בקצרה
תוכנת כופר (ransomware) היא תוכנה זדונית שמצפינה קבצים כך שמכשיר או רשת נעשים בלתי שמישים, ולאחר מכן עבריינים דורשים כופר, בדרך כלל במטבע קריפטוגרפי, תמורת המפתח [1][2]. תוקפים רבים גם גונבים נתונים ומאיימים להדליף אותם [1]. התשלום אינו מבטיח שחזור [2]; גיבויים עדכניים שאינם מחוברים לרשת הם ההגנה היעילה ביותר [3].
עיקרי הדברים
- תוכנת כופר מצפינה קבצים ודורשת תשלום תמורת פענוחם; „סחיטה כפולה” מוסיפה איום להדליף נתונים שנגנבו [1].
- דרכי חדירה נפוצות כוללות מערכות חשופות לאינטרנט שלא עודכנו, סיסמאות גנובות, פישינג ושירותי שולחן עבודה מרוחק חשופים [1][3].
- ה-FBI קיבל ב-2025 3,611 תלונות על תוכנות כופר עם הפסדים של יותר מ-32 מיליון דולר אמריקני, נתון שלדבריו נמוך באופן מלאכותי [4].
- לפי הערכת Chainalysis, תשלומי הכופר בבלוקצ׳יין ירדו ב-2025 בכ-8% ל-820 מיליון דולר אמריקני, בזמן שמספר המתקפות שהתוקפים נטלו עליהן אחריות עלה ב-50% [5].
- הרשויות בבריטניה ובארה״ב אינן ממליצות לשלם; התשלום אינו מבטיח פענוח, ותשלום לקבוצות שהוטלו עליהן סנקציות עלול להיות כרוך בסיכון משפטי [1][2][10].
- שמרו כמה גיבויים, שאחד מהם לפחות אינו מחובר לרשת או מוגן מפני מחיקה, ובדקו שאפשר לשחזר מהם [3][8].
- לדברי ה-FBI, גורמים שבסיסם באיראן ושקשורים לממשלת איראן שיתפו פעולה עם שותפים של תוכנות כופר תמורת חלק מהכופר [12].
בעמוד הזה 12 חלקים
מהי תוכנת כופר?
הסוכנות האמריקנית לאבטחת סייבר ותשתיות (CISA) מגדירה תוכנת כופר כנוזקה שנועדה להצפין קבצים במכשיר, כך שהם והמערכות שנשענות עליהם נעשים בלתי שמישים, ולאחר מכן עבריינים דורשים כופר תמורת הפענוח [1]. הצפנה פירושה כאן ערבול הקבצים באמצעות מפתח שרק התוקף מחזיק בו. המרכז הלאומי לסייבר של בריטניה (NCSC) מציין שהמחשב עצמו עשוי להינעל, או שנתונים עשויים להיגנב, להימחק או להיות מוצפנים, ושחלק מתוכנות הכופר מתפשטות למחשבים אחרים ברשת, כפי שעשתה WannaCry כשפגעה בשירות הבריאות הלאומי הבריטי (NHS) במאי 2017 [3].
בדרך כלל מורים לקורבנות ליצור קשר עם התוקף דרך כתובת דוא״ל או דף אינטרנט אנונימיים ולשלם במטבע קריפטוגרפי כמו Bitcoin [2]. Microsoft מציינת שבדרך כלל ההדבקה אינה מסגירה את עצמה עד שחלון, אפליקציה או הודעה במסך מלא דורשים כסף, ולעיתים קרובות הקבצים כבר מוצפנים בשלב זה [7].
מהי סחיטה כפולה?
עם הזמן התחילו התוקפים גם להעתיק את נתוני הקורבנות ולאיים לפרסם אותם כדי ללחוץ עליהם לשלם; השילוב של הצפנה ושל איום ההדלפה נקרא סחיטה כפולה [1]. במקרים מסוימים העבריינים מוותרים לגמרי על ההצפנה ומשתמשים בנתונים הגנובים כמנוף היחיד שלהם [1].
