בקצרה
חפשו את כתובת האימייל שלכם בשירות להתראות על פרצות כמו Have I Been Pwned, שמונה 1,048 אתרים שנפרצו נכון ל-3 בנובמבר 2026 [1]. פרצה היא נתונים שנחשפו במערכת פגיעה [2]. התאמה בפני עצמה אינה הוכחה שהחשבון שלכם נפרץ. אם הפרצה כללה את הסיסמה שלכם, שנו אותה והפעילו אימות רב-שלבי [3].
עיקרי הדברים
- נכון ל-3 בנובמבר 2026, Have I Been Pwned מונה 1,048 אתרים שנפרצו ו-17,846,896,404 כתובות שנחשפו [1].
- Pwned Passwords שולח רק את 5 התווים הראשונים של גיבוב SHA-1 של הסיסמה, ותוצאת 'no pwnage found' אינה בהכרח אומרת שהסיסמה טובה [4].
- אחרי פרצה שכללה את הסיסמה שלכם, שנו אותה בחברה שנפגעה ובכל חשבון עם סיסמה דומה, והפעילו אימות רב-שלבי [3].
- מאז 21 בספטמבר 2018 חוק פדרלי בארה"ב קובע שהקפאת אשראי היא חינמית, ומבטל עמלות במדינות שגבו אותן בעבר, ולשכה חייבת להפעיל הקפאה בתוך יום עסקים אחד אם ביקשתם אונליין או בטלפון [5]; ה-FTC מציינת שהפעלה והסרה של הקפאה הן חינמיות [9].
- הדוח של IBM לשנת 2026 קובע את העלות הממוצעת העולמית של פרצה ב-4.99 מיליון דולר, אך זו עלות לארגונים ולא ליחידים [6].
- HIBP כולל בכוונה גם פרצות לא מאומתות ומפוברקות [2], ולכן יש להתייחס לרישום כחשיפה ולא כהוכחה לחשבון שנפרץ.
בעמוד הזה 14 חלקים
- האם המידע שלי דלף? איך בודקים?
- האם Have I Been Pwned בטוח ואמין?
- מה פירוש 'pwned' ומה אומרות התוצאות שלי?
- איך בודקים אם הסיסמה שלי דלפה?
- מה עושים קודם אחרי פרצת מידע?
- האם להקפיא אשראי או להפעיל התראת הונאה אחרי פרצה?
- איך אפשר לדעת אם האימייל שלי נפרץ או רק דלף?
- מי משלם כשמתרחשת פרצה, ומה אומרים נתוני העלות?
- מה היתרונות והמגבלות של שירותי בדיקת פרצות?
- מה יקרה בהמשך, ומה עדיין לא ברור?
- טעויות נפוצות
- שאלות נפוצות
- מילון מונחים
- מקורות
האם המידע שלי דלף? איך בודקים?
פרצת מידע היא, בניסוח של Have I Been Pwned (HIBP), אירוע שבו מידע נחשף בטעות במערכת פגיעה, בדרך כלל בגלל בקרות גישה לא מספקות או חולשות אבטחה בתוכנה [2]. HIBP מאגד פרצות כדי שאנשים יוכלו לראות היכן המידע האישי שלהם נחשף [2]. הדרך המהירה ביותר לברר אם המידע שלכם דלף היא לחפש שם את כתובת האימייל שלכם.
נכון ל-3 בנובמבר 2026, דף הבית של HIBP מציג 1,048 אתרים שנפרצו ו-17,846,896,404 כתובות שנחשפו [1]. החיפוש הציבורי מחזיר תוצאות לכתובת אימייל אחת או לשם משתמש אחד בכל פעם [2]. חיפוש של דומיין שלם הוא תכונה נפרדת, שמחייבת לאמת שאתם מורשים לגשת לדומיין [2].
למה פרצה עלולה לא להופיע בתוצאות שלי?
HIBP מגדיר חלק מהפרצות כ'רגישות'. רק הבעלים המאומת של כתובת אימייל יכול לראות אותן, באמצעות התחברות ללוח הבקרה ואישור שהוא יכול לקבל אימייל בכתובת הזו [2]. HIBP מונה 90 פרצות רגישות, ובהן Ashley Madison ו-Adult FriendFinder (2015 ו-2016) [2]. לכן חיפוש רגיל אינו מציג את כל מה שעשוי להתייחס לכתובת שלכם.
