הודעת כופר על מסך של עובד אינה תקלה רגילה שאפשר לדחות למחר. בתוך דקות היא עלולה להפוך מאירוע בתחנה אחת להשבתה של שרת קבצים, מערכות הנהלת חשבונות, דואר אלקטרוני וגישה ללקוחות. השאלה כיצד לטפל בהתקפת כופרה משרדית אינה מתחילה בתשלום לתוקפים, אלא בפעולות מדויקות שמצמצמות נזק, שומרות על מידע ומאפשרות לחזור לפעילות באופן בטוח.

המטרה הראשונה היא לעצור את התפשטות האירוע. המטרה השנייה היא להבין מה נפגע, מבלי למחוק ראיות או לזהם את הגיבויים. רק לאחר מכן מתחיל תהליך השחזור. עסק שפועל לפי הסדר הזה בדרך כלל יקצר משמעותית את זמן ההשבתה ואת היקף הפגיעה.

כיצד לטפל בהתקפת כופרה משרדית בדקות הראשונות

כאשר עובד מדווח על קבצים ששמותיהם השתנו, הודעת דרישת כופר, חלונות שקופצים או חוסר יכולת לפתוח מסמכים, יש להתייחס לכך כאירוע אבטחה עד שיוכח אחרת. אין לבקש ממנו להמשיך לעבוד, לנסות לפתוח עוד קבצים או לשלוח את המסמכים החשודים לעמיתים.

בצעו מיד את הפעולות הבאות:

1. נתקו את המחשב החשוד מהרשת – הוציאו את כבל הרשת, נתקו את החיבור האלחוטי ואל תחברו התקני אחסון ניידים. אין צורך למחוק דבר ואין לבצע פירמוט.
2. עצרו את הגישה שלו למשאבי ענן משותפים, כונני רשת ותיקיות משותפות, ככל שאפשר דרך צוות המחשוב או מנהל המערכת.
3. דווחו לגורם ה-IT האחראי והגדירו אדם אחד שמרכז את הטיפול. ריבוי ניסיונות עצמאיים מצד עובדים עלול להרחיב את הנזק.
4. תעדו את מה שנראה על המסך: צילום של הודעת הכופר, שמות קבצים חריגים, השעה שבה התגלתה הבעיה והמשתמש שהיה מחובר.
5. בדקו במהירות אם קיימים סימנים דומים בעמדות נוספות, בשרתים ובתיקיות משותפות – אך עשו זאת דרך גורם טכני, בלי לפתוח קבצים חשודים.

כיבוי מיידי של המחשב אינו תמיד הפעולה הנכונה. לעיתים מידע שנמצא בזיכרון המחשב יכול לסייע בבדיקה המקצועית. מצד שני, אם התחנה ממשיכה להצפין קבצים ולא ניתן לבודד אותה מהרשת, ייתכן שיהיה צורך לכבות אותה בהנחיית איש מקצוע. ההחלטה תלויה במצב בפועל וביכולת שלכם לנתק את הגישה ללא עיכוב.

לאתר את היקף הפגיעה לפני שמתחילים לשחזר

התקפת כופרה אינה תמיד מתחילה בתחנה שבה התגלתה ההודעה. התוקף עשוי להיכנס דרך סיסמה שנגנבה, חיבור מרחוק לא מאובטח, הודעת דיוג או פרצת אבטחה, ואז לנוע בתוך הרשת במשך ימים או שבועות. לכן שחזור מהיר מדי, בלי להבין את נקודת החדירה, עלול להחזיר את העסק בדיוק לאותה נקודת סיכון.

הבדיקה צריכה לכלול את חשבונות המשתמשים והמנהלים, יומני התחברות, שרתי קבצים, מערכות גיבוי, שירותי דואר, חיבורי גישה מרחוק ומחשבים שבהם הופיעו סימנים חריגים. חשוב לבדוק גם אם נגנב מידע לפני ההצפנה. קבוצות תקיפה רבות מפעילות כיום לחץ כפול: הן מצפינות נתונים ומאיימות לפרסם מידע עסקי או אישי.

בשלב הזה כדאי להחליף סיסמאות לחשבונות בעלי הרשאות גבוהות, לבטל חיבורים חשודים ולחייב אימות דו-שלבי בכל שירות שאפשר. עם זאת, אין לבצע החלפת סיסמאות באופן אקראי מכל מחשב ברשת. הפעולה צריכה להתבצע מסביבה נקייה ומבוקרת, אחרת עלולים למסור לתוקף סיסמאות חדשות.

לשמור על פעילות עסקית גם בזמן האירוע

בעל עסק או מנהל משרד צריך לקבל תמונת מצב תפעולית, לא רק טכנית: אילו מערכות מושבתות, אילו מחלקות מושפעות, מה אפשר להפעיל באופן חלופי ומהו סדר העדיפויות לחזרה לעבודה. לדוגמה, משרד רואי חשבון עשוי להעדיף תחילה גישה למערכת לקוחות ולמסמכים דחופים, בעוד שחברת שירות תעדיף לשחזר טלפוניה, מערכת קריאות ויכולת לשלוח הצעות מחיר.