איך מתבצעת מתקפת כופר?
ה-NCSC מתאר רצף אופייני [2]:
- התוקפים משיגים גישה לרשת, מבססים שליטה ומשתילים תוכנת הצפנה זדונית; הם עשויים גם להעתיק נתונים כדי לאיים בהדלפה [2].
- הנוזקה מופעלת, נועלת מכשירים ומצפינה נתונים ברחבי הרשת [2].
- הודעה על המסך מסבירה את דרישת הכופר ואת אופן התשלום, בדרך כלל דרך דף אינטרנט אנונימי ובמטבע קריפטוגרפי [2].
איך התוקפים חודרים?
CISA מקבצת את דרכי הגישה הראשונית הנפוצות ביותר: פגיעויות ותצורות שגויות במערכות החשופות לאינטרנט, פרטי התחברות שנפרצו, פישינג, הדבקות קודמות בנוזקות, הנדסה חברתית מתקדמת, וצדדים שלישיים או ספקי שירותים מנוהלים [1]. לדברי ה-NCSC, תוכנות כופר מופעלות יותר ויותר על ידי תוקפים שמשיגים גישה מרחוק דרך שירותים חשופים כמו Remote Desktop Protocol (RDP) או התקני גישה מרחוק שלא עודכנו [3]. לגבי משתמשים ביתיים, Microsoft מונה כדרכים נפוצות פתיחה של קבצים מצורפים לא צפויים ושל קישורים זדוניים בדוא״ל, ברשתות חברתיות, באפליקציות מסרים או ב-SMS [7].
מי עומד מאחורי זה?
לפי חברת ניתוח הבלוקצ׳יין Chainalysis, תוכנות הכופר פועלות כיום כשוק מקושר של שירותי גישה, תשתית ותשלומים [5]. מבצעים גדולים של „תוכנת כופר כשירות” (RaaS) התפצלו ב-2025 לגורמים קטנים ועצמאיים רבים, וחלק מהניתוחים עוקבים אחר עד 85 קבוצות סחיטה פעילות [5]. מתווכי גישה ראשונית (IABs) מאפשרים כניסה לרשתות פרוצות, כך שהשותפים, העבריינים שמפעילים בפועל את תוכנת הכופר, יכולים לתקוף בקלות יחסית; Chainalysis מצאה שזינוקים בפעילות של מתווכי הגישה מקדימים בדרך כלל בכ-30 ימים עליות בתשלומי הכופר ובהדלפות [5].
מה היקף בעיית תוכנות הכופר?
מרכז התלונות על פשעי אינטרנט של ה-FBI (IC3) קיבל ב-2025 3,611 תלונות על תוכנות כופר, לעומת 3,156 ב-2024, עם הפסדים מדווחים של 32,320,105 דולר אמריקני [4]. ה-FBI מזהיר שנתון ההפסדים הזה אינו כולל בדרך כלל אובדן עסקים, זמן, שכר, קבצים או ציוד, או עלויות תיקון של צד שלישי, שחלק מהקורבנות אינם מדווחים על הפסד כלל, ושהתוצאה היא שיעור הפסדים נמוך באופן מלאכותי [4]. הזנים שדווחו הכי הרבה ב-2025 היו Akira, Qilin, INC./Lynx/Sinobi, BianLian ו-Play, ועשרת הזנים המובילים פגעו בעיקר בתעשייה הקריטית, בבריאות ובבריאות הציבור ובמתקני ממשלה [4]. ה-IC3 זיהה במהלך השנה 63 זנים חדשים [4].