האם תוצאה נקייה אומרת שהמידע שלי בטוח?
לא. HIBP מציין שהחיפוש שלו מכסה את רוב הפרצות, ואילו פרצות רגישות מחייבות התחברות [2]. לפי מסקנת המדריך, פרצה שלא נטענה לשירות לא יכולה להופיע בו כלל. לגבי סיסמאות, HIBP מציין שתוצאת 'no pwnage found' אינה בהכרח אומרת שהסיסמה טובה, אלא רק שהיא אינה מאונדקסת באתר [4]. התייחסו לתוצאה נקייה כנקודת מידע אחת, ושמרו בכל מקרה על ההגנות הבסיסיות: סיסמאות ייחודיות ואימות רב-שלבי.
האם Have I Been Pwned בטוח ואמין?
התכנון של HIBP מגביל את המידע שהוא מחזיק. כשכתובות אימייל מפרצה נטענות, לא נטענות איתן סיסמאות; שירות Pwned Passwords הנפרד בודק סיסמה אחת מול פרצות ידועות [2]. HIBP מצהיר שאף סיסמה אינה נשמרת לצד מידע מזהה אישית ושכל סיסמה עוברת גיבוב SHA-1 [2]. החיפוש הציבורי מוגבל לכתובת אחת בכל פעם [2].
מה HIBP עצמו מזהיר?
HIBP מודה שהמשתמשים אינם יכולים להיות בטוחים שהוא אינו אוסף את כתובות האימייל שמחפשים, מצהיר שהוא אינו עושה זאת, ומורה למי שמוטרד מכוונותיו או מאבטחתו שלא להשתמש בו [2]. כדאי לשקול את האזהרה הגלויה הזו מול המטרה המוצהרת של השירות כשירות חינמי להערכת סיכונים [2].
מה המדריך הזה אינו מכסה?
המדריך אינו מתאר מי מממן או מפעיל את HIBP ואם נערך לו ביקורת עצמאית. קראו את עמוד ה-About של האתר והחליטו אם אתם מרגישים נוח. אם לא, ההגנות בסעיפים הבאים עובדות גם בלי כלי בדיקה: סיסמאות ייחודיות, אימות רב-שלבי ולתושבי ארה"ב גם הקפאת אשראי.
מה פירוש 'pwned' ומה אומרות התוצאות שלי?
'Pwned' נולד בתרבות משחקי הווידאו כווריאציה בסגנון leetspeak של 'owned', ומרמז שמישהו נשלט או נפרץ [2]. אולם ב-HIBP רישום אומר שהמידע שלכם נחשף איפשהו. לפי קריאת המדריך, הוא אינו הוכחה לכך שמישהו נכנס לחשבונות שלכם.
מה פירוש התוויות של הפרצות?
- רגישה (Sensitive): מוסתרת מהחיפוש הציבורי ונראית רק לבעלים המאומת של הכתובת [2].
- לא מאומתת (Unverified): הנתונים אמיתיים, אך מקורם אינו מוכח מעבר לספק סביר [2].
- מפוברקת (Fabricated): לא סביר שמקורה באתר שצוין, אך היא מכילה כתובות אימייל אמיתיות [2].
- הוצאה משימוש (Retired): הוסרה לצמיתות. HIBP מונה 2 פרצות שהוצאו משימוש, Ticketek ו-VTech, ופרצה מוצאת משימוש בדרך כלל כשהנתונים אינם נסחרים או מופצים מחדש במקום אחר [2].
HIBP עדיין כולל פרצות לא מאומתות ומפוברקות משום שהן מכילות מידע אישי אמיתי [2]. לכן רישום אינו הוכחה שחברה מסוימת נפרצה. HIBP מציין שגם נתונים מפוברקים עשויים עדיין להימכר או להיסחר [2].
איך בודקים אם הסיסמה שלי דלפה?
