יום רביעי רגיל, עד שהמחשבים נעלמו: מה באמת קורה כשאירוע סייבר פוגע בעסק

בשעה שמונה וארבעים דקות, ביום רביעי רגיל, רגע לפני שכולם מגיעים לעבודה, מנהלת פרויקטים במשרד אדריכלים בתל אביב פתחה אימייל דחוף. ההודעה הגיעה ממזכירת המנכ"ל – לפחות כך זה נראה – עם נושא שדרש תשומת לב מיידית: בעיה בחתימה על חוזה של לקוח מסוים. שם הלקוח היה מוכר, הייתה שם גם תדירות מוכרת, ואפילו חתימת מייל נכונה. היא לחצה על הקישור.

באותו רגע, התוקפים נכנסו למערכות החברה. קליק והם בפנים.

החברה הזו, עם 25 עובדים ומוניטין מצוין, עשתה הכל נכון. היו לה פייר-וול מתקדם, אנטי-וירוס רב-שכבתי, הדרכות סייבר שנתיות, גיבויים שבועיים, ואימות דו-שלבי על כל המערכות החיוניות. אבל בעידן שבו 82.6% מהודעות הפישינג מנצלות בינה מלאכותית ליצירת תוכן משכנע בעברית מושלמת, גם העסקים המוגנים ביותר הם בפועל פגיעים.

הקישור הוביל לדף שנראה בדיוק כמו ממשק OneDrive של החברה. מנהלת הפרויקטים הזינה את הסיסמה שלה, ואז – בדיוק כמו שצריך – הגיע קוד אימות דו-שלבי לטלפון שלה. היא הזינה גם אותו. הרי זה התהליך הרגיל.

רק שהפעם, מישהו אחר קיבל את כל הפרטים.

שישים שעות של שקט

מה שקרה בשלושת הימים הבאים הוא הדבר המפחיד ביותר באירועי סייבר: כלום. המערכות המשיכו לעבוד כרגיל, האימיילים המשיכו לזרום, העובדים המשיכו בשגרה. אף אחד לא ידע שבמקביל, בשקט, התוקפים נעים בתוך המערכת. הם למדו את המבנה, זיהו את השרתים החשובים, מצאו את הגיבויים, ותכננו את המהלך הבא.

זו הבעיה באירועי סייבר מודרניים: הזמן הממוצע לגילוי פריצה בעולם הוא 194 ימים. כמעט חצי שנה שהתוקפים כבר בפנים, ואף אחד לא יודע.

במקרה הזה, הם היו מהירים יותר.

יום חמישי, 14:30 – כשהכל קורס

זה קרה רגע לפני סוף יום העבודה שלפני סופ”ש, כשכולם רק רצו לסגור פינות לקראת היציאה הביתה, פתאום המחשבים קפאו. אחד אחרי השני, המסכים הפכו לשחורים, ואז הופיעה הודעה באנגלית: "Your files have been encrypted. $50,000 in Bitcoin within 72 hours."

כל הפרויקטים, כל השרטוטים, כל החוזים, כל המיילים – הכל הפך לקבצים מוצפנים עם סיומת מוזרה. הגיבויים האוטומטיים? גם הם הוצפנו, כי התוקפים ידעו בדיוק איפה הם נמצאים.

המנכ"ל הבין מיד שזו לא תקלה טכנית רגילה. הוא שלח את כולם הביתה, נעל את המשרד, והתקשר למישהו שידע מה לעשות.

72 השעות הראשונות

מה שקורה בימים הראשונים אחרי אירוע סייבר קובע הכל. זה לא הזמן להיכנס לפאניקה, וזה בטח לא הזמן לשלם מיד. זה הזמן להפעיל את המערך הנכון.

אצל החברה הזו, היה ביטוח סייבר. זה אומר שתוך שעתיים מהדיווח, כבר היה להם מישהו לדבר איתו. לא רק נציג ביטוח שמקבל טפסים – צוות מומחי סייבר שמגיע לעסק, מבין מה קרה, ומתחיל לעבוד.