Chainalysis מעריכה שמפעילי תוכנות כופר קיבלו ב-2025 יותר מ-820 מיליון דולר אמריקני בתשלומים בבלוקצ׳יין, כ-8% פחות מההערכה המעודכנת שלה ל-2024, 892 מיליון, אף שמספר הקורבנות שהתוקפים נטלו עליהם אחריות עלה ב-50% והשנה הייתה הפעילה ביותר שנרשמה [5]. היא מעריכה ששיעור הקורבנות שמשלמים אולי ירד לשפל של כל הזמנים, 28% [5]. במקביל, התשלום החציוני עלה ב-368%, מ-12,738 ל-59,556 דולר אמריקני [5]. אלה הערכות המבוססות על מעקב בבלוקצ׳יין, והן עשויות להתעדכן ככל שתשלומים נוספים ישויכו [5].
תקריות בודדות יכולות להיות יקרות מאוד. Chainalysis מביאה את מתקפת הסייבר על Jaguar Land Rover ב-2025, שעצרה קווי ייצור וגרמה נזק כלכלי מוערך של 1.9 מיליארד ליש״ט, אירוע הסייבר היקר ביותר בתולדות בריטניה [5].
האם לשלם כופר?
ההנחיות הרשמיות עקביות: אל תשלמו אם אפשר להימנע מכך. CISA ושותפיה אינם ממליצים לשלם, משום שהתשלום אינו מבטיח שהנתונים שלכם יפוענחו, שהמערכות שלכם כבר אינן פרוצות או שהנתונים לא ידלפו [1]. לדברי ה-NCSC, רשויות אכיפת החוק בבריטניה אינן מעודדות, תומכות או משלימות עם תשלום, והוא מזהיר שאם תשלמו אין ערובה לגישה, ואתם צפויים יותר להיות מטרה שוב [3]. הוא מוסיף שחלק מהנוזקות רק מתחזות לתוכנות כופר: הן נוזקות מחיקה (wiper), והקבצים אינם מפוענחים אחרי התשלום [3].
מהם הסיכונים המשפטיים?
בספטמבר 2021 עדכן המשרד לפיקוח על נכסים זרים של משרד האוצר האמריקני (OFAC) הנחיה בדבר סיכוני סנקציות אפשריים בסיוע לתשלומי כופר, והדגיש שממשלת ארה״ב מרתיעה בתוקף מתשלום כופר סייבר ומעודדת קורבנות לדווח על מתקפות [10]. גם המדריך של CISA מציין שתשלום כופר עלול להיות כרוך בסיכוני סנקציות [1].
בבריטניה הודיעה הממשלה ב-22 ביולי 2025, אחרי התייעצות ציבורית, שתקדם צעדים לאסור על גופים ציבוריים ועל מפעילי תשתיות לאומיות קריטיות, כולל ה-NHS, הרשויות המקומיות ובתי הספר, לשלם דרישות כופר [9]. לפי ההצעות, עסקים אחרים יצטרכו להודיע לממשלה על כוונה לשלם, ומשטר דיווח חובה נמצא בפיתוח [9]. נכון ל-3 בנובמבר 2026, על הקוראים לבדוק באתר GOV.UK אם הצעדים האלה הפכו לחוק.
זהו מידע כללי, לא ייעוץ משפטי או פיננסי. ארגון שמתמודד עם דרישת כופר צריך לערב את רשויות אכיפת החוק, ייעוץ משפטי וספק לטיפול באירועים.
איך מתגוננים מפני תוכנות כופר בבית?
- גבו את מה שחשוב לכם. ה-NCSC מגדיר גיבוי כעותק של נתונים חשובים שנשמר במקום בטוח נפרד, כמו אחסון בענן או מדיה נשלפת, ומונה נוזקות כמו תוכנות כופר בין הסיבות לאובדן גישה [8].
- השאירו לפחות גיבוי אחד מנותק. ה-NCSC ממליץ שהתקני גיבוי כמו כוננים חיצוניים ודיסקים און קי לא יהיו מחוברים באופן קבוע, משום שתוקפים מכוונים לגיבויים מחוברים [3].