Pwned Passwords הוא שירות נפרד של HIBP שבודק סיסמה אחת מול פרצות ידועות [2]. הוא משתמש ב-k-anonymity: הסיסמה מגובבת במכשיר שלכם, רק 5 התווים הראשונים של גיבוב SHA-1 נשלחים ל-API, וההשוואה מול הסיומות שמוחזרות מתבצעת בצד שלכם [4]. HIBP מציין שהשירות מטפל ביותר מ-18 מיליארד בקשות בחודש [4].
למה סיסמה שדלפה חשובה גם אם החשבון שונה?
תוקפים משתמשים בצמדי אימייל וסיסמה שנחשפו כדי לנסות להיכנס לחשבונות אחרים של הקורבנות, שיטה שנקראת credential stuffing [4]. לכן, כשפרצה כללה את הסיסמה שלכם, ה-FTC ממליצה לשנות אותה בכל חשבון שמשתמש בסיסמה דומה [3]. HIBP מציין גם שהנחיות NIST ממליצות לבדוק סיסמאות מול מאגרי נתונים שנפרצו בעבר [4].
איך משתמשים בתוצאה?
- בדקו סיסמה שאתם משתמשים בה, או השתמשתם בה, בעמוד Pwned Passwords.
- אם היא נמצאה, הפסיקו להשתמש בה בכל מקום והחליפו אותה בסיסמה ייחודית לכל חשבון. ה-FTC מציעה לשקול מנהל סיסמאות [3].
- אם היא לא נמצאה, אל תקראו זאת כאישור: 'no pwnage found' אינו בהכרח אומר שהסיסמה טובה, אלא רק שהיא אינה מאונדקסת באתר [4].
מה עושים קודם אחרי פרצת מידע?
הצעדים הנכונים תלויים במה שנחשף. עברו על הסעיפים שמתאימים למצבכם.
- שנו את הסיסמה. אם הפרצה כללה את הסיסמה שלכם, שנו אותה מיד בחברה שנפגעה ובכל חשבון שמשתמש בסיסמה דומה. שקלו מנהל סיסמאות, והפעילו אימות רב-שלבי (MFA), שיכול להגן על חשבון גם אם הסיסמה נחשפה [3].
- אם חשבון מקוון נחשף. התחברו ושנו את הסיסמה, ואם אפשר גם את שם המשתמש. אם אינכם מצליחים להתחבר, פנו לחברה כדי לשחזר או לסגור את החשבון. שנו את הסיסמה בכל מקום אחר שבו השתמשתם בה [7].
- אם מספר Social Security נחשף (ארה"ב). קבלו ניטור אשראי חינמי אם החברה מציעה, הוציאו דוחות אשראי חינמיים וחפשו חשבונות שאינכם מכירים, ושקלו הקפאת אשראי או התראת הונאה [8]. המדריך של ה-FTC לפרצות מידע מפנה ל-annualcreditreport.com לדוחות חינמיים, קובע שאם בחרתם שלא להקפיא כדאי לפחות לשקול התראת הונאה, וממליץ להגיש דוח מס מוקדם [7].
- השתמשו בכלי הרשמי. האתר IdentityTheft.gov/databreach של ה-FTC מציע צעדים לפי סוג המידע שנחשף [7].
- אם נעשה שימוש לרעה במידע שלכם. דווחו ב-IdentityTheft.gov [8], שמציע תוכנית התאוששות מותאמת אישית [5].
היכנסו לשירותים האלה בהקלדת הכתובת בעצמכם, ולא דרך קישורים בהודעה בלתי צפויה על פרצה.
האם להקפיא אשראי או להפעיל התראת הונאה אחרי פרצה?
סעיף זה מתאר את הכללים בארה"ב. מאז 21 בספטמבר 2018 חוק פדרלי בארה"ב מאפשר לצרכנים להקפיא אשראי בחינם, ומבטל עמלות במדינות שגבו אותן בעבר [5]; ה-FTC מציינת שהפעלה והסרה של הקפאה הן חינמיות [9]. קוראים במדינות אחרות צריכים לבדוק את הכללים של מדינתם בנושא אשראי והגנה מפני גניבת זהות, שאותם המדריך אינו מכסה.
מהי הקפאת אשראי?
