להשתמש במנהל סיסמאות?
ההמלצה הרשמית נותרה כן. ה-NCSC [1] ו-CISA [3] ממליצים שניהם על מנהלי סיסמאות, משום שהחלופה של רוב האנשים היא שימוש חוזר בסיסמאות חלשות. הלקחים מהמקרים האלה הם לבחור סיסמת אב חזקה, להפעיל אימות דו־שלבי ולעדכן את התוכנה [1][3].
איך משתווים מנהלי סיסמאות לדרכים אחרות לשמירת סיסמאות?
כל גישה מאזנת בין נוחות לבין סיכונים שונים. ה-NCSC מקבל רישום סיסמאות במחברת אצל חלק מהאנשים, למשל כאלה שזקוקים לעזרת המשפחה בניהול החשבונות, משום שתוקף יזדקק לגישה פיזית [1]. עם זאת, הוא מזהיר שחלק מהבנקים אוסרים לרשום סיסמאות, שכל מי שיש לו גישה יכול להעתיק אותן, ושמאבדים את ההגנה שהמילוי האוטומטי מספק מפני אתרי פישינג [1]. CISA ממליצה שלא לשמור סיסמאות בקובץ במחשב [2].
איך בוחרים ומגדירים מנהל סיסמאות?
לדברי ה-NCSC, מנהל הסיסמאות הטוב ביותר הוא זה שעונה על הצרכים שלכם ושהכי קל לכם להשתמש בו [1]. שיקולים שכדאי לבחון: האם הוא פועל בכל המכשירים ומערכות ההפעלה שלכם, האם אפשר לשלוט בסיסמאות שהוא מפיק, האם תשלמו או תשתמשו בגרסה חינמית, ותוספות כמו שיתוף סיסמאות או התראות על דליפות [1]. היתרון העיקרי של מנהל סיסמאות של צד שלישי על פני זה של הדפדפן הוא סנכרון בין שילוב של דפדפנים ומכשירים שונים [1].
- צרו סיסמת אב חזקה. CISA ממליצה על סיסמאות של 16 תווים לפחות, אקראיות או צירוף סיסמה של 4 עד 7 מילים שאינן קשורות זו לזו [2], וקובעת שסיסמת הכספת צריכה להיות ארוכה, ייחודית ואקראית [3].
- הפעילו אימות דו־שלבי במנהל הסיסמאות. לדברי ה-NCSC, כך עבריינים יישארו בחוץ גם אם יגלו את הסיסמה הראשית שלכם [1].
- הגדירו שחזור. אם שוכחים את הסיסמה הראשית, מנהלי סיסמאות רבים מציעים רמזים לסיסמה או גישת חירום דרך אנשי קשר מהימנים [1]. הגדירו אותם לפני שתזדקקו להם.
- החליפו סיסמאות חלשות. עברו על הסיסמאות הקיימות והחליפו כל סיסמה שאינה ארוכה, ייחודית ואקראית בסיסמה שמפיק מנהל הסיסמאות [3].
- הימנעו ממחשבים משותפים. לעולם אל תשמרו סיסמאות בדפדפן של מחשב משותף או ציבורי [1].
- הוסיפו מפתחות גישה כשהם מוצעים. ה-NCSC ממליץ כיום על מפתחות גישה כבחירה הראשונה לכניסה, ועל סיסמאות חזקות ואימות דו־שלבי במקומות שבהם מפתחות גישה אינם זמינים [11]. מנהלי סיסמאות רבים שומרים גם מפתחות גישה; ה-NCSC מכנה את הכלים האלה מנהלי אישורים [12].
על אילו כללי סיסמה ממליצות כיום ההנחיות הרשמיות?
המסמך SP 800-63B-4 של NIST, שהושלם ב-2025, שינה כללי סיסמה ותיקים לאתרים ולשירותים באופן שמתאים למנהלי סיסמאות [4]:
- סיסמאות שמשמשות כגורם היחיד חייבות להיות באורך 15 תווים לפחות; סיסמאות שמשמשות יחד עם גורם נוסף חייבות להיות באורך 8 תווים לפחות [4].
- שירותים צריכים לאפשר סיסמאות באורך 64 תווים לפחות [4].
- אסור לשירותים לכפות כללי הרכב, כמו דרישה לשילוב של סוגי תווים [4].