תקשורת פנימית ברורה מונעת שמועות וטעויות. עדכנו עובדים אילו מערכות אסור לפתוח, לאן לפנות במקרה של קובץ חשוד, ואילו דרכי עבודה חלופיות מאושרות. אל תעבירו קבצים באמצעות דיסק-און-קי פרטי או תיבות דואר אישיות רק כדי "לעקוף" את ההשבתה. פתרונות כאלה עלולים לייצר אובדן מידע או להכניס נוזקה גם לסביבה נקייה.

אם האירוע כולל חשש לחשיפת מידע אישי, מידע רפואי, נתוני אשראי או מידע מסחרי רגיש, יש לערב הנהלה, ייעוץ משפטי ובמידת הצורך את חברת הביטוח. חובת הדיווח והפעולות הנדרשות משתנות לפי סוג המידע, היקף האירוע והסכמים מול לקוחות. במקרים מתאימים אפשר להיעזר גם בגורמי הסייבר הממשלתיים לקבלת הכוונה ראשונית.

שחזור נכון מתחיל מגיבוי שלא נפגע

גיבוי קיים אינו בהכרח גיבוי שממנו אפשר לשחזר. אם הגיבוי מחובר באופן קבוע לרשת או משתמש באותן הרשאות כמו השרתים, ייתכן שגם הוא הוצפן או נמחק. לכן לפני שמפעילים שחזור יש לבדוק שהעותק תקין, מבודד ואינו כולל את הנוזקה או קבצים שכבר הוצפנו.

הסדר הנכון הוא קודם לנקות או לבנות מחדש את התשתית שנפגעה, לאחר מכן לסגור את נקודת החדירה, ורק אז לשחזר נתונים ומערכות. לעיתים עדיף להקים עמדות עבודה חדשות מתמונה נקייה במקום לנסות "לנקות" כל מחשב שנפגע. זה עשוי לקחת יותר זמן בטווח הקצר, אך מפחית סיכון להשארת רכיב זדוני במערכת.

לאחר השחזור יש לבצע בדיקות לפני שמחזירים משתמשים לעבודה: פתיחת קבצים, תקינות הרשאות, גישה למערכות עסקיות, פעילות הדואר, הדפסה, חיבור מרחוק ותפקוד הגיבוי החדש. חשוב גם לנטר את הסביבה לאחר החזרה לפעילות. סימנים כמו יצירת חשבונות חדשים, התחברויות בשעות חריגות או תעבורת רשת לא מוסברת מחייבים בדיקה נוספת.

האם לשלם את הכופר?

דרישת כופר מייצרת לחץ אמיתי, במיוחד כשהעסק אינו יכול לעבוד או כשיש חשש לפרסום מידע. ובכל זאת, תשלום אינו מבטיח מפתח פענוח תקין, מחיקה של מידע שנגנב או הימנעות מתקיפה חוזרת. הוא גם עלול להפוך את הארגון ליעד שמסומן כמוכן לשלם.

אין תשובה אחידה לכל אירוע. ההחלטה צריכה להיעשות רק לאחר הערכת מצב מקצועית הכוללת את מצב הגיבויים, היקף ההצפנה, אופי המידע, חובות משפטיות והשלכות ביטוחיות. מה שלא נכון לעשות הוא להעביר כסף בלחץ, לפני שנבדקה האפשרות לשחזר באופן עצמאי ובטוח.

להפוך את האירוע לשיפור אמיתי בתשתית

לאחר שהפעילות מתייצבת, מגיע שלב שאסור לוותר עליו: תחקור מסודר. צריך להבין איך נכנסו התוקפים, כמה זמן שהו ברשת, אילו בקרות לא עבדו ואילו החלטות יעזרו למנוע את האירוע הבא. אין טעם להאשים עובד שנפל להודעה משכנעת אם אין בארגון הדרכה, אימות דו-שלבי, הגבלות הרשאה וניטור רציף.

ההגנה היעילה ביותר בנויה משכבות: גיבויים נפרדים שנבדקים בפועל, עדכוני אבטחה, הגנה מנוהלת על תחנות ושרתים, הרשאות מינימליות, סינון דואר, אימות דו-שלבי ותוכנית תגובה ברורה. גם הדרכת עובדים צריכה להיות מעשית וקצרה – איך לזהות הודעה חשודה, למי מדווחים ומה לא עושים.

עבור עסקים ללא מחלקת מחשוב פנימית, שותף IT קבוע מאפשר לקבל תגובה מהירה גם ברגע שבו אין זמן לחפש ספק. A-zuzIT מלווה עסקים בניהול תשתיות, גיבוי, אבטחת מידע ותמיכה שוטפת, כדי שהטיפול באירוע לא יישען על אלתורים.

הצעד המועיל ביותר שאפשר לעשות עוד לפני התקפה הוא לקבוע מי מתקשר למי, איפה נמצא הגיבוי המבודד ומי מוסמך להחליט על השבתת מערכות. כשהתפקידים ברורים והגיבוי נבדק, גם אירוע מלחיץ הופך ממשבר לא מתוכנן לתהליך שאפשר לנהל.