- השתמשו בהיסטוריית גרסאות. בחרו בשירות ענן ששומר גרסאות קודמות, משום ששירותי ענן מסתנכרנים לעיתים קרובות מיד אחרי שהקבצים מוחלפים בעותקים מוצפנים [3]. לדברי Microsoft, OneDrive כולל זיהוי של תוכנות כופר וניהול גרסאות של קבצים [7].
- עדכנו הכול. שמרו על Windows ועל תוכנות אחרות מעודכנות והשאירו את Windows Security פעיל [7]; ה-NCSC ממליץ על עדכונים אוטומטיים למערכות הפעלה, לאפליקציות ולקושחה היכן שאפשר [3].
- הפעילו את Controlled Folder Access ב-Windows 10 או 11 כדי להגן על תיקיות חשובות מפני תוכנות לא מורשות [7].
- היזהרו מקבצים מצורפים ומקישורים שלא ציפיתם להם, כולל באפליקציות מסרים וב-SMS [7].
איך ארגונים מצמצמים את הסיכון לתוכנות כופר?
ההמלצות של ה-FBI לחברות מ-2025 כוללות גיבויים לא מקוונים או מחוץ לאתר שהם מוצפנים ובלתי ניתנים לשינוי (אי אפשר לשנות או למחוק אותם), הסרת סיסמאות ברירת מחדל, השבתת פרוטוקולים מיותרים, הגבלת הרשאות מנהל, אימות רב־גורמי (MFA) לדואר מקוון, ל-VPN ולמערכות קריטיות, פילוח רשת ועדכון מהיר של מערכות החשופות לאינטרנט [4].
CISA ממליצה לשמור גיבויים לא מקוונים ומוצפנים ולבדוק אותם באופן קבוע, משום שרוב מפעילי תוכנות הכופר מנסים למצוא גיבויים נגישים ולמחוק או להצפין אותם [1]. היא ממליצה גם לשמור 'תמונות זהב' (golden images), תבניות מערכת מוגדרות מראש שמאפשרות לבנות מחדש שרתים במהירות, ולא לחשוף לאינטרנט שירותים כמו RDP [1]. ה-NCSC מוסיף שארגונים צריכים לתכנן ולתרגל את התגובה שלהם, כולל האופן שבו ימשיכו להפעיל שירותים קריטיים אם המערכות אינן זמינות ואיך יגיבו לדרישת כופר [3]. גם ממשלת בריטניה קוראת לשמור גיבויים לא מקוונים ותוכניות שנבדקו לפעילות בלי מערכות מחשוב לתקופה ממושכת [9].
מה לעשות אם תוכנת כופר תוקפת?
- בודדו את המכשירים שנפגעו. CISA ממליצה לנתק אותם מהרשת או מה-Wi-Fi; אם כל הרשת נפגעה, נתקו אותה ברמת המתג [1].
- כבו מכשירים רק אם אינכם יכולים לנתק אותם. CISA מציינת שכיבוי מוחק ראיות שנמצאות בזיכרון, ולכן זו אפשרות אחרונה [1].
- השתמשו בערוצי תקשורת חלופיים. ייתכן שהתוקפים עוקבים אחר הדוא״ל והצ׳אט, ולכן CISA מציעה שיחות טלפון לתיאום התגובה [1].
- נקו את המכשיר לפני השחזור. Microsoft ממליצה לנקות את המחשב לחלוטין בעזרת תוכנת אבטחה לפני ניסיון לשחזר קבצים [7]; ה-NCSC ממליץ לסרוק את הגיבויים לאיתור נוזקות ולחבר אותם רק למכשירים שידוע שהם נקיים [3].
- בדקו אם קיים כלי פענוח חינמי. הפרויקט No More Ransom, שה-NCSC מפנה אליו, מציע כלי פענוח לחלק ממשפחות תוכנות הכופר, אם כי לא לכל סוג יש פתרון [6][3].