- אסור לשירותים לכפות החלפת סיסמה תקופתית, אבל הם חייבים לכפות החלפה אם יש ראיות לפריצה [4].
- יש לבדוק סיסמאות חדשות מול רשימה חסומה של סיסמאות נפוצות, צפויות או כאלה שדלפו [4].
- שירותים חייבים לאפשר מנהלי סיסמאות ומילוי אוטומטי, וצריכים לאפשר הדבקה [4].
הכללים האלה חלים על השירותים, לא ישירות עליכם. הם מקלים על מנהל סיסמאות להפיק ולמלא סיסמאות ארוכות ואקראיות.
מה צפוי בהמשך למנהלי סיסמאות?
מנהלי סיסמאות הופכים למנהלי אישורים כלליים. אפליקציית Passwords של Apple כבר מחזיקה מפתחות גישה וקודי אימות לצד סיסמאות [10]. ה-NCSC צופה שאנשים ימשיכו להשתמש בסיסמאות, המנוהלות במנהל סיסמאות, במקומות שבהם עדיין אין מפתחות גישה, בזמן שמפתחות הגישה מתפשטים [11][12].
המחקר מ-2026 גם הפעיל לחץ על הצהרות האבטחה של הספקים. החוקרים ממליצים לצרף משתמשים חדשים עם הקריפטוגרפיה העדכנית ביותר כברירת מחדל, ולאפשר ללקוחות קיימים לבחור אם לעבור אליה [7]. הגרסה המלאה של המאמר, שעודכנה לאחרונה באוגוסט 2026, כוללת תוצאות נוספות על 1Password [6].
זהו מידע כללי בנושא אבטחה, לא המלצה על מוצר. בדקו את תיעוד האבטחה שפרסם מנהל הסיסמאות ואת היסטוריית העדכונים שלו לפני שתפקידו בידיו את החשבונות שלכם.
| שיטה | היתרון העיקרי | הסיכון העיקרי |
|---|---|---|
| מנהל סיסמאות של צד שלישי | מסתנכרן בין דפדפנים ומכשירים שונים [1] | סיסמת האב ואבטחת הספק הופכות לקריטיות [8] |
| מנהל סיסמאות מובנה בדפדפן או בטלפון | הקל ביותר; בטוח במכשירים שלכם [1] | בטוח רק במידה שבה המכשירים והחשבונות שלכם בטוחים [1] |
| רישום סיסמאות במחברת | תוקף זקוק לגישה פיזית [1] | כל מי שיש לו גישה יכול להעתיק אותן; אין הגנה מפני פישינג [1] |
| שמירת סיסמאות בקובץ במחשב | אין יתרון מומלץ | CISA ממליצה שלא לעשות זאת [2] |
| שימוש חוזר בסיסמה אחת שזוכרים בעל פה | אין מה לשמור | פריצה אחת יכולה לפתוח חשבונות אחרים [1] |
טעויות נפוצות
שימוש בסיסמת אב קצרה או כזו שכבר בשימוש
הדרך הנכונה: השתמשו בצירוף סיסמה ארוך וייחודי; CISA מציעה 16 תווים לפחות או 4 עד 7 מילים שאינן קשורות זו לזו [2][3].
אי־הפעלת אימות דו־שלבי במנהל הסיסמאות
הדרך הנכונה: הפעילו 2SV בחשבון של מנהל הסיסמאות, כך שסיסמה ראשית גנובה לא תספיק [1].
שמירת סיסמאות בדפדפן של מחשב משותף
הדרך הנכונה: ה-NCSC קובע שלעולם אין לשמור סיסמאות בדפדפן של מכשיר משותף או ציבורי [1].
השארת סיסמאות חלשות ישנות אחרי התקנת מנהל סיסמאות
הדרך הנכונה: עברו על הסיסמאות השמורות והחליפו כל סיסמה חלשה או משומשת בסיסמה שהופקה במנהל [3].
שמירת צירופי שחזור של מטבעות קריפטוגרפיים בכספת ענן עם סיסמת אב חלשה
הדרך הנכונה: חוקרים קשרו צירופי שחזור שנשמרו ב-LastPass לגניבות גדולות, אם כי לא באופן חד־משמעי [9]. השתמשו בסיסמת אב חזקה מאוד ושקלו לשמור את צירופי השחזור במצב לא מקוון.
