כשהמסכים נחסמים והמודעה מופיעה
מנהל התפעול מגיע למשרד בבוקר ומגלה שכל הקבצים בשרתי החברה מוצפנים. במקום סביבת העבודה הרגילה מופיעה הודעה הדורשת תשלום במטבע קריפטוגרפי תמורת מפתח פענוח. תוך דקות מתברר שהמערכת ששולטת בהזמנות הלקוחות, במידע הפיננסי ובפרטי העובדים אינה נגישה עוד.
מתקפת כופרה שונה מאירועי סייבר אחרים. היא משלבת בתוך שעות ספורות שיבוש עסקי חמור, חשד לחשיפת מידע אישי, ולעיתים גם דילמה משפטית סבוכה בשאלת תשלום הכופר. חברות טכנולוגיה בישראל, לרבות ספקי SaaS ופלטפורמות מסחר, נמצאות ביעד מועדף בשל היקף המידע שהן מחזיקות ותלות הלקוחות בזמינות השירות.
מאמר זה מתמקד בהיבטים המשפטיים הייחודיים לתקיפת כופרה, ובכללם חובות דיווח לרשויות, השיקולים בהחלטה על תשלום, וניהול המשבר מול לקוחות, עובדים ודירקטוריון. המידע נכון למועד כתיבת המאמר, ומאחר שתחום זה מתפתח במהירות, יש לבחון כל מקרה לגופו בעת התרחשותו.
השעות הראשונות: בלימה תוך שמירה על החיסיון המשפטי
הפעולות הננקטות בשעות הראשונות לאחר גילוי התקיפה משפיעות הן על היקף הנזק והן על מעמדה המשפטי של החברה בהמשך הדרך. מומלץ לשלב את הגורם המשפטי כבר בשלב זה, ולא רק לאחר שהתמונה מתבהרת.
- בידוד מיידי של המערכות הנגועות מרשת החברה, מבלי לכבות אותן לחלוטין, כדי לשמר ראיות דיגיטליות.
- שיתוף עורך דין חיצוני כבר בשלב הראשון, כך שהתקשורת עם חוקרי הפורנזיקה תתנהל תחת חיסיון עורך דין לקוח ככל שהדין מכיר בו.
- הזמנת צוות חקירה פורנזי מוסמך, בהנחיית הגורם המשפטי, לצורך אפיון היקף החדירה והמידע שנחשף.
- עדכון מיידי של מבטח הסייבר, בהתאם לתנאי הפוליסה, שכן איחור בדיווח עלול לפגוע בזכאות לכיסוי.
- הימנעות מיצירת קשר ישיר עם התוקפים ללא ליווי משפטי, גם אם קיים לחץ להשיב מהר.
חשוב לתעד כל החלטה וכל שלב בתגובה. תיעוד מסודר משרת את החברה הן מול רשויות אכיפה והן מול תביעות אזרחיות אפשריות בהמשך.
חובות הדיווח על פי הדין הישראלי
חוק הגנת הפרטיות, התשמ"א-1981, כפי שתוקן בתיקון 13 שנכנס לתוקף ב-14.8.2025, מטיל חובת דיווח לרשות להגנת הפרטיות במקרים של אירוע אבטחה חמור, כהגדרתו בתקנות הגנת הפרטיות (אבטחת מידע). מתקפת כופרה, כאשר יש חשד שהמידע האישי הוצפן, נגנב או נחשף, עשויה להיכנס לגדר הגדרה זו, ויש לבחון זאת לגופו של אירוע בפרק הזמן הקבוע בתקנות.
בנוסף לדיווח לרשות, עשויה לקום חובה ליידע את נושאי המידע עצמם, בהתאם לחומרת האירוע ולסוג המידע שנחשף. יש לזכור כי תיקון 13 הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל כלים לביקורת ולהטלת עיצומים כספיים.
- הגשת תלונה למשטרת ישראל, בדרך כלל דרך יחידת הסייבר הארצית, גם כאשר לא מתעתדים לשלם כופר.
- שיקול פנייה למערך הסייבר הלאומי לקבלת ליווי מקצועי, במיוחד כאשר מדובר בתשתית קריטית או בהיקף חדירה משמעותי.
- חברות הפועלות תחת רגולציה סקטוריאלית, כגון תאגידים בנקאיים תחת בנק ישראל או גופים מפוקחים תחת רשות שוק ההון, ביטוח וחיסכון, כפופות לחובות דיווח נוספות הקבועות בהנחיות הרגולטור הרלוונטי.
- חברות ציבוריות עשויות לחוב בדיווח מיידי לרשות ניירות ערך אם האירוע מהווה מידע מהותי המשפיע על מצבה של החברה.
- אם האירוע חושף מידע של נושאי מידע באיחוד האירופי, יש לבחון גם חובות דיווח מכוח ה-GDPR במקביל לדין הישראלי.
לשלם או לא לשלם: השיקולים המשפטיים בהחלטה על תשלום כופר
הדין הישראלי אינו קובע איסור גורף על תשלום כופר לתוקפי סייבר, אך ההחלטה טעונה בשכבות סיכון משפטי שיש לבחון בטרם פעולה. תשלום לגורם המזוהה כארגון טרור או כגורם המצוי תחת סנקציות בינלאומיות עלול להעמיד את החברה בסיכון לפי חוק איסור מימון טרור, התשס"ה-2005, וכן לפי משטרי סנקציות זרים הרלוונטיים לפעילות בינלאומית של החברה.