הקפאת אשראי נמשכת עד שתסירו אותה ואינה משפיעה על דירוג האשראי שלכם [9]. כל עוד היא בתוקף, איש, כולל אתם, אינו יכול לפתוח אשראי חדש; אפשר להסיר אותה זמנית כדי להגיש בקשה לאשראי, לעבודה, לשכירות או לביטוח [9]. ה-FTC מציינת שהקפאה לא תפגע ביכולת שלכם להגיש מועמדות לעבודה, לשכור דירה או לרכוש ביטוח [10], ומכנה אותה הדרך הטובה ביותר להגן מפני פתיחת חשבונות חדשים על שמכם [10]. עליכם לפנות לכל שלוש הלשכות הארציות (Equifax, Experian ו-TransUnion). לשכה חייבת להפעיל את ההקפאה בתוך יום עסקים אחד אם ביקשתם אונליין או בטלפון, ולהסיר אותה בתוך שעה אחת [5]. הורים יכולים גם להקפיא בחינם את האשראי של ילדים מתחת לגיל 16 [5].
מהי התראת הונאה?
התראת הונאה דורשת בקשה ללשכה אחת בלבד, שמודיעה לשתי האחרות [5]. חוק 2018 האריך את ההתראה מ-90 יום לשנה אחת [5]. התראה רגילה נמשכת שנה אחת וניתנת לחידוש בחינם, והתראה מורחבת לקורבנות גניבת זהות נמשכת 7 שנים [10][9]. היא אינה מגבילה את הגישה לדוח האשראי שלכם [10].
במה לבחור?
המדריך של ה-FTC לפרצות מידע קובע שאם החלטתם לא להקפיא, כדאי לפחות לשקול התראת הונאה [7]. ההמלצה מצביעה לכיוון אחד: הקפאה נותנת יותר הגנה, והתראת הונאה היא חלופה קלה יותר. אם במדינתכם אין מקבילה, צעדי הסיסמה וה-MFA עדיין חלים.
איך אפשר לדעת אם האימייל שלי נפרץ או רק דלף?
דליפה והשתלטות על חשבון הם אירועים שונים. דליפה פירושה שגורם שלישי חשף נתונים במערכת פגיעה [2]. השתלטות על חשבון פירושה שמישהו מתחבר בשמכם. לפי קריאת המדריך, כלי לבדיקת פרצות עונה על השאלה הראשונה ולא על השנייה, כי רישום מראה חשיפה ולא כניסה של אדם אחר.
איך דליפה הופכת להשתלטות?
בעיקר דרך שימוש חוזר בסיסמאות. תוקפים משתמשים בצמדי אימייל וסיסמה שנחשפו כדי לנסות להיכנס לחשבונות אחרים של הקורבנות [4]. אם השתמשתם באותה סיסמה במקומות נוספים, שנו אותה בכולם [7]. ה-FTC מציינת ש-MFA יכול להגן על חשבון גם אם הסיסמה נחשפה [3].
מה אם אני כבר לא מצליח להתחבר?
פנו לחברה כדי לשחזר או לסגור את החשבון [7]. הסימנים להשתלטות שונים משירות לשירות, ולכן המדריך אינו מפרט אותם; בדקו את עמודי פעילות החשבון והאבטחה של השירות עצמו. אם נעשה שימוש לרעה במידע שלכם, דווחו ב-IdentityTheft.gov [8], שמציע תוכנית התאוששות מותאמת אישית [5].
מי משלם כשמתרחשת פרצה, ומה אומרים נתוני העלות?
כותרות על עלות פרצות מתארות מה אירועים עולים לארגונים, ולא מה הם עולים לכם.
דוח Cost of a Data Breach של IBM לשנת 2026 קובע את העלות הממוצעת העולמית של פרצה ב-4.99 מיליון דולר. הוא מבוסס על פרצות ב-602 ארגונים בין מרץ 2025 לפברואר 2026, במחקר שמנהל מכון Ponemon בחסות IBM ובניתוחה [6]. אותה הודעה מציינת שאחת מכל 4 פרצות זדוניות נעזרה ב-AI [6].