שאלות נפוצות
האם בטוח להשתמש במנהלי סיסמאות?
יש בהם סיכון, כפי שמראים הפריצה ל-LastPass [8] והמחקר של ETH Zurich מ-2026 [6], אבל ה-NCSC [1] ו-CISA [3] עדיין ממליצים עליהם, משום שהם הופכים סיסמאות ייחודיות למעשיות.
האם מנהל הסיסמאות המובנה בדפדפן שלי מספיק טוב?
לאנשים רבים, כן. לדברי ה-NCSC, שמירת סיסמאות ב-Chrome, Edge או Safari במכשירים שלכם בטוחה, אם כי הן בטוחות רק במידה שבה המכשירים והחשבונות שלכם בטוחים [1].
מה קורה אם חברת מנהל הסיסמאות נפרצת?
כשהצפנת הכספת מתבצעת במכשיר שלכם, התוקפים מקבלים נתונים מוצפנים [5]. במקרה של LastPass, ה-ICO לא מצא ראיות לכך שסיסמאות פוענחו [8]. סיסמת אב חזקה היא קו ההגנה העיקרי שלכם.
מה אם אשכח את סיסמת האב?
מנהלי סיסמאות רבים מציעים אפשרויות שחזור כמו רמזים לסיסמה או גישת חירום דרך אנשי קשר מהימנים [1]. הגדירו אותן מראש.
האם כדאי להשתמש במפתחות גישה במקום במנהל סיסמאות?
השתמשו בשניהם. ה-NCSC ממליץ על מפתחות גישה כבחירה הראשונה היכן שהם מוצעים, ועל מנהל סיסמאות עם 2SV בכל מקום אחר [11]. מנהלי סיסמאות רבים שומרים גם מפתחות גישה [12].
האם אפשר להדביק סיסמאות באתרים?
כן. ההנחיות של NIST משנת 2025 קובעות ששירותים צריכים לאפשר הדבקה וחייבים לאפשר מנהלי סיסמאות ומילוי אוטומטי [4].
מילון מונחים
- מנהל סיסמאות
- תוכנה שמפיקה, שומרת וממלאת סיסמאות, ונפתחת בסיסמה ראשית אחת [2].
- כספת (Vault)
- המאגר המוצפן שבו מנהל סיסמאות שומר את הסיסמאות השמורות שלכם [5].
- סיסמת אב
- הסיסמה האחת שפותחת את מנהל הסיסמאות; ה-NCSC מכנה אותה הסיסמה הראשית [1].
- הצפנת אפס ידע
- הצהרה של ספקים שלפיה החברה אינה יכולה לקרוא את הכספת שלכם גם אם השרת שלה זדוני, הצהרה שנבחנה במחקר מ-2026 [6].
- פונקציה לגזירת מפתחות
- פונקציה איטית, כמו PBKDF2 או Argon2id, שהופכת סיסמת אב למפתח הצפנה [5].
- מנהל אישורים
- המונח הרחב יותר של ה-NCSC לכלים ששומרים גם סיסמאות וגם מפתחות גישה [12].
מקורות
- Managing your passwords (Top tips for staying secure online) UK National Cyber Security Centre (NCSC); page reviewed and updated 21 May 2026 · 2026-05-21
- Use Strong Passwords (Secure Our World) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Bitwarden Security Whitepaper Bitwarden
- Zero Knowledge (About) Encryption: A Comparative Security Analysis of Four Cloud-based Password Managers IACR Cryptology ePrint Archive (Scarlata, Torrisi, Backendal, Paterson; ETH Zurich and USI); last revised 2026-08-12
- Password managers don't protect secrets if pwned The Register · 2026-02-16
- LastPass hammered with £1.2M fine for 2022 breach fiasco The Register (Connor Jones) · 2025-12-11
- Experts Fear Crooks are Cracking Keys Stolen in LastPass Breach KrebsOnSecurity · 2023-09-05
- iOS 18 makes iPhone more personal, capable, and intelligent than ever Apple Newsroom · 2024-06-10
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
- Passkeys: what you need to know UK National Cyber Security Centre (NCSC)
תגובות
הערות מובילות