- דווחו. בבריטניה אפשר לדווח על אירועים ל-NCSC ול-Report Fraud [3]; בארה״ב, ה-FBI מבקש מהקורבנות להגיש דיווח ל-IC3 [4]. לדברי Microsoft, מי שכבר שילם צריך לפנות מיד לבנק שלו ולרשויות המקומיות [7].
מה הקשר בין איראן לפעילות של תוכנות כופר?
באוגוסט 2024 הזהירו ה-FBI, CISA והמרכז לפשיעת סייבר של משרד ההגנה האמריקני שקבוצה של גורמי סייבר שבסיסם באיראן, שלפי הערכת ה-FBI קשורה לממשלת איראן, משיגה גישה לרשתות בארה״ב ובמדינות אחרות ומשתפת פעולה עם שותפים של תוכנות כופר, כולל NoEscape, Ransomhouse ו-ALPHV (BlackCat), תמורת אחוז מתשלומי הכופר [12]. לפי ההתרעה, הגורמים חדרו לעיתים קרובות באמצעות ניצול התקני רשת כמו Citrix NetScaler ו-F5 BIG-IP [12].
בספטמבר 2022 הטיל משרד האוצר האמריקני סנקציות על עשרה אנשים ושתי ישויות הקשורים למשמרות המהפכה האסלאמית בשל פעילות סייבר זדונית, כולל תוכנות כופר; לדבריו, הקבוצה הפעילה את Microsoft BitLocker ברשתות של הקורבנות בלי הרשאה והחזיקה את מפתחות הפענוח תמורת כופר [11]. אלה ממצאים של סוכנויות אמריקניות. הטלת סנקציות מסוג זה היא אחת הסיבות לכך ש-OFAC מזהיר שתשלום כופר עלול להיות כרוך בסיכון של סנקציות [10].
| מדד | 2024 | 2025 |
|---|---|---|
| תלונות על תוכנות כופר ל-IC3 של ה-FBI | 3,156 [4] | 3,611 [4] |
| הפסדים שדווחו ל-IC3 (דולר אמריקני) | 12,473,156 [4] | 32,320,105 [4] |
| תשלומי כופר בבלוקצ׳יין, הערכת Chainalysis (דולר אמריקני) | 892 מיליון (מעודכן) [5] | יותר מ-820 מיליון [5] |
| תשלום כופר חציוני, Chainalysis (דולר אמריקני) | 12,738 [5] | 59,556 [5] |
| שינוי במספר הקורבנות שהתוקפים נטלו עליהם אחריות | לא צוין | עלייה של 50% לעומת השנה הקודמת [5] |
| שיטה | למה זה חשוב |
|---|---|
| שמרו גיבוי שאינו מחובר באופן קבוע | תוקפים מכוונים להתקני גיבוי מחוברים [3] |
| השתמשו ביותר משיטת גיבוי אחת ובמיקום אחד | שני עותקים בכונן אחד או בשירות ענן אחד אינם מספיקים [3] |
| שמרו גרסאות קודמות בענן | הסנכרון עלול לדרוס קבצים תקינים בעותקים מוצפנים [3] |
| בדקו שחזורים באופן קבוע | הגיבויים חייבים לעבוד בשחזור אמיתי [1][3] |
| סרקו גיבויים לפני השחזור | ייתכן שתוכנת הכופר הגיעה לגיבויים לפני שהתגלתה [3] |
טעויות נפוצות
שמירת הגיבוי היחיד בכונן שמחובר תמיד.
הדרך הנכונה: נתקו לפחות התקן גיבוי אחד; תוקפים מכוונים לגיבויים מחוברים [3].
ההנחה שהתשלום יחזיר את הקבצים.
הדרך הנכונה: תכננו להתאושש בלי לשלם; התשלום אינו מבטיח פענוח ואינו מונע הדלפה [1].
שחזור גיבויים ישירות למחשב הנגוע.
הדרך הנכונה: נקו קודם את המכשיר וסרקו את הגיבויים לאיתור נוזקות לפני השחזור [3][7].