במהדורת 2025 נמצא שהעלות הממוצעת העולמית ירדה ב-9% ל-4.44 מיליון דולר מ-4.88 מיליון דולר [12], הירידה הראשונה מזה חמש שנים [11][12], ואילו העלות הממוצעת של פרצה בארה"ב הגיעה לשיא של 10.22 מיליון דולר [11].
איך לקרוא את המספרים?
אלה מחקרים של מכון Ponemon על ארגונים, ולא על קורבנות פרטיים [6]. לכל מהדורה מדגם משלה, ולכן התייחסו למעבר מ-4.44 מיליון דולר ל-4.99 מיליון דולר כרקע ולא כמגמה מדויקת. אף אחד מהנתונים אינו הפסד שכדאי לצפות לו אישית. עבור יחידים, התגובה המעשית היא הצעדים שבסעיפים שלמעלה.
מה היתרונות והמגבלות של שירותי בדיקת פרצות?
יתרונות
- תשובה חינמית ומהירה על המקומות שבהם הכתובת שלכם נחשפה, בין 1,048 אתרים רשומים נכון ל-3 בנובמבר 2026 [1].
- סיסמאות נשמרות בנפרד מכתובות אימייל: אף אחת אינה נטענת איתן, ואף אחת אינה נשמרת לצד מידע מזהה אישית [2].
- פרצות רגישות מוצגות רק לבעלים המאומת של הכתובת [2].
- בדיקות סיסמה שולחות רק את 5 התווים הראשונים של גיבוב SHA-1 [4].
חסרונות
- HIBP מציין שהחיפוש שלו מכסה את רוב הפרצות, ופרצות רגישות מחייבות אימות באמצעות התחברות [2].
- חלק מהרישומים אינם מאומתים או מפוברקים, ולכן התאמה אינה מוכיחה שחברה מסוימת נפרצה [2].
- HIBP מציין שאי אפשר להיות בטוחים שהוא אינו אוסף את הכתובות שמחפשים, אם כי הוא מצהיר שהוא אינו עושה זאת [2].
- תוצאה של סיסמה ש'לא נמצאה' אינה בהכרח אומרת שהסיסמה טובה [4].
כלי בדיקה שימושי להחלטה אילו סיסמאות לשנות קודם. לדעת המדריך, הוא אינו יכול להחליף הרגלים כמו סיסמאות ייחודיות ו-MFA; ה-FTC ממליצה להפעיל MFA ומציעה לשקול מנהל סיסמאות [3].
מה יקרה בהמשך, ומה עדיין לא ברור?
המונים הראשיים משתנים בזמן אמת: 17,846,896,404 הכתובות בין 1,048 האתרים שהוצגו ב-3 בנובמבר 2026 לא יתאימו למה שתראו מאוחר יותר [1]. בצד העלויות, הממוצע של IBM עבר מ-4.88 מיליון דולר [12] ל-4.44 מיליון דולר בדוח 2025 [11][12] ואז ל-4.99 מיליון דולר ב-2026 [6]. אחת מכל 4 פרצות זדוניות במחקר של 2026 נעזרה ב-AI [6]. הנתונים האלה אינם מכריעים אם התקפות שנעזרות ב-AI ימשיכו להעלות עלויות.
מה המדריך הזה לא יכול לומר לכם
- באיזו תדירות פרטי גישה שדלפו מובילים להשתלטות על חשבון. לא ניתן כאן נתון ממקור מהימן.
- כללים מחוץ לארה"ב. זכויות לקבלת הודעה על פרצה והגנות אשראי במדינות אחרות אינן מכוסות.
- גישה מאיראן. לא היה מקור אמין בשאלה אם אפשר להגיע או לשלם מאיראן עבור כלי בדיקת פרצות, מנהלי סיסמאות או אפליקציות MFA, ולכן לא נקבעת כל טענה. קוראים שם עדיין יכולים ליישם את צעדי הסיסמה וה-MFA, ואילו צעדי לשכות האשראי חלים רק על תיקי אשראי בארה"ב.