בפועל, קשה לרוב לדעת בוודאות מי עומד מאחורי המתקפה, ומכאן החשיבות שבבדיקת נאותות משפטית לפני כל תשלום, לרבות בחינת כתובות הארנק הדיגיטלי מול רשימות סנקציות ידועות, ככל שניתן.
- תשלום כופר אינו מבטיח קבלת מפתח פענוח תקין, ואינו מונע פרסום המידע שנגנב על ידי התוקפים.
- פוליסת ביטוח הסייבר עשויה לכלול תנאים מקדימים לתשלום כופר, ובהם קבלת אישור המבטח מראש.
- מומלץ להיעזר בגורמי משא ומתן מקצועיים המתמחים באירועי כופרה, בליווי עורך דין, ולא לפעול ישירות מול התוקפים.
- החלטה על תשלום כופר צריכה להתקבל ולהיות מתועדת ברמת הדירקטוריון או ההנהלה הבכירה, בשים לב לחובות הזהירות המוטלות על נושאי משרה.
ניהול משבר: תקשורת עם דירקטוריון, עובדים ולקוחות
מתקפת כופרה היא גם אירוע ניהולי, לא רק טכני ומשפטי. יש להקים בהקדם צוות משבר הכולל נציגי הנהלה, IT, משפט ותקשורת, הפועל לפי נהלים מוגדרים מראש ולא באלתור.
- עדכון הדירקטוריון בשלבים המוקדמים, בהתאם לחובות הפיקוח המוטלות על נושאי משרה בתחום הסייבר.
- מסירת הנחיות ברורות לעובדים, לרבות איסור שיתוף פרטים ברשתות חברתיות עד לגיבוש עמדה רשמית.
- הכנת מסרים עקביים ללקוחות ולשותפים עסקיים, המבוססים על עובדות מאומתות בלבד ולא על השערות.
- תיאום מול גורמי תקשורת חיצוניים כך שהמידע המפורסם לא יסתור דיווחים רשמיים לרשויות.
- מעורבות מוקדמת ויזומה מול הרגולטור הרלוונטי, שכן שיתוף פעולה שקוף נוטה להפחית את חשיפת החברה לאכיפה.
ניסוח מוקדם מדי או מפורט מדי כלפי הציבור, לפני שהעובדות התבררו, עלול ליצור חשיפה נוספת אם יתברר שהמידע הראשוני היה שגוי או חלקי.
חוזים, ביטוח סייבר וחשיפה לאחריות
מיד לאחר בלימת האירוע יש לבחון את מכלול ההתחייבויות החוזיות של החברה. הסכמי שירות עם לקוחות, הסכמי עיבוד מידע עם ספקים, והסכמי SLA עשויים לכלול חובות הודעה עצמאיות, בלתי תלויות בחובות הדיווח הסטטוטוריים.
- בדיקת הסכמי DPA מול לקוחות ארגוניים, שעשויים לחייב הודעה בתוך פרק זמן קצר מהותית מזה שקובע הדין.
- עיון בתנאי פוליסת ביטוח הסייבר, לרבות היקף הכיסוי לתשלום כופר, עלויות פורנזיקה, השבתת עסקים ודרישות שימוש בספקים מאושרים על ידי המבטח.
- הערכת חשיפה לתביעות ייצוגיות מצד לקוחות או נושאי מידע שנפגעו, בפרט כאשר מדובר במידע רגיש.
- שמירת כלל התיעוד המשפטי והטכני של תהליך התגובה, שכן הוא עשוי לשמש כראיה מרכזית בהליכים עתידיים.
חברות שמנהלות מערך חוזי מסודר עם ספקי ענן ותשתית, המסדיר מראש חלוקת אחריות במקרה של אירוע סייבר, מוצאות עצמן במצב טוב יותר משמעותית בעת משבר בפועל.
אחרי הסערה: הפקת לקחים והיערכות לעתיד
לאחר שהאירוע נסגר, ראוי לערוך תחקיר מסודר הבוחן מה עבד ומה לא, ולעדכן בהתאם את תוכנית התגובה לאירועי סייבר של החברה. תרגולי סימולציה תקופתיים, הכוללים תרחיש כופרה מלא, מסייעים לצוותים לתפקד טוב יותר בזמן אמת.
- עדכון מדיניות אבטחת המידע ונהלי הגיבוי בהתאם ללקחים שהופקו.
- בחינה מחדש של הרשאות הגישה למערכות קריטיות ושל מנגנוני זיהוי חדירה.
- ביסוס קשרי עבודה מראש עם עורך דין וצוות פורנזיקה, כך שבעת אירוע לא יידרש זמן יקר לאיתור גורמים מתאימים.
- עדכון פוליסת ביטוח הסייבר בהתאם לפרופיל הסיכון המעודכן של החברה.
מתקפת כופרה אינה רק תקרית טכנית חולפת. היא מבחן של ממש ליכולת הניהולית והמשפטית של החברה לפעול תחת לחץ, לעמוד בחובות הדין ולשמור על אמון הלקוחות והשוק. הכנה מוקדמת, הבנה ברורה של חובות הדיווח וגיבוש מדיניות סדורה לגבי סוגיית תשלום הכופר הם הכלים המרכזיים שמבדילים בין התאוששות מהירה לבין משבר ממושך.
האמור במאמר זה מהווה מידע כללי בלבד ואינו מהווה ייעוץ משפטי. לקבלת ייעוץ מותאם לנסיבות הספציפיות של חברתכם, אנו מזמינים אתכם ליצור קשר עם משרדנו.