השארת שולחן עבודה מרוחק (Remote Desktop) חשוף לאינטרנט.
הדרך הנכונה: השביתו את RDP אם אין בו צורך, והשתמשו ב-MFA בכל נקודות הגישה מרחוק [3].
תיאום התגובה בדוא״ל של החברה במהלך מתקפה.
הדרך הנכונה: השתמשו בערוצים חלופיים כמו שיחות טלפון, משום שהתוקפים עשויים לעקוב [1].
שאלות נפוצות
מהי תוכנת כופר במילים פשוטות?
נוזקה שנועלת או מצפינה את הקבצים שלכם ודורשת תשלום, בדרך כלל במטבע קריפטוגרפי, כדי לשחרר אותם [1][2].
אפשר להסיר תוכנת כופר בלי לשלם?
בדרך כלל אפשר לנקות את הנוזקה בעזרת תוכנת אבטחה [7], אבל קבצים מוצפנים בדרך כלל אינם ניתנים לפענוח על ידי איש מלבד התוקף; No More Ransom מציע כלים לחלק מהמשפחות [3][6].
האם אנטי־וירוס עוצר תוכנות כופר?
הוא עוזר. Microsoft ממליצה להשאיר את Windows Security פעיל ולהשתמש ב-Controlled Folder Access [7], אבל לדברי ה-NCSC אין הגנה מושלמת, והגיבויים נשארים חיוניים [3].
האם טלפונים יכולים להידבק בתוכנות כופר?
כן. לדברי Microsoft, גם מכשירים ניידים יכולים להידבק בתוכנות כופר [7].
מילון מונחים
- תוכנת כופר (Ransomware)
- נוזקה שמצפינה קבצים כך שאי אפשר להשתמש בהם עד שמשולם כופר [1].
- סחיטה כפולה
- הצפנת נתונים לצד איום לפרסם עותקים שנגנבו [1].
- נוזקת מחיקה (Wiper)
- נוזקה שמוצגת כתוכנת כופר אך אינה מפענחת קבצים אחרי התשלום [3].
- מתווך גישה ראשונית
- שירות עברייני שמאפשר כניסה לרשתות פרוצות עבור שותפים של תוכנות כופר [5].
- גיבוי בלתי ניתן לשינוי
- גיבוי שאי אפשר לשנות או למחוק, כפי שה-FBI ממליץ [4].
- תמונת זהב (Golden image)
- תבנית מערכת מוגדרת מראש שמשמשת לבנייה מחדש של שרתים במהירות אחרי מתקפה [1].
מקורות
- #StopRansomware Guide CISA, FBI, NSA and MS-ISAC
- What you need to know about ransomware UK National Cyber Security Centre; retrieved 2026-11-03
- Mitigating malware and ransomware attacks UK National Cyber Security Centre; reviewed 9 September 2021 · 2020-02-13
- 2025 IC3 Annual Report FBI Internet Crime Complaint Center
- Total Ransomware Payments Stagnate for Second Consecutive Year, While Attacks Escalate (2026 Crypto Crime Report) Chainalysis · 2026-02-26
- No More Ransom No More Ransom project; retrieved 2026-11-03
- Protect your PC from ransomware Microsoft Support; retrieved 2026-11-03
- Top tips for staying secure online: Backing up your data UK National Cyber Security Centre; retrieved 2026-11-03
- UK to lead crackdown on cyber criminals with ransomware measures UK Home Office and National Cyber Security Centre · 2025-07-22
- Treasury Takes Robust Actions to Counter Ransomware US Department of the Treasury · 2021-09-21
- Treasury Sanctions IRGC-Affiliated Cyber Actors for Roles in Ransomware Activity US Department of the Treasury · 2022-09-14
- Iran-based Cyber Actors Enabling Ransomware Attacks on US Organizations (AA24-241A) FBI, CISA and DC3 joint Cybersecurity Advisory · 2024-08-28
תגובות
הערות מובילות