מכיוון שהסכומים של HIBP משתנים, חיפוש חוזר אחרי חדשות על פרצה חדשה הוא הרגל זול.
| תווית | משמעות | איך HIBP מטפל בה |
|---|---|---|
| רגישה (Sensitive) | פרצה מוסתרת מהחיפוש הציבורי; HIBP מונה 90 כאלה [2] | נראית רק לבעלים המאומת של הכתובת אחרי התחברות ללוח הבקרה [2] |
| לא מאומתת (Unverified) | נתונים אמיתיים, אך המקור אינו מוכח מעבר לספק סביר [2] | עדיין נכללת משום שהיא מכילה מידע אישי אמיתי [2] |
| מפוברקת (Fabricated) | לא סביר שמקורה באתר שצוין, אך מכילה כתובות אימייל אמיתיות [2] | עדיין נכללת משום שהיא מכילה מידע אישי אמיתי [2] |
| הוצאה משימוש (Retired) | 2 פרצות, Ticketek ו-VTech, שהוסרו לצמיתות [2] | בדרך כלל מוצאת משימוש כשהנתונים אינם נסחרים או מופצים מחדש במקום אחר [2] |
| מאפיין | הקפאת אשראי | התראת הונאה |
|---|---|---|
| לשכות שיש לפנות אליהן | כל שלוש: Equifax, Experian ו-TransUnion [5] | לשכה אחת, שמודיעה לשתי האחרות [5] |
| עלות | הפעלה והסרה חינמיות [9]; חינמית להפעלה לפי החוק הפדרלי מאז 21 בספטמבר 2018 [5] | התראה רגילה ניתנת לחידוש בחינם [10] |
| משך | עד שתסירו אותה [9][10] | שנה אחת כהתראה רגילה [5]; 7 שנים להתראה מורחבת לקורבנות גניבת זהות [10][9] |
| גישה לדוח האשראי שלכם | מוגבלת [5]; ה-FTC מכנה הקפאה הדרך הטובה ביותר להגן מפני חשבונות חדשים על שמכם [10] | לא מוגבלת [10] |
| דוח | עלות ממוצעת עולמית | עלות ממוצעת בארה"ב | בסיס |
|---|---|---|---|
| IBM Cost of a Data Breach 2025 | 4.44 מיליון דולר [11][12], ירידה של 9% מ-4.88 מיליון דולר [12] | 10.22 מיליון דולר, שיא [11] | עלות לארגונים; הירידה העולמית הראשונה מזה חמש שנים [11][12] |
| IBM Cost of a Data Breach 2026 | 4.99 מיליון דולר [6] | לא צוין במקורות שנעשה בהם שימוש כאן | 602 ארגונים, מרץ 2025 עד פברואר 2026; מחקר של מכון Ponemon [6] |
טעויות נפוצות
להסתפק בתוצאה נקייה כהוכחה לכך שדבר לא דלף
הדרך הנכונה: התייחסו לחיפוש נקי כנקודת מידע אחת בלבד. לפי HIBP, תוצאת 'no pwnage found' לסיסמה אינה בהכרח אומרת שהיא סיסמה טובה, אלא רק שהיא אינה מאונדקסת באתר [4]. שמרו בכל מקרה על ההגנות הבסיסיות: ה-FTC ממליצה להפעיל MFA ולשקול מנהל סיסמאות לצורך סיסמאות ייחודיות [3]. HIBP מציין שהחיפוש שלו מכסה את רוב הפרצות, ופרצות רגישות מחייבות התחברות [2], ולכן פרצה שמעולם לא נטענה לשירות לא תופיע בו (מסקנה של המדריך הזה).
לשנות רק את הסיסמה של החשבון שנפרץ ולהשאיר סיסמאות ממוחזרות
הדרך הנכונה: אם הפרצה כללה את הסיסמה שלכם, שנו אותה בשירות שנפגע ובכל חשבון שמשתמש בסיסמה דומה, והפעילו אימות רב-שלבי [3]. תוקפים משתמשים בצמדי אימייל וסיסמה שנחשפו כדי לנסות להיכנס לחשבונות אחרים [4].