השלב הראשון היה ניתוק מיידי: הפסקת כל החיבורים לאינטרנט, בידוד של מערכות שעוד לא נפגעו, מניעת התפשטות נוספת. העלות של הצוות הזה – מומחים שעובדים 24/7 בסוף השבוע – יכולה להגיע לעשרות אלפי שקלים רק בימים הראשונים. הביטוח כיסה את זה.

השלב השני היה הערכת נזקים: מה נפגע, מה ניתן לשחזר, האם יש דליפת מידע, מי צריך לדעת. התברר שהתוקפים היו בפנים שלושה ימים, ובמהלכם הם גם העתיקו לשרתים שלהם קבצים רגישים – חוזים עם לקוחות, תוכניות עבודה, פרטים אישיים של עובדים. זו לא רק מתקפת כופר, זו גם דליפת מידע.

השלב השלישי היה דיווח: מערך הסייבר הלאומי קיבל דיווח מיידי. רשות הגנת הפרטיות קיבלה הודעה על דליפה אפשרית. ועורכי דין התחילו לבדוק אילו חובות גילוי יש כלפי לקוחות ושותפים. כל ההוצאות המשפטיות האלה? גם הן היו חלק מהכיסוי. הדיווח מתחייב גם מטעמי סיוע אפשרי וגם מהטעם שתמיד יש סכנה שהורגם העוין הוא ברמה לאומית.

השבוע הראשון – כשהעסק עומד

שלושה ימים אחרי האירוע, החברה עדיין לא יכלה לעבוד. אין מחשבים, אין גישה לקבצים, אין דרך לתקשר עם לקוחות ועם ספקים, לא כל שכן להעביר תשלומים.

אובדן ההכנסות מתחיל להצטבר: בעסק ממוצע, שעה אחת של השבתה יכולה לעלות סכום נכבד. יום שלם? תכפילו פי 8 לפחות. שבוע? תכפילו עוד פי 7. אבל פוליסת הסייבר כוללת כיסוי לאובדן הכנסות במהלך תקופת ההשבתה – בדרך כלל עד 3-6 חודשים (מחושב לפי דוחות כספיים קודמים והפסד אפקטיבי).

עלויות השחזור עצמן: צוות IT עבד 24 שעות ביממה (במשמרות) לשחזור המערכות מגיבויים ישנים יותר (לשמחתם, היה גיבוי חודשי שנמשמר היסטורית במיקום נפרד והתוקפים לא הגיעו אליו). הם שכרו מומחי סייבר חיצוניים לניקוי התוכנה הזדונית, רכשו תוכנות חלופיות זמניות, והקימו שרתים חדשים. העלות: עשרות אלפי שקלים. גם זה היה מכוסה.

מה עם הלקוחות?

פרויקט של בניין מגורים ברמת גן היה אמור להיות מוגש לוועדה המקומית בדיוק בשבוע שבו המערכות היו נעולות. לא הוגש. עיכוב של שלושה שבועות בפרויקט עלה ליזם כסף, וגרר סעיפי פיצוי בחוזה. הלקוח דרש פיצוי (גדול) על הנזק שנגרם לו.

פרויקט אחר, של חברה פרטית שרכשה שירותי תכנון למשרדים חדשים, בוטל לחלוטין. הם פשוט לא רצו לקחת סיכון עם חברה שחוותה אירוע סייבר. זה הפסד של חוזה.

הכיסוי לחבות צד שלישי נכנס לפעולה כאן: הביטוח מכסה פיצויים חוזיים ללקוחות ושותפים שנפגעו מהאירוע, כולל הוצאות משפטיות ומשא ומתן להסדרי פשרה.

הרגולטורים מתעניינים

שלושה שבועות אחרי האירוע, הגיעה הודעה רשמית מרשות הגנת הפרטיות: בדיקה פורמלית על אופן שמירת המידע האישי שהיה במערכות החברה. התברר שבין הקבצים שנחשפו היו גם פרטים אישיים של עובדים ושל מספר לקוחות פרטיים.

בנוסף, התגלה שאחד הפרויקטים היה עם לקוח אירופאי, ולפי GDPR – התקנה האירופית להגנת מידע – יש חובת דיווח ואפשרות של קנס. החברה הייתה צריכה לשכור עורכי דין מומחים בתחום, להגיש דיווחים פורמליים, ולהתמודד עם חקירה ממושכת.

