- כופרה (Ransomware) היא נוזקה שמצפינה את הקבצים של העסק ודורשת תשלום כדי לשחרר אותם. לעיתים היא גם מאיימת לפרסם מידע שנגנב.
- ההגנה היעילה ביותר היא שכבות: עדכונים, אימות דו-שלבי, הגנה על תחנות ודואר, הרשאות מצומצמות והדרכת צוות.
- קו ההגנה האחרון הוא גיבוי שמור מחוץ לרשת, שנבדק בשחזור. גיבוי שהכופרה יכולה להגיע אליו עלול להיות מוצפן גם הוא.
- אם זה קרה: מנתקים מהרשת, לא מכבים, לא מוחקים, ומתקשרים לגורם מקצועי. אפשר לפנות גם למערך הסייבר הלאומי בקו 119.
כופרה היא אחד האיומים שבעלי עסקים חוששים מהם יותר מכול, ובצדק: בבוקר אחד הקבצים לא נפתחים, על המסך מופיעה הודעת כופר, והעבודה נעצרת. החדשות הטובות הן שרוב הדרכים שבהן כופרה נכנסת לעסק מוכרות, ורוב הצעדים שמצמצמים את הסיכון פשוטים יחסית. במדריך הזה נסביר איך זה קורה, מה עושים מראש, ומה עושים ביום שזה קורה.
איך כופרה נכנסת לעסק?
ברוב המקרים, דרך אחת מאלה:
- מייל: קובץ מצורף או קישור שנראים תמימים, כמו "חשבונית", "משלוח", "מסמך לחתימה".
- סיסמה שדלפה: חשבון בלי אימות דו-שלבי, שהסיסמה שלו נחשפה או נוחשה.
- מערכת לא מעודכנת: פרצה ידועה במחשב, בשרת או בנתב, שלא הותקן לה עדכון.
- גישה מרחוק לא מאובטחת: חיבור מרחוק שפתוח לאינטרנט בלי הגנה מתאימה.
ברגע שהנוזקה בפנים, היא מנסה להתפשט ברשת ולהגיע לכמה שיותר קבצים, כולל תיקיות משותפות, ולפעמים גם לגיבויים שמחוברים לרשת.
שבע שכבות הגנה שכדאי שיהיו בכל עסק
1. עדכונים שוטפים
מערכת הפעלה, תוכנות, דפדפנים, ושרתים, נתבים וחומות אש. רוב הפרצות שמנוצלות הן פרצות שכבר יש להן עדכון.
2. אימות דו-שלבי
על המייל, על הגישה מרחוק ועל כל מערכת חשובה. גם אם סיסמה דלפה, היא לבדה לא מספיקה כדי להיכנס. הרחבנו על זה במדריך לאימות דו-שלבי לעובדים.
3. הגנה על תחנות הקצה
תוכנת הגנה עסקית מנוהלת על כל מחשב ושרת, שמישהו באמת עוקב אחרי ההתראות שלה. תוכנה שמותקנת ואף אחד לא מסתכל עליה נותנת הרבה פחות.
4. סינון דואר
סינון שמזהה קבצים מצורפים וקישורים חשודים לפני שהם מגיעים לעובד.
5. הרשאות מצומצמות
עובד רואה רק את התיקיות שהוא צריך, ועובדים לא עובדים עם הרשאות מנהל על המחשב. ככה, גם אם חשבון אחד נפגע, הנזק מוגבל.
6. הדרכת צוות
הדרכה קצרה עם דוגמאות אמיתיות, וכלל פשוט: בקשה דחופה לשלם, להעביר כסף או לפתוח קובץ "דחוף" מאמתים בטלפון.
7. גיבוי שהכופרה לא יכולה להגיע אליו
זו השכבה שמאפשרת לחזור לעבודה גם אם כל השאר נכשל. הגיבוי צריך להיות מחוץ לרשת או מוגן מפני שינוי ומחיקה, עם היסטוריית גרסאות, כך שאפשר לשחזר מנקודה שלפני ההצפנה. והכי חשוב: שנבדק בשחזור. על זה בדיוק כתבנו במדריך לבדיקת שחזור ובמדריך גיבוי בענן לעסקים.
מה עושים אם זה כבר קרה
הדקות הראשונות חשובות. כדאי שהרשימה הזו תהיה מודפסת ושכל העובדים יכירו אותה:
- לנתק את המחשב החשוד מהרשת: להוציא את כבל הרשת ולכבות את ה-Wi-Fi. לא לכבות את המחשב, כי מידע שבזיכרון יכול לעזור בחקירה.
- להתקשר מיד לספק ה-IT או לאחראי האבטחה.
- לא למחוק קבצים ולא "לנקות" לבד.
- לא לשלם ולא ליצור קשר עם התוקפים לפני שמתייעצים עם גורם מקצועי. תשלום לא מבטיח שהקבצים יחזרו.
- לתעד: מתי זה התגלה, על איזה מחשב, מה מופיע על המסך (צילום בטלפון).
- לדווח: אפשר לפנות למערך הסייבר הלאומי בקו החם 119. אם העסק מחזיק מידע אישי על לקוחות או עובדים, כדאי לבדוק עם יועץ אם חלה חובת דיווח לרשות להגנת הפרטיות.
אחרי שהאירוע נבלם, משחזרים מגיבוי נקי, מחליפים סיסמאות מחשבון נקי, ובודקים איך הנוזקה נכנסה כדי לסגור את הפרצה.
השורה התחתונה
אין הגנה של מאה אחוז, אבל עסק עם עדכונים, אימות דו-שלבי, הגנה מנוהלת, הרשאות מסודרות וגיבוי מנותק שנבדק, הוא יעד קשה הרבה יותר, וגם אם משהו עובר, הוא חוזר לעבוד מהר יותר.
איך ש.מ מחשבים יכולה לעזור
אנחנו מלווים עסקים באבטחת מידע לעסקים ובגיבוי בענן לעסקים: הגנה על תחנות ודואר, אימות דו-שלבי, ניהול הרשאות, הדרכת צוות וגיבוי מנוהל עם בדיקות שחזור. אפשר להתחיל בשיחה קצרה ולבדוק אילו שכבות כבר קיימות אצלכם.