להניח שרישום מוכיח שהחשבון שלכם נפרץ, או שהחברה שמוזכרת אכן נפרצה
הדרך הנכונה: קראו את הרישום כ'המידע שלכם נחשף', ולא כ'החשבון שלי נפרץ' או 'החברה הזו בוודאות נפרצה'. HIBP כולל גם פרצות לא מאומתות ומפוברקות משום שהן מכילות מידע אישי אמיתי, ומציין שגם נתונים מפוברקים עשויים עדיין להימכר או להיסחר [2].
לעצור בסיסמאות כשנחשף מידע מזהה רגיש
הדרך הנכונה: אם מספר Social Security נחשף, קוראים בארה"ב יכולים לקבל ניטור אשראי חינמי, להוציא דוחות אשראי חינמיים ולשקול הקפאת אשראי או התראת הונאה [8]. המדריך של ה-FTC לפרצות מידע מפנה ל-annualcreditreport.com לדוחות חינמיים, קובע שאם בחרתם שלא להקפיא כדאי לפחות לשקול התראת הונאה, וממליץ להגיש דוח מס מוקדם [7].
לבלבל בין התראת הונאה להקפאת אשראי
הדרך הנכונה: הקפאה מחייבת בקשות לכל שלוש הלשכות ומגבילה את הגישה לדוח שלכם, ואילו התראת הונאה מחייבת בקשה אחת [5]. התראה אינה מגבילה את הגישה לדוח האשראי, וה-FTC מכנה הקפאה הדרך הטובה ביותר להגן מפני פתיחת חשבונות חדשים על שמכם [10].
לקרוא כותרות על עלות פרצות כאילו זו העלות שתשלמו אתם
הדרך הנכונה: הממוצעים של IBM מתארים עלויות לארגונים במחקרים של מכון Ponemon, ולא הפסדים של יחידים [6]. השתמשו בהם רק כרקע.
שאלות נפוצות
איך בודקים אם האימייל שלי הופיע בפרצת מידע?
חפשו את הכתובת ב-Have I Been Pwned, שמחזיר תוצאות לכתובת אימייל אחת או לשם משתמש אחד בכל פעם [2]. נכון ל-3 בנובמבר 2026 השירות מונה 1,048 אתרים שנפרצו [1]. פרצות רגישות מופיעות רק אחרי התחברות ללוח הבקרה ואישור שאתם יכולים לקבל אימייל בכתובת הזו [2]. תוצאה נקייה אינה הוכחה לביטחון.
האם Have I Been Pwned בטוח?
HIBP מצהיר שאף סיסמה אינה נשמרת לצד מידע מזהה אישית ושכל סיסמה עוברת גיבוב SHA-1 [2]. הוא מודה שהמשתמשים אינם יכולים להיות בטוחים שהוא אינו אוסף את כתובות האימייל שמחפשים, מצהיר שהוא אינו עושה זאת, ומורה למי שמוטרד מכוונותיו או מאבטחתו שלא להשתמש בו [2]. החליטו אם הפשרה הזו מתאימה לכם; ההגנות במדריך עובדות גם בלי כלי בדיקה.
מה פירוש המילה pwned?
'Pwned' נולד בתרבות משחקי הווידאו כווריאציה בסגנון leetspeak של 'owned', ומרמז שמישהו נשלט או נפרץ [2]. ב-HIBP רישום אומר שהמידע שלכם נחשף בפרצה, בדרך כלל בגלל בקרות גישה לא מספקות או חולשות בתוכנה [2]. לפי קריאת המדריך, הוא אינו מראה שמישהו נכנס לחשבונות שלכם.
מה לעשות אם האימייל שלי הופיע בפרצת מידע?
אם הפרצה כללה את הסיסמה שלכם, שנו אותה בחברה שנפגעה ובכל חשבון שמשתמש בסיסמה דומה, והפעילו אימות רב-שלבי [3]. שקלו מנהל סיסמאות [3]. אם חשבון מקוון נחשף ואינכם מצליחים להתחבר, פנו לחברה כדי לשחזר או לסגור אותו [7]. התאימו את שאר הצעדים לסוג המידע שנחשף.
האם פרצת מידע אומרת שהחשבון שלי נפרץ?