עלויות משפטיות ורגולטוריות: שכר טרחת עורכי דין, ייצוג בהליכים, חוות דעת מקצועיות, והקנס המינהלי הסופי – שוב, עשרות אלפי שקלים. גם זה היה חלק מהכיסוי של פוליסת ביטוח הסייבר.

נזק שלא רואים

חודשיים אחרי האירוע, כשהמערכות כבר חזרו לעבוד והפרויקטים חודשו, התברר שיש נזקים שלא מופיעים בשום חשבונית:

ידע עסקי שאבד: השרטוטים שוחזרו, אבל היו שיחות פנימיות, הערות על פרויקטים, גרסאות ביניים – דברים שאי אפשר לשחזר מגיבוי של לפני חודש. שנים של ידע מצטבר נעלמו.

מוניטין בשוק: הסיפור התפשט. בענף האדריכלות הישראלי, שהוא ענף קטן וצפוף, כולם מכירים כולם. "אתם שמעתם מה קרה להם?" הפך למשפט שחזר בשיחות. מכרז אחד נדחה כי הלקוח ביקש "להיות בטוח שאתם מוגנים מספיק". פגישת היכרות עם לקוח פוטנציאלי התחילה בשאלה: "ספרו לי מה עשיתם כדי למנוע את זה שוב".

עלות רגשית: המנכ"ל לא ישן שבועיים. שותף אחד שקל להתפטר. עובדים שחששו שהמשכורות לא ישולמו. הלחץ, החרדה, תחושת הפגיעות – דברים שאף ביטוח לא באמת מכסה.

חישוב סופי

כשהאבק שקע, חמישה חודשים אחרי אותו יום רביעי בבוקר, החברה ישבה לחשב את המחיר האמיתי:

• שחזור טכני ומומחים
• אובדן הכנסות (3 חודשי השבתה חלקית)
• פיצויים ללקוחות
• פרויקט שבוטל
• הוצאות משפטיות ורגולטוריות
• ניהול משבר PR ויועצים

וזה לפני שמדברים על הפרויקטים שלא הגיעו, המוניטין שנפגע, והזמן שהושקע במקום לפתח את העסק.

בזכות ביטוח הסייבר, החברה לא נסגרה. הם קיבלו פיצוי על הנזקים הישירים, וליווי מקצועי בכל שלב. ללא הביטוח, יש סיכוי טוב שהחברה הזו הייתה חלק מהסטטיסטיקה של 60% העסקים הקטנים שנסגרים תוך 6 חודשים מאירוע סייבר.

למה זה יכול לקרות לכם

"אבל אנחנו קטנים מדי" – זה המשפט הכי נפוץ שעסקים קטנים אומרים כשמדברים על סייבר. המציאות? 61% מהמתקפות הסייבר בעולם מכוונות דווקא לעסקים קטנים ובינוניים.

למה? כי אתם קלים יותר. יש לכם פחות הגנות, פחות מומחיות פנימית, ופחות כלים. ולתוקפים זה מספיק – הם לא מחפשים רק את הדגים הגדולים. הם מחפשים את הדגים הקלים.

ובישראל? אנחנו במקום השלישי בעולם בהיקף התקפות סייבר, אחרי ארה"ב ובריטניה. 64% מפעילות הסייבר האיראנית מכוונת לישראל. 17,000 דיווחי סייבר בשנה – 46 דיווחים ביום. המלחמה בסייבר היא יומיומית. של כולם.

הטיפ החשוב ביותר

ביטוח סייבר לא מתחיל ברגע שהאירוע קורה – הוא מתחיל בשיחת תכנון נכונה. השאלות החשובות הן: מהו המידע הכי רגיש בעסק שלכם? מה יקרה אם לא תוכלו לעבוד שבוע שלם? איזה לקוחות יסבלו הכי הרבה? האם יש לכם חשיפה רגולטורית? התשובות לשאלות האלה קובעות את מבנה הכיסוי, את התקרות, ואת רמת ההגנה. פוליסה גנרית לא תעשה את העבודה – צריך התאמה אישית שמבינה את הסיכונים הייחודיים לעסק שלכם.