לא בהכרח. HIBP מגדיר פרצה כמידע שנחשף במערכת פגיעה [2]; חשיפה בלבד, לפי קריאת המדריך, אינה כניסה של אדם אחר לחשבון. תוקפים יכולים להשתמש בצמדי אימייל וסיסמה שנחשפו כדי לנסות חשבונות אחרים, שיטה שנקראת credential stuffing [4]. אם השתמשתם באותה סיסמה במקומות נוספים, שנו אותה בכולם [7]. אם אתם מזהים שימוש לרעה, דווחו ב-IdentityTheft.gov [8], שמציע תוכנית התאוששות מותאמת אישית [5].
מה ההבדל בין התראת הונאה להקפאת אשראי?
הקפאה מחייבת בקשות לכל שלוש הלשכות (Equifax, Experian, TransUnion) [5] ונמשכת עד שתסירו אותה [9][10]. התראת הונאה מחייבת בקשה אחת, שמועברת לשתי הלשכות האחרות, והתראה רגילה נמשכת שנה אחת [5]; ניתן לחדש אותה בחינם [10]. ה-FTC מכנה הקפאה הדרך הטובה ביותר להגן מפני פתיחת חשבונות חדשים על שמכם, ומציינת שהתראה אינה מגבילה את הגישה לדוח [10].
מילון מונחים
- פרצת מידע (Data breach)
- אירוע שבו מידע נחשף בטעות במערכת פגיעה, בדרך כלל בגלל בקרות גישה לא מספקות או חולשות בתוכנה.
- Pwned
- סלנג שנולד בתרבות משחקי הווידאו כווריאציה בסגנון leetspeak של 'owned', ובו HIBP משתמש כדי לומר שהמידע שלכם מופיע בפרצה ידועה.
- Credential stuffing
- שימוש בצמדי אימייל וסיסמה שנחשפו כדי לנסות להיכנס לחשבונות אחרים של הקורבן.
- אימות רב-שלבי (MFA)
- שיטת התחברות שדורשת יותר מסיסמה, ויכולה להגן על חשבון גם אם הסיסמה נחשפה.
- גיבוב SHA-1
- הפיכה חד-כיוונית של סיסמה למחרוזת באורך קבוע, שבה HIBP משתמש כדי שסיסמאות לא יישמרו בצורה קריאה.
- k-anonymity
- טכניקה שבה נשלחים לשירות רק 5 התווים הראשונים של גיבוב הסיסמה, כך שהסיסמה המלאה לא עוזבת את המכשיר שלכם.
- הקפאת אשראי (Credit freeze)
- הגבלת הגישה לדוח האשראי שלכם, שנמשכת עד שתסירו אותה ועוזרת למנוע פתיחת אשראי חדש על שמכם.
- התראת הונאה (Fraud alert)
- הודעה בתיק האשראי שלכם, שמוגשת דרך לשכה אחת, נמשכת שנה אחת כהתראה רגילה ואינה מגבילה את הגישה לדוח האשראי.
מקורות
- Have I Been Pwned: Check if your email address has been exposed in a data breach Have I Been Pwned (Troy Hunt); live page, retrieved 2026-11-03
- Have I Been Pwned: Frequently Asked Questions Have I Been Pwned; live page, retrieved 2026-11-02
- Have you been affected by a data breach? Read on US Federal Trade Commission (Consumer Advice)
- Pwned Passwords Have I Been Pwned; live page, retrieved 2026-11-03
- Starting Today, New Federal Law Allows Consumers to Place Free Credit Freezes And Yearlong Fraud Alerts US Federal Trade Commission · 2018-09-21
- IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average IBM Newsroom (Cost of a Data Breach Report 2026, Ponemon Institute) · 2026-07-29
- Data Breaches: What to know, What to do US Federal Trade Commission
- What To Do After a Data Breach US Federal Trade Commission (Consumer Advice)
- Credit Freezes and Fraud Alerts US Federal Trade Commission (Consumer Advice)
- Is a credit freeze or fraud alert right for you? US Federal Trade Commission (Consumer Advice)
- Average global data breach cost now $4.44 million Help Net Security (reporting IBM Cost of a Data Breach Report 2025) · 2025-08-04
- 2025 Cost of a Data Breach Report: Navigating the AI rush without sidelining security IBM